ezphp 这道题我前后翻了三遍源码才把整条链子接上。第一次打开页面看到那十几行 PHP心里想的是名字都叫 ez 了能有多难结果活生生卡了两个小时最后发现卡点在一个preg_match的返回值上——传了个数组进去函数返回false!false变成true判断直接被绕过去了。这类以ezphp命名的 Web 题目考的核心就是PHP 代码审计的基本功弱类型比较、变量覆盖、正则盲区、文件包含、反序列化触发链。它不适合纯新手直接硬啃但如果你已经能看懂 PHP 语法、知道$_GET和$_POST怎么取参、本地能跑起一个 PHP 环境那这道题就是一块很好的练手磨刀石。下面我按自己的解题顺序把每一层判断、每一次试错和最后跑通的 payload 完整拆一遍包括几个常规题解里不会写的调试手法。1. ezphp 这道题到底在考什么先建立整体画像1.1 为什么名字带 ez 的 PHP 题反而最难一次做对很多人对 ezphp 的第一印象是入门题于是上来就丢 payload结果被反弹回来一脸懵。我的经验是出题人写 ez 指的是知识点不偏不是防护很弱。恰恰相反因为知识点基础出题人往往会在同一段代码里叠三到四层判断每一层单拿出来都很简单串起来就变成了连环套。我手上这版入口文件大意是这样的不同场次的出题人细节会有出入但逻辑骨架基本一致下面这段是我按同类题目常见写法还原的骨架用来讲清楚每一层在干什么?php error_reporting(0); show_source(__FILE__); $cmd $_GET[cmd] ?? ; $file $_GET[file] ?? ; $key $_POST[key] ?? ; if (isset($_GET[a]) isset($_GET[b])) { if ($_GET[a] ! $_GET[b] md5($_GET[a]) md5($_GET[b])) { if (preg_match(/^[a-z0-9]$/i, $cmd)) { die(blocked); } if (strlen($cmd) 40) { die(too long); } $func sys . tem; $func($cmd); } }这段骨架里塞了四个考点md5碰撞的等价判断、正则白名单的反向利用、长度压缩、以及一个被拆成两段拼接的函数名。看上去每一层都能一句话说清楚但真到手上第一层就能劝退一批人——因为大多数人第一反应是去找 md5 碰撞字符串而这道题根本不需要碰撞只需要让md5()拿到的参数不是字符串。提示遇到md5($x) md5($y)这种判断先别急着背碰撞表先问自己一句——$x一定是字符串吗如果它来自$_GET且没有做强类型转换那它完全可以是数组。1.2 拿到题面后的五分钟信息清单我现在拿到任何一道 PHP 审计题前五分钟基本不写 payload只做四件事做完再动手效率能差出好几倍看回显页面有没有show_source、有没有phpinfo、有没有报错栈。有show_source说明出题人想让你审计有phpinfo说明版本信息是白送的。数输入点$_GET、$_POST、$_COOKIE、$_REQUEST、$_FILES、$_SERVER各出现在哪一行每个输入点后面跟了哪些判断。标输出点echo、print、system、eval、include、unserialize出现在哪这决定了你最后要怎么把结果吐出来。记函数黑名单preg_match、strpos、in_array、is_numeric、intval、preg_replace这几个是过滤的主力逐个看清楚它们的参数和返回值用法。这四件事做完题目大概长什么样心里就有数了。我见过太多人跳过这一步直接开打结果撞了半小时墙才发现自己一直在往一个根本走不通的分支里塞 payload。1.3 把看起来像阻塞的判断点做分类判断点多的时候最容易乱。我的做法是把它们分三类分类之后优先级自然就出来了类别典型写法应对思路优先级可绕过的白名单preg_match(/^[a-z]$/i, $x)找正则盲区、换编码、换类型最高可绕过的类型判断、in_array、is_numeric利用弱类型、传数组高硬性限制strlen、substr截断、die只能压缩 payload 或换路径中真正的死路有exit且无任何可控参数放弃这个分支找别的入口低分类的意义在于你会很清楚哪一层是纸糊的哪一层是真墙。ezphp 这类题的经典结构是前面三层都是纸糊的最后一层才是真墙而最后一层的钥匙往往藏在前面某层的副作用里比如变量覆盖顺手改掉了后面用的配置变量。2. 源码审计的第一刀所有能改写执行流的输入口2.1 变量覆盖三兄弟extract、parse_str 与可变变量PHP 里能悄悄改掉变量值的手段就那三样认全了基本不会漏extract()、parse_str()不传第二个参数时、以及可变变量$$name。它们的共同点是——你以为这个变量是代码里写死的实际上攻击者能从外部改掉它。extract($_GET)是最经典的。它的行为是把数组的键当变量名、值当变量值直接在当前作用域里创建变量。如果这行代码出现在一个判断之前而判断用的变量名又刚好能被$_GET里的键覆盖那这一层就形同虚设。举个最小的例子?php $is_admin false; extract($_GET); // 传入 ?is_admin1 if ($is_admin) { // 这里的代码本来只有管理员能进 }parse_str($str)在不传第二个参数时也是同理会把解析出来的键值对直接写进当前作用域。这个函数经常出现在看起来只是解析一下 query string的地方非常容易被忽略。可变变量$$稍微隐蔽一点它需要一个可控的字符串变量做中转?php $name $_GET[name]; // 传入 nametarget $$name $_GET[value]; // 等价于 $target $_GET[value]这条路的关键是找到一个名字可控、后面又被当成普通变量用的位置。我在 ezphp 里第一次没注意到这一点是因为那行$$写得特别自然混在一堆赋值语句中间扫一眼根本不会觉得有问题。注意extract()默认是EXTR_OVERWRITE会覆盖同名变量。但有些代码会写成extract($_GET, EXTR_SKIP)这时候已存在的变量不会被覆盖这条路就断了。看到extract一定要把第二个参数也看清楚。2.2 松散比较与 in_array 的温柔陷阱PHP 的是这道题里最容易被低估的地方。