php str_replace的替换漏洞

PHP str_replace 函数本身没有替换漏洞，但是如果使用不当，就会导致替换漏洞的风险。接下来我会详细介绍PHP str_replace 替换漏洞以及如何防范。

1. PHP str_replace 替换漏洞原因

• str_replace 函数的第三个参数是表示要替换的字符串次数。如果不设置次数，它会替换所有匹配的字符串。
• 当第一个参数不是字符串时，PHP 会将其强制转换成字符串类型，这可能导致类型混淆。

如果攻击者成功通过变量注入攻击，将恶意 payload 注入到待处理的字符串中，就可能会触发替换漏洞。

例如下面的代码：

$keyword = $_GET['keyword'];
$html = file_get_contents('http://www.baidu.com/s?wd='.urlencode($keyword));
$html = str_replace('<a', '<span', $html);
echo $html;

正常情况下，这段代码会将百度搜索结果中所有的<a>标签替换成<span>标签，从而改变网页的样式。但是，如果攻击者将恶意 payload 作为关键词传递给此脚本，就会导致替换漏洞：

例如，攻击者传递的关键词是：

c=id";if(stristr($_REQUEST[cmd],"dir"))system($_REQUEST[cmd]);

则会生成的 HTML 代码如下：

<span href='javascript:";if(stristr($_REQUEST[cmd],""dir""))system($_REQUEST[cmd]);' onmousedown='return rwt(this,"","0","","","0","227","AOvVaw06UdF82g-oaLyg58aGrJHT","1vn5y2tNmfPrL_9g-f1M3ZPI2B40sc6Q3E7oDhuC",null,"a8d7Iu856-mqm9-kAAAAAAAAAAH8AAAAyAADN-V25hcCUyQy9sb2NhbC9nb29nbGUudHh0","0ahUKEwjjzJiNk4LhAhUByYsKHhjPApcQ-0IIiQUwUw","0")' onmouseover='this.style.color="#008000"' onmouseout='this.style.color="#00c"'>hao123.天气预报</span>

这段代码会将原来<a>标签的 href 属性替换掉，导致链接失效。此外，代码中的 payload 会执行用户输入的 cmd 命令，存在远程命令执行漏洞。如果攻击者传递的 cmd 参数包含系统命令，就会在服务器上执行。

2. PHP str_replace 替换漏洞防范措施

要消除 PHP str_replace 替换漏洞，需要考虑以下几点：

• 1. 输入过滤：从用户输入中删除特殊字符和标签，例如 HTML 标签，JavaScript 代码和 SQL 相关命令。可以使用 htmlspecialchars()、strip_tags() 等 PHP 函数对输入进行过滤。
• 1. 输出类型强制转换：确保对输入的变量使用正确的数据类型。例如，即使用户输入的是数字，也应该将变量强制转换为数字类型。 可以使用(int)、(string)、(float)、(bool) 等强制类型转换操作符。
• 1. 替换次数控制：尽可能不使用 PHP str_replace 函数的第三个参数。如果必须使用，请确保输入进来的变量是数字，并且替换次数是有限的。

以下是使用正则表达式对输入进行过滤的示例：

$keywords = preg_replace('#[^a-zA-Z ]#i', '', $_GET["keywords"]); // 删除字符串中除了字母、空格和一些特定字符之外的所有字符。

另一个示例是使用 PHP filter_var() 对 URL 进行过滤：

$url = $_POST["url"];
$url = filter_var($url, FILTER_SANITIZE_URL); // 过滤 URL 中的任何无效字符。

防范措施可以根据应用场景的不同，针对性地对用户输入进行合适的过滤和类型转换，从而保障系统的安全性。