在PHP代码审计中，不当使用字符串函数如strpos可能导致严重的安全漏洞。本文将通过一个实际案例分析strpos函数的误用，并展示如何利用该漏洞进行攻击。

案例分析

以下是一个存在漏洞的PHP代码示例：

<?php
class UserAuth {
  public function __construct($username, $password) {
    $this->validateInput($username, $password);
  }

  private function validateInput($username, $password) {
    if (
      (!strpos($username, '<') || !strpos($username, '>')) &&
      (!strpos($password, '<') || !strpos($password, '>'))
    ) {
      // 拼接XML格式数据
      $format = '<?xml version="1.0"?>' .
        '<user v="%s"/><pass v="%s"/>';
      $xml = sprintf($format, $username, $password);

      try {
        $xmlElement = new SimpleXMLElement($xml);
        $this->processLogin($xmlElement);
      } catch (Exception $e) {
        echo "Error: Invalid XML format.";
      }
    }
  }

  private function processLogin($xmlElement) {
    // 实际登录逻辑
    echo "User authenticated successfully.";
  }
}

// 使用用户输入实例化类
new UserAuth($_POST['username'], $_POST['password']);
?>

问题分析

上述代码试图通过strpos函数过滤掉包含<和>字符的用户名和密码，以防止XML注入攻击。然而，strpos函数的行为在某些情况下可能不符合预期。具体来说，当目标字符位于字符串的开头时，strpos返回值为0，这在布尔上下文中会被视为false。因此，开发者原本期望的逻辑被破坏，导致过滤机制失效。

例如，如果用户提交的用户名为<"><malicious-tag property="，则strpos($username, '<')返回0，而!strpos($username, '<')结果为true，从而绕过了过滤检查。

构造Payload

根据上述分析，可以构造如下Payload来测试漏洞：

• 用户名: <"><malicious-tag property="
• 密码: <malicious-tag>

验证代码行为时，可以添加调试语句观察strpos的返回值：

$username = '<"><malicious-tag property=';
$password = '<malicious-tag>';
var_dump(strpos($username, '<')); // 输出 int(0)
var_dump(!strpos($username, '<')); // 输出 bool(true)
var_dump(strpos($password, '<')); // 输出 int(0)
var_dump(!strpos($password, '<')); // 输出 bool(true)

最终，整个条件表达式的结果为true，允许恶意输入通过并触发XML注入。

实际应用案例

类似的问题也出现在一些开源项目中。例如，DedeCMS V5.7 SP2版本中的resetpassword.php文件存在类型比较漏洞。由于对用户输入的安全问题答案未进行严格类型检查，攻击者可以通过特定的payload（如0e1）绕过验证，实现任意用户密码重置。

以下是关键代码片段的简化版本：

<?php
function validateSecurityAnswer($question, $answer, $storedQuestion, $storedAnswer) {
  if ($question == $storedQuestion && $answer == $storedAnswer) {
    return true;
  }
  return false;
}

$question = $_POST['safequestion'];
$answer = $_POST['safeanswer'];
$storedQuestion = '0'; // 数据库中默认值
$storedAnswer = null;

if (validateSecurityAnswer($question, $answer, $storedQuestion, $storedAnswer)) {
  // 触发密码重置流程
  echo "Password reset initiated.";
} else {
  echo "Validation failed.";
}
?>

通过发送safequestion=0e1&safeanswer=，攻击者可以成功绕过验证。

总结

通过对strpos函数行为的深入理解以及对PHP弱类型比较机制的学习，我们可以更好地识别潜在的安全隐患。在开发过程中，务必注意边界条件和类型一致性，避免因函数误用引发的安全问题。