它的规则是比较前先做类型转换而转换规则在两边的类型不同时会走一套很微妙的流程。我把常见的几组结果整理成表遇到弱类型判断时直接查表达式PHP 7 结果PHP 8 结果备注0e123 0e456truetrue两边都当科学计数法的 00 abctruefalsePHP 8 改了字符串转数字规则null falsetruetrue空值等价[] falsetruetrue空数组当假1e3 1000truetrue科学计数法0 falsetruetrue字符串 0 当假第一行那个0e 开头当 0是最常被考的。如果代码里写了if (md5($x) 0e1234567890)这种判断那么只要找到一个 md5 值恰好以0e开头、后面全是数字的字符串就能过。这类字符串网上有现成的但我不建议背直接写个脚本本地跑几万次就能撞出来。至于md5($a) md5($b)且$a ! $b就更简单了直接传数组?a[]1b[]2原理是md5()只接受字符串传数组会返回null并抛一个 warning。两边都拿到nullnull null成立判断通过。同时$_GET[a]和$_GET[b]是两个不同的数组!也成立。in_array()的坑在于第三个参数。不传true的时候是松散比较in_array(1abc, [1, 2, 3])会返回true因为1abc被转成了1。如果白名单判断写成了if (in_array($x, $whitelist))那你只要构造一个前面是合法值、后面接垃圾字符的字符串就能过。2.3 版本指纹决定你能不能用数组绕过这一条是我踩过最痛的坑。数组绕过md5()的套路在 PHP 7 里百试百灵但在PHP 8 里直接失效——因为 PHP 8 对内部函数做了类型收紧md5(array)不再是返回 null 加 warning而是直接抛TypeError终止脚本。也就是说你在 PHP 7 环境里跑通的 payload换到 PHP 8 上会得到一个白屏。判断版本的办法很土但很准页面有phpinfo()就直接看PHP Version。没有的话看X-Powered-By响应头有些环境会关掉。如果都看不到就发包试传一个数组给md5看是报TypeError还是Warning: md5() expects parameter 1 to be string。前者是 PHP 8后者是 PHP 7。确认不了版本就两条路都准备好别赌。我在本地复现的时候专门开了两个容器一个 7.4 一个 8.1同一份代码跑两遍对比行为这个习惯帮我省掉了无数次本地通、线上不通的自我怀疑。3. 绕过过滤正则盲区与无字母数字构造3.1 preg_match 的五个高频盲区preg_match是 ezphp 里最常出现的守门人也是最好骗的一个。我总结下来有五个盲区按遇到频率排序第一个传数组让它返回false。这是最高频的绕过方式没有之一。preg_match的第二个参数要求是字符串传数组会返回false并且不抛异常PHP 7 和 8 都是。如果代码写的是if (!preg_match(/^[a-z0-9]$/i, $cmd)) { die(blocked); }正常情况下$cmd是合法字符串preg_match返回 1!1是false不拦截。但如果你传?cmd[]abcpreg_match返回false!false是true直接die——诶反而被拦了。所以要看清楚是!preg_match还是preg_match// 写法一匹配到就拦截 if (preg_match(/[a-z]/i, $x)) die(blocked); // 传数组 → preg_match 返回 false → 不拦截 → 绕过成功 // 写法二没匹配到就拦截 if (!preg_match(/^[a-z]$/i, $x)) die(blocked); // 传数组 → 返回 false → !false true → 拦截绕不过这个区别必须分清楚写反了就是半小时白干。第二个$允许末尾换行。PCRE 里$默认匹配字符串结尾或结尾前的一个换行符。所以/flag$/是能匹配flag\n的。如果你的 payload 里需要在合法内容后面接点别的加个%0a往往就能过。第三个.不匹配换行。正则里没加/s修饰符时.匹配不到换行符。如果过滤规则是/^.*flag.*$/那你在中间插个换行.就跨不过去了匹配失败。第四个多行模式下^和$的行为会变。加了/m之后^匹配每行开头$匹配每行结尾一条 payload 里塞多行就能绕开整串必须符合的假设。第五个回溯次数限制。PCRE 有pcre.backtrack_limit默认 100 万次。构造一个超长的、能引发大量回溯的字符串可以让preg_match返回false不是 0 也不是 1。这个技巧在 CTF 里偶尔能用到但比较挑版本和配置不作为首选。3.2 长度被卡死时的压缩打法strlen($cmd) 40这种限制在 ezphp 里很常见。很多人一看长度限制就放弃了其实 40 个字符能干的事不少。压缩思路按性价比排序用最短的函数名system比shell_exec短cat比tac、nl短读文件优先cat /f*这种通配写法。用通配符替掉固定路径cat /flag是 10 个字符cat /f*是 8 个cat /????要看情况。通配符的好处是还能规避你不知道确切文件名的情况。换掉命令分隔符;和|都是 1 个字符是 2 个能用短的就不用长的。用短标签或变量间接如果长度是卡在函数名上可以找一个已经被定义好的短变量用$a()这种动态调用替代直接写函数名。如果长度限制实在压不下去比如卡在 20 以内那就说明出题人不想让你走命令执行这条路该回头找文件读取或者反序列化的分支了。判断标准很简单算一下你最短的可行 payload 长度如果超过限制 30% 以上基本可以判定这条路不对。3.3 取反与异或把 payload 藏进不可见字符遇到只允许特定字符的白名单过滤比如禁掉所有字母数字就得用位运算把 payload 藏起来。PHP 里最常用的是按位取反~和异或^。取反的原理是这样的~a会把字符a的 ASCII 码按位取反得到另一个字节。如果把整串字符串取反得到的是一堆不可见字符。这些字符经过 URL 编码后%XX形式可以安全传输到了服务端 URL 解码还原成原始字节再执行一次~就变回原来的字符串。生成脚本我一般随手写一个?php function not_payload(string $s): string { $out ; for ($i 0; $i strlen($s); $i) { $out . % . strtoupper(bin2hex(chr(~ord($s[$i])))); } return $out; } echo not_payload(system); // 输出一串 %XX echo \n; echo not_payload(cat /f*); // 输出一串 %XX用的时候把生成的%XX串塞进(~...)里作为动态函数名调用(~%8C%87%8C%93%9A%8D)(~%9C%9E%8B%A0%D0%99%AA);上面这段的意思是先把两个取反串还原成system和cat /f*然后以前者作为函数名调用后者作为参数。整个 payload 里没有一个字母数字白名单过滤直接失效。提示取反生成的字节里有可能出现%00URL 传输时会被截断。写脚本的时候顺手判一下遇到0x00就换个等价的构造方式比如改用异或。我在本地就撞过一次调试了半天才发现是空字节被吞了。异或的构造方式更适合字符集被限制得很死的场景。原理是用两个允许出现的字符异或得到目标字符。比如! ^ 得到0x21 ^ 0x40 0x61正好是小写字母a。同理 ^ 得到b。理论上任意字符都能用两个可见字符异或出来代价是 payload 变长所以一般配合长度充裕的场景用。4. 从代码执行到读结果三条落地路径4.1 伪协议可用性的一次性判断如果题目允许include或require并且路径可控那首先要判断的是allow_url_include开没开。这个配置在 PHP 5.2 之后默认是关的所以php://input和data://大概率用不了。判断方法很简单直接试?filephp://filter/convert.base64-encode/resourceindex.php能出内容说明php://filter可用这个不受allow_url_include影响只受allow_url_fopen影响而后者默认是开的。试?filedata://text/plain,?php phpinfo();?能执行说明allow_url_include是开的。php://filter是审计题里的常客因为它不需要任何配置就能读源码。用法记牢这几种php://filter/convert.base64-encode/resourceindex.php php://filter/readconvert.base64-encode/resourceindex.php php://filter/convert.iconv.utf-8.utf-16/resourceindex.php第三种在 base64 被过滤掉的时候很有用虽然读出来的内容是乱码但可以通过iconv的各种编码组合把源码洗出来。这个技巧偏门但关键时刻能救命。4.2 日志与临时文件包含的落地条件当伪协议被禁、上传又走不通的时候文件包含的最后一招是包含日志文件或者临时文件。这条路能走通需要满足几个条件我列成清单方便对照条件检查方式不满足时的替代方案知道日志路径常见路径挨个试读/proc/self/environ日志内容可控发一个带 payload 的请求把 UA 写进去用php://input配合 POST body日志有读权限直接 include 看有没有内容换临时文件路径文件没被截断看包含后是否报错缩短 payload 或调整插入位置日志包含的关键是把 payload 写进日志的某个字段。User-Agent、Referer都是可控的而且大多数默认配置下都会被记进访问日志。发一个 UA 是?php system(cat /f*);?的请求然后 include 日志路径就能触发。临时文件包含稍微绕一点原理是 PHP 处理文件上传时会把上传的临时文件写到/tmp目录文件名是随机的phpXXXXXX。这个文件在请求结束后会被删除所以要在同一个请求生命周期内完成上传和包含。实操上要用条件竞争脚本成功率不高但能用。我在本地试的时候大概十次能中一次线上环境如果负载低会好一些。4.3 被禁函数下的替代读法disable_functions把system、exec、shell_exec全禁了之后很多人就卡住了。其实读文件不需要命令执行PHP 里有大量函数能直接读文件内容函数特点适用场景file_get_contents直接返回字符串最常用无长度限制时首选readfile直接输出到响应不占内存文件较大时highlight_file/show_source带语法高亮会把内容输出读 PHP 源码SplFileObject面向对象可逐行读大文件或需要定位时fopenfgets传统流式读需要按行处理时copy复制文件到可访问目录需要落盘时用这些函数的前提是你能控到eval或者文件包含。如果能控到eval直接把system(...)换成readfile(/flag)就行长度还更短。这个换法我用了很多次几乎每次都比硬啃命令执行省时间。5. 反序列化题眼与魔术方法触发链5.1 魔术方法触发时机速查如果 ezphp 的源码里出现unserialize()那这一章就是主战场。反序列化题的核心是搞清楚哪个类、哪个魔术方法、在什么时候被自动调用。我把常用的触发时机整理成表魔术方法触发时机能干什么__wakeupunserialize执行时改属性、重新初始化__destruct对象被销毁时调方法、写文件、执行代码__toString对象被当字符串用时返回任意内容__call调用不存在的方法时转发到别的方法__invoke对象被当函数调用时执行内部逻辑__get访问不存在的属性时返回别处的值__set给不存在或不可见的属性赋值时拦截赋值实际题目里最常见的是__destruct和__wakeup的组合因为这两个是unserialize一定会碰到的。__toString通常作为链条中间环节用来把对象降级成字符串传给某个字符串函数。5.2 POP 链怎么一步步试出来POP 链听着玄乎其实就是一个从入口倒推出口的搜索过程。我的做法是把源码里所有定义了魔术方法的类列出来每个类里标出这个方法能调到的其他方法。找到最终能执行代码或者读文件的那个方法出口。从出口往回找看哪个魔术方法能调到它再找哪个魔术方法能调到上一层的魔术方法。一路倒推到__destruct或者__wakeup。举个典型的链条形状?php class A { public $cmd; public function __destruct() { $b new B(); $b-run($this-cmd); } } class B { public function run($c) { call_user_func($c); } }这个链条很短A的__destruct会 new 一个B然后调runrun里用call_user_func执行$cmd。所以只要构造一个A对象、把$cmd设成system加上参数序列化后传进去unserialize结束时对象销毁__destruct触发链条走完。构造序列化字符串的时候我习惯手写而不是用脚本生成因为手写能让我把每个属性的可见性、类型都确认一遍。格式是这样的O:1:A:1:{s:3:cmd;s:13:system(id);;}O:1:A表示类名 1 个字符的A对象:1:表示 1 个属性大括号里是键值对。s是字符串数字是长度。长度算错是新手最常犯的错一个字都不能差。5.3 属性可见性和 __wakeup 的两个坑第一个坑属性可见性。private属性在序列化字符串里的键名前面会带上类名格式是\0类名\0属性名。protected属性前面会带\0*\0。如果你按public的格式写反序列化出来的是个空对象链条断在第一步。这个坑我踩过不止一次后来养成习惯——先var_dump一个正常构造的对象看它的序列化字符串长什么样照着抄。第二个坑__wakeup的绕过。早年的 PHP 版本里如果序列化字符串里声明的属性个数小于实际属性个数__wakeup就不会被调用。这个漏洞在 PHP 7.4 之后被修了但很多题目跑的是老版本依然能用。判断方法还是看版本号。另外__wakeup里如果有重置某个属性的操作你要么绕过它要么想办法让重置之后的值依然能被利用。后者更稳妥因为不依赖版本。6. 本地复现环境与调试手法6.1 版本对齐比什么都重要我在第 2.3 节提过版本差异这里再强调一次PHP 7 和 PHP 8 在很多判断上的行为是不一样的尤其是弱类型比较和内部函数的参数校验。本地复现时一定要把容器版本对齐到题目环境对不齐就白调。找版本的办法前面说过这里补一个实操建议如果你完全拿不到版本信息就按 PHP 7.4 准备环境因为大多数题目还是跑在 7.x 上。但所有依赖弱类型的 payload 都要准备一个 PHP 8 的备选方案。本地起环境的命令很简单一条就够docker run -d --name ezphp -p 8080:80 \ -v $PWD/src:/var/www/html \ php:7.4-apache注意-v的路径要用绝对路径相对路径在某些系统上会挂载失败。起来之后访问http://127.0.0.1:8080就能看到页面。6.2 用最土的办法定位判断分支调试 PHP 有个特别朴素但特别好用的办法在每一层判断前面插一行error_log()把变量的值和类型打出来看它到底走到了哪。?php error_log(cmd . var_export($cmd, true)); error_log(type . gettype($cmd));var_export比var_dump好在它能完整显示字符串的每个字符包括不可见字符。我排查取反 payload 的时候全靠它一眼就能看出哪个字节没对上。另一个办法是临时把die换成echo让脚本继续往下走看看后面的逻辑到底有没有被执行。这个方法在我明明绕过了但没回显的场景下特别管用——很多时候不是没绕过是绕过了但输出被后面某一步吞了。6.3 常见报错速查表报错信息原因处理办法md5() expects parameter 1 to be string, array givenPHP 7 下传了数组这就是你要的效果继续TypeError: md5(): Argument #1 must be of type stringPHP 8 下传了数组换思路别用数组绕过unserialize(): Error at offset 0序列化字符串格式错核对长度和引号Warning: include(): Failed opening路径不对或权限不足用php://filter先读源码确认路径Allowed memory size exhausted正则回溯或大文件换 payload 或分批读页面完全空白error_reporting(0)关掉了报错本地开display_errors复现最后一行那个页面空白是最坑的因为出题人常常在第一行就error_reporting(0)任何错误都不显示。本地复现的时候一定要把display_errors打开不然你什么都看不到。7. 排查实录payload 本地通线上不通的六个原因7.1 编码与二次解码这条单独拎出来讲因为我被它坑过太多次。payload 从你手里到服务端中间至少要过两层解码URL 解码和 PHP 自己的处理。如果 payload 里本来就带%很容易在某一层被多解一次或者少解一次。举个具体的例子取反产生的字节里如果有%25也就是%本身浏览器或者中间的某层可能会把它再解一次导致字节错位。解决办法是先用urlencode把整个 payload 再包一层或者干脆改用 POST 传减少一层 URL 解码。还有一种情况是号。URL 里的会被解成空格如果你的 payload 里恰好有传过去就变了。这种时候要用%2B显式编码。7.2 复查清单与速查表每次 payload 不通我就按这张表挨个过一遍八成能定位到问题检查项怎么查典型症状参数名对不对对照源码里的$_GET[xxx]传了但没反应方法对不对GET 还是 POST参数完全收不到类型对不对该传数组的传了字符串判断没被绕过编码对不对打印原始字节看字符串错位版本对不对看报错类型本地通线上挂长度对不对strlen算一遍被截断路径对不对先用读源码确认include 失败这张表我贴在便签上做题的时候扫一眼就能排除掉大部分低级错误。真正需要动脑的地方其实不多大部分时间都浪费在这些细节上。还有一个小技巧把 payload 拆成最小可运行单元一步一步往上加。比如先确认?a[]1b[]2能不能过第一层过了再加正则绕过再加长度压缩。一次性丢一个完整的长 payload出错了你根本不知道是哪一段挂的。这个习惯看着笨但比反复猜快得多。最后分享一个我在 ezphp 里实际用到的心得当一条链子卡住的时候不要死磕退回去把源码重新读一遍特别是那些看起来没用的赋值语句和函数调用。出题人不会写无用代码每一行都在链条上只是你当时没看出来它在哪一环。我那道题的最后一把钥匙就藏在一行被我从头到尾忽略了三遍的$tmp $arr[k] ?? default;里面。
ezphp 这道题我前后翻了三遍源码才把整条链子接上。第一次打开页面看到那十几行 PHP心里想的是名字都叫 ez 了能有多难结果活生生卡了两个小时最后发现卡点在一个preg_match的返回值上——传了个数组进去函数返回false!false变成true判断直接被绕过去了。这类以ezphp命名的 Web 题目考的核心就是PHP 代码审计的基本功弱类型比较、变量覆盖、正则盲区、文件包含、反序列化触发链。它不适合纯新手直接硬啃但如果你已经能看懂 PHP 语法、知道$_GET和$_POST怎么取参、本地能跑起一个 PHP 环境那这道题就是一块很好的练手磨刀石。下面我按自己的解题顺序把每一层判断、每一次试错和最后跑通的 payload 完整拆一遍包括几个常规题解里不会写的调试手法。1. ezphp 这道题到底在考什么先建立整体画像1.1 为什么名字带 ez 的 PHP 题反而最难一次做对很多人对 ezphp 的第一印象是入门题于是上来就丢 payload结果被反弹回来一脸懵。我的经验是出题人写 ez 指的是知识点不偏不是防护很弱。恰恰相反因为知识点基础出题人往往会在同一段代码里叠三到四层判断每一层单拿出来都很简单串起来就变成了连环套。我手上这版入口文件大意是这样的不同场次的出题人细节会有出入但逻辑骨架基本一致下面这段是我按同类题目常见写法还原的骨架用来讲清楚每一层在干什么?php error_reporting(0); show_source(__FILE__); $cmd $_GET[cmd] ?? ; $file $_GET[file] ?? ; $key $_POST[key] ?? ; if (isset($_GET[a]) isset($_GET[b])) { if ($_GET[a] ! $_GET[b] md5($_GET[a]) md5($_GET[b])) { if (preg_match(/^[a-z0-9]$/i, $cmd)) { die(blocked); } if (strlen($cmd) 40) { die(too long); } $func sys . tem; $func($cmd); } }这段骨架里塞了四个考点md5碰撞的等价判断、正则白名单的反向利用、长度压缩、以及一个被拆成两段拼接的函数名。看上去每一层都能一句话说清楚但真到手上第一层就能劝退一批人——因为大多数人第一反应是去找 md5 碰撞字符串而这道题根本不需要碰撞只需要让md5()拿到的参数不是字符串。提示遇到md5($x) md5($y)这种判断先别急着背碰撞表先问自己一句——$x一定是字符串吗如果它来自$_GET且没有做强类型转换那它完全可以是数组。1.2 拿到题面后的五分钟信息清单我现在拿到任何一道 PHP 审计题前五分钟基本不写 payload只做四件事做完再动手效率能差出好几倍看回显页面有没有show_source、有没有phpinfo、有没有报错栈。有show_source说明出题人想让你审计有phpinfo说明版本信息是白送的。数输入点$_GET、$_POST、$_COOKIE、$_REQUEST、$_FILES、$_SERVER各出现在哪一行每个输入点后面跟了哪些判断。标输出点echo、print、system、eval、include、unserialize出现在哪这决定了你最后要怎么把结果吐出来。记函数黑名单preg_match、strpos、in_array、is_numeric、intval、preg_replace这几个是过滤的主力逐个看清楚它们的参数和返回值用法。这四件事做完题目大概长什么样心里就有数了。我见过太多人跳过这一步直接开打结果撞了半小时墙才发现自己一直在往一个根本走不通的分支里塞 payload。1.3 把看起来像阻塞的判断点做分类判断点多的时候最容易乱。我的做法是把它们分三类分类之后优先级自然就出来了类别典型写法应对思路优先级可绕过的白名单preg_match(/^[a-z]$/i, $x)找正则盲区、换编码、换类型最高可绕过的类型判断、in_array、is_numeric利用弱类型、传数组高硬性限制strlen、substr截断、die只能压缩 payload 或换路径中真正的死路有exit且无任何可控参数放弃这个分支找别的入口低分类的意义在于你会很清楚哪一层是纸糊的哪一层是真墙。ezphp 这类题的经典结构是前面三层都是纸糊的最后一层才是真墙而最后一层的钥匙往往藏在前面某层的副作用里比如变量覆盖顺手改掉了后面用的配置变量。2. 源码审计的第一刀所有能改写执行流的输入口2.1 变量覆盖三兄弟extract、parse_str 与可变变量PHP 里能悄悄改掉变量值的手段就那三样认全了基本不会漏extract()、parse_str()不传第二个参数时、以及可变变量$$name。它们的共同点是——你以为这个变量是代码里写死的实际上攻击者能从外部改掉它。extract($_GET)是最经典的。它的行为是把数组的键当变量名、值当变量值直接在当前作用域里创建变量。如果这行代码出现在一个判断之前而判断用的变量名又刚好能被$_GET里的键覆盖那这一层就形同虚设。举个最小的例子?php $is_admin false; extract($_GET); // 传入 ?is_admin1 if ($is_admin) { // 这里的代码本来只有管理员能进 }parse_str($str)在不传第二个参数时也是同理会把解析出来的键值对直接写进当前作用域。这个函数经常出现在看起来只是解析一下 query string的地方非常容易被忽略。可变变量$$稍微隐蔽一点它需要一个可控的字符串变量做中转?php $name $_GET[name]; // 传入 nametarget $$name $_GET[value]; // 等价于 $target $_GET[value]这条路的关键是找到一个名字可控、后面又被当成普通变量用的位置。我在 ezphp 里第一次没注意到这一点是因为那行$$写得特别自然混在一堆赋值语句中间扫一眼根本不会觉得有问题。注意extract()默认是EXTR_OVERWRITE会覆盖同名变量。但有些代码会写成extract($_GET, EXTR_SKIP)这时候已存在的变量不会被覆盖这条路就断了。看到extract一定要把第二个参数也看清楚。2.2 松散比较与 in_array 的温柔陷阱PHP 的是这道题里最容易被低估的地方。它的规则是比较前先做类型转换而转换规则在两边的类型不同时会走一套很微妙的流程。我把常见的几组结果整理成表遇到弱类型判断时直接查表达式PHP 7 结果PHP 8 结果备注0e123 0e456truetrue两边都当科学计数法的 00 abctruefalsePHP 8 改了字符串转数字规则null falsetruetrue空值等价[] falsetruetrue空数组当假1e3 1000truetrue科学计数法0 falsetruetrue字符串 0 当假第一行那个0e 开头当 0是最常被考的。如果代码里写了if (md5($x) 0e1234567890)这种判断那么只要找到一个 md5 值恰好以0e开头、后面全是数字的字符串就能过。这类字符串网上有现成的但我不建议背直接写个脚本本地跑几万次就能撞出来。至于md5($a) md5($b)且$a ! $b就更简单了直接传数组?a[]1b[]2原理是md5()只接受字符串传数组会返回null并抛一个 warning。两边都拿到nullnull null成立判断通过。同时$_GET[a]和$_GET[b]是两个不同的数组!也成立。in_array()的坑在于第三个参数。不传true的时候是松散比较in_array(1abc, [1, 2, 3])会返回true因为1abc被转成了1。如果白名单判断写成了if (in_array($x, $whitelist))那你只要构造一个前面是合法值、后面接垃圾字符的字符串就能过。2.3 版本指纹决定你能不能用数组绕过这一条是我踩过最痛的坑。数组绕过md5()的套路在 PHP 7 里百试百灵但在PHP 8 里直接失效——因为 PHP 8 对内部函数做了类型收紧md5(array)不再是返回 null 加 warning而是直接抛TypeError终止脚本。也就是说你在 PHP 7 环境里跑通的 payload换到 PHP 8 上会得到一个白屏。判断版本的办法很土但很准页面有phpinfo()就直接看PHP Version。没有的话看X-Powered-By响应头有些环境会关掉。如果都看不到就发包试传一个数组给md5看是报TypeError还是Warning: md5() expects parameter 1 to be string。前者是 PHP 8后者是 PHP 7。确认不了版本就两条路都准备好别赌。我在本地复现的时候专门开了两个容器一个 7.4 一个 8.1同一份代码跑两遍对比行为这个习惯帮我省掉了无数次本地通、线上不通的自我怀疑。3. 绕过过滤正则盲区与无字母数字构造3.1 preg_match 的五个高频盲区preg_match是 ezphp 里最常出现的守门人也是最好骗的一个。我总结下来有五个盲区按遇到频率排序第一个传数组让它返回false。这是最高频的绕过方式没有之一。preg_match的第二个参数要求是字符串传数组会返回false并且不抛异常PHP 7 和 8 都是。如果代码写的是if (!preg_match(/^[a-z0-9]$/i, $cmd)) { die(blocked); }正常情况下$cmd是合法字符串preg_match返回 1!1是false不拦截。但如果你传?cmd[]abcpreg_match返回false!false是true直接die——诶反而被拦了。所以要看清楚是!preg_match还是preg_match// 写法一匹配到就拦截 if (preg_match(/[a-z]/i, $x)) die(blocked); // 传数组 → preg_match 返回 false → 不拦截 → 绕过成功 // 写法二没匹配到就拦截 if (!preg_match(/^[a-z]$/i, $x)) die(blocked); // 传数组 → 返回 false → !false true → 拦截绕不过这个区别必须分清楚写反了就是半小时白干。第二个$允许末尾换行。PCRE 里$默认匹配字符串结尾或结尾前的一个换行符。所以/flag$/是能匹配flag\n的。如果你的 payload 里需要在合法内容后面接点别的加个%0a往往就能过。第三个.不匹配换行。正则里没加/s修饰符时.匹配不到换行符。如果过滤规则是/^.*flag.*$/那你在中间插个换行.就跨不过去了匹配失败。第四个多行模式下^和$的行为会变。加了/m之后^匹配每行开头$匹配每行结尾一条 payload 里塞多行就能绕开整串必须符合的假设。第五个回溯次数限制。PCRE 有pcre.backtrack_limit默认 100 万次。构造一个超长的、能引发大量回溯的字符串可以让preg_match返回false不是 0 也不是 1。这个技巧在 CTF 里偶尔能用到但比较挑版本和配置不作为首选。3.2 长度被卡死时的压缩打法strlen($cmd) 40这种限制在 ezphp 里很常见。很多人一看长度限制就放弃了其实 40 个字符能干的事不少。压缩思路按性价比排序用最短的函数名system比shell_exec短cat比tac、nl短读文件优先cat /f*这种通配写法。用通配符替掉固定路径cat /flag是 10 个字符cat /f*是 8 个cat /????要看情况。通配符的好处是还能规避你不知道确切文件名的情况。换掉命令分隔符;和|都是 1 个字符是 2 个能用短的就不用长的。用短标签或变量间接如果长度是卡在函数名上可以找一个已经被定义好的短变量用$a()这种动态调用替代直接写函数名。如果长度限制实在压不下去比如卡在 20 以内那就说明出题人不想让你走命令执行这条路该回头找文件读取或者反序列化的分支了。判断标准很简单算一下你最短的可行 payload 长度如果超过限制 30% 以上基本可以判定这条路不对。3.3 取反与异或把 payload 藏进不可见字符遇到只允许特定字符的白名单过滤比如禁掉所有字母数字就得用位运算把 payload 藏起来。PHP 里最常用的是按位取反~和异或^。取反的原理是这样的~a会把字符a的 ASCII 码按位取反得到另一个字节。如果把整串字符串取反得到的是一堆不可见字符。这些字符经过 URL 编码后%XX形式可以安全传输到了服务端 URL 解码还原成原始字节再执行一次~就变回原来的字符串。生成脚本我一般随手写一个?php function not_payload(string $s): string { $out ; for ($i 0; $i strlen($s); $i) { $out . % . strtoupper(bin2hex(chr(~ord($s[$i])))); } return $out; } echo not_payload(system); // 输出一串 %XX echo \n; echo not_payload(cat /f*); // 输出一串 %XX用的时候把生成的%XX串塞进(~...)里作为动态函数名调用(~%8C%87%8C%93%9A%8D)(~%9C%9E%8B%A0%D0%99%AA);上面这段的意思是先把两个取反串还原成system和cat /f*然后以前者作为函数名调用后者作为参数。整个 payload 里没有一个字母数字白名单过滤直接失效。提示取反生成的字节里有可能出现%00URL 传输时会被截断。写脚本的时候顺手判一下遇到0x00就换个等价的构造方式比如改用异或。我在本地就撞过一次调试了半天才发现是空字节被吞了。异或的构造方式更适合字符集被限制得很死的场景。原理是用两个允许出现的字符异或得到目标字符。比如! ^ 得到0x21 ^ 0x40 0x61正好是小写字母a。同理 ^ 得到b。理论上任意字符都能用两个可见字符异或出来代价是 payload 变长所以一般配合长度充裕的场景用。4. 从代码执行到读结果三条落地路径4.1 伪协议可用性的一次性判断如果题目允许include或require并且路径可控那首先要判断的是allow_url_include开没开。这个配置在 PHP 5.2 之后默认是关的所以php://input和data://大概率用不了。判断方法很简单直接试?filephp://filter/convert.base64-encode/resourceindex.php能出内容说明php://filter可用这个不受allow_url_include影响只受allow_url_fopen影响而后者默认是开的。试?filedata://text/plain,?php phpinfo();?能执行说明allow_url_include是开的。php://filter是审计题里的常客因为它不需要任何配置就能读源码。用法记牢这几种php://filter/convert.base64-encode/resourceindex.php php://filter/readconvert.base64-encode/resourceindex.php php://filter/convert.iconv.utf-8.utf-16/resourceindex.php第三种在 base64 被过滤掉的时候很有用虽然读出来的内容是乱码但可以通过iconv的各种编码组合把源码洗出来。这个技巧偏门但关键时刻能救命。4.2 日志与临时文件包含的落地条件当伪协议被禁、上传又走不通的时候文件包含的最后一招是包含日志文件或者临时文件。这条路能走通需要满足几个条件我列成清单方便对照条件检查方式不满足时的替代方案知道日志路径常见路径挨个试读/proc/self/environ日志内容可控发一个带 payload 的请求把 UA 写进去用php://input配合 POST body日志有读权限直接 include 看有没有内容换临时文件路径文件没被截断看包含后是否报错缩短 payload 或调整插入位置日志包含的关键是把 payload 写进日志的某个字段。User-Agent、Referer都是可控的而且大多数默认配置下都会被记进访问日志。发一个 UA 是?php system(cat /f*);?的请求然后 include 日志路径就能触发。临时文件包含稍微绕一点原理是 PHP 处理文件上传时会把上传的临时文件写到/tmp目录文件名是随机的phpXXXXXX。这个文件在请求结束后会被删除所以要在同一个请求生命周期内完成上传和包含。实操上要用条件竞争脚本成功率不高但能用。我在本地试的时候大概十次能中一次线上环境如果负载低会好一些。4.3 被禁函数下的替代读法disable_functions把system、exec、shell_exec全禁了之后很多人就卡住了。其实读文件不需要命令执行PHP 里有大量函数能直接读文件内容函数特点适用场景file_get_contents直接返回字符串最常用无长度限制时首选readfile直接输出到响应不占内存文件较大时highlight_file/show_source带语法高亮会把内容输出读 PHP 源码SplFileObject面向对象可逐行读大文件或需要定位时fopenfgets传统流式读需要按行处理时copy复制文件到可访问目录需要落盘时用这些函数的前提是你能控到eval或者文件包含。如果能控到eval直接把system(...)换成readfile(/flag)就行长度还更短。这个换法我用了很多次几乎每次都比硬啃命令执行省时间。5. 反序列化题眼与魔术方法触发链5.1 魔术方法触发时机速查如果 ezphp 的源码里出现unserialize()那这一章就是主战场。反序列化题的核心是搞清楚哪个类、哪个魔术方法、在什么时候被自动调用。我把常用的触发时机整理成表魔术方法触发时机能干什么__wakeupunserialize执行时改属性、重新初始化__destruct对象被销毁时调方法、写文件、执行代码__toString对象被当字符串用时返回任意内容__call调用不存在的方法时转发到别的方法__invoke对象被当函数调用时执行内部逻辑__get访问不存在的属性时返回别处的值__set给不存在或不可见的属性赋值时拦截赋值实际题目里最常见的是__destruct和__wakeup的组合因为这两个是unserialize一定会碰到的。__toString通常作为链条中间环节用来把对象降级成字符串传给某个字符串函数。5.2 POP 链怎么一步步试出来POP 链听着玄乎其实就是一个从入口倒推出口的搜索过程。我的做法是把源码里所有定义了魔术方法的类列出来每个类里标出这个方法能调到的其他方法。找到最终能执行代码或者读文件的那个方法出口。从出口往回找看哪个魔术方法能调到它再找哪个魔术方法能调到上一层的魔术方法。一路倒推到__destruct或者__wakeup。举个典型的链条形状?php class A { public $cmd; public function __destruct() { $b new B(); $b-run($this-cmd); } } class B { public function run($c) { call_user_func($c); } }这个链条很短A的__destruct会 new 一个B然后调runrun里用call_user_func执行$cmd。所以只要构造一个A对象、把$cmd设成system加上参数序列化后传进去unserialize结束时对象销毁__destruct触发链条走完。构造序列化字符串的时候我习惯手写而不是用脚本生成因为手写能让我把每个属性的可见性、类型都确认一遍。格式是这样的O:1:A:1:{s:3:cmd;s:13:system(id);;}O:1:A表示类名 1 个字符的A对象:1:表示 1 个属性大括号里是键值对。s是字符串数字是长度。长度算错是新手最常犯的错一个字都不能差。5.3 属性可见性和 __wakeup 的两个坑第一个坑属性可见性。private属性在序列化字符串里的键名前面会带上类名格式是\0类名\0属性名。protected属性前面会带\0*\0。如果你按public的格式写反序列化出来的是个空对象链条断在第一步。这个坑我踩过不止一次后来养成习惯——先var_dump一个正常构造的对象看它的序列化字符串长什么样照着抄。第二个坑__wakeup的绕过。早年的 PHP 版本里如果序列化字符串里声明的属性个数小于实际属性个数__wakeup就不会被调用。这个漏洞在 PHP 7.4 之后被修了但很多题目跑的是老版本依然能用。判断方法还是看版本号。另外__wakeup里如果有重置某个属性的操作你要么绕过它要么想办法让重置之后的值依然能被利用。后者更稳妥因为不依赖版本。6. 本地复现环境与调试手法6.1 版本对齐比什么都重要我在第 2.3 节提过版本差异这里再强调一次PHP 7 和 PHP 8 在很多判断上的行为是不一样的尤其是弱类型比较和内部函数的参数校验。本地复现时一定要把容器版本对齐到题目环境对不齐就白调。找版本的办法前面说过这里补一个实操建议如果你完全拿不到版本信息就按 PHP 7.4 准备环境因为大多数题目还是跑在 7.x 上。但所有依赖弱类型的 payload 都要准备一个 PHP 8 的备选方案。本地起环境的命令很简单一条就够docker run -d --name ezphp -p 8080:80 \ -v $PWD/src:/var/www/html \ php:7.4-apache注意-v的路径要用绝对路径相对路径在某些系统上会挂载失败。起来之后访问http://127.0.0.1:8080就能看到页面。6.2 用最土的办法定位判断分支调试 PHP 有个特别朴素但特别好用的办法在每一层判断前面插一行error_log()把变量的值和类型打出来看它到底走到了哪。?php error_log(cmd . var_export($cmd, true)); error_log(type . gettype($cmd));var_export比var_dump好在它能完整显示字符串的每个字符包括不可见字符。我排查取反 payload 的时候全靠它一眼就能看出哪个字节没对上。另一个办法是临时把die换成echo让脚本继续往下走看看后面的逻辑到底有没有被执行。这个方法在我明明绕过了但没回显的场景下特别管用——很多时候不是没绕过是绕过了但输出被后面某一步吞了。6.3 常见报错速查表报错信息原因处理办法md5() expects parameter 1 to be string, array givenPHP 7 下传了数组这就是你要的效果继续TypeError: md5(): Argument #1 must be of type stringPHP 8 下传了数组换思路别用数组绕过unserialize(): Error at offset 0序列化字符串格式错核对长度和引号Warning: include(): Failed opening路径不对或权限不足用php://filter先读源码确认路径Allowed memory size exhausted正则回溯或大文件换 payload 或分批读页面完全空白error_reporting(0)关掉了报错本地开display_errors复现最后一行那个页面空白是最坑的因为出题人常常在第一行就error_reporting(0)任何错误都不显示。本地复现的时候一定要把display_errors打开不然你什么都看不到。7. 排查实录payload 本地通线上不通的六个原因7.1 编码与二次解码这条单独拎出来讲因为我被它坑过太多次。payload 从你手里到服务端中间至少要过两层解码URL 解码和 PHP 自己的处理。如果 payload 里本来就带%很容易在某一层被多解一次或者少解一次。举个具体的例子取反产生的字节里如果有%25也就是%本身浏览器或者中间的某层可能会把它再解一次导致字节错位。解决办法是先用urlencode把整个 payload 再包一层或者干脆改用 POST 传减少一层 URL 解码。还有一种情况是号。URL 里的会被解成空格如果你的 payload 里恰好有传过去就变了。这种时候要用%2B显式编码。7.2 复查清单与速查表每次 payload 不通我就按这张表挨个过一遍八成能定位到问题检查项怎么查典型症状参数名对不对对照源码里的$_GET[xxx]传了但没反应方法对不对GET 还是 POST参数完全收不到类型对不对该传数组的传了字符串判断没被绕过编码对不对打印原始字节看字符串错位版本对不对看报错类型本地通线上挂长度对不对strlen算一遍被截断路径对不对先用读源码确认include 失败这张表我贴在便签上做题的时候扫一眼就能排除掉大部分低级错误。真正需要动脑的地方其实不多大部分时间都浪费在这些细节上。还有一个小技巧把 payload 拆成最小可运行单元一步一步往上加。比如先确认?a[]1b[]2能不能过第一层过了再加正则绕过再加长度压缩。一次性丢一个完整的长 payload出错了你根本不知道是哪一段挂的。这个习惯看着笨但比反复猜快得多。最后分享一个我在 ezphp 里实际用到的心得当一条链子卡住的时候不要死磕退回去把源码重新读一遍特别是那些看起来没用的赋值语句和函数调用。出题人不会写无用代码每一行都在链条上只是你当时没看出来它在哪一环。我那道题的最后一把钥匙就藏在一行被我从头到尾忽略了三遍的$tmp $arr[k] ?? default;里面。
