详解php比较操作符的安全问题

php的比较操作符有==（等于）松散比较，===（完全等于）严格比较，这里面就会引入很多有意思的问题。

在松散比较的时候，php会将他们的类型统一，比如说字符到数字，非bool类型转换成bool类型，为了避免意想不到的运行效果，应该使用严格比较。如下是php manual上的比较运算符表：

例子    名称     结果$a == $b  等于   TRUE，如果类型转换后 $a 等于 $b。$a === $b  全等   TRUE，如果 $a 等于 $b，并且它们的类型也相同。$a != $b  不等   TRUE，如果类型转换后 $a 不等于 $b。$a <> $b  不等   TRUE，如果类型转换后 $a 不等于 $b。$a !== $b  不全等   TRUE，如果 $a 不等于 $b，或者它们的类型不同。$a < $b   小与   TRUE，如果 $a 严格小于 $b。$a > $b   大于   TRUE，如果 $a 严格大于 $b。$a <= $b  小于等于   TRUE，如果 $a 小于或者等于 $b。$a >= $b  大于等于   TRUE，如果 $a 大于或者等于 $b。

0x01 安全问题

1 hash比较缺陷

php在处理hash字符串的时候会用到!=,==来进行hash比较，如果hash值以0e开头，后边都是数字，再与数字比较，就会被解释成0*10^n还是为0，就会被判断相等，绕过登录环节。

root@kali:~/tool# php -r 'var_dump("00e0345" == "0");var_dump("0e123456789"=="0");var_dump("0e1234abc"=="0");'
bool(true)
bool(true)
bool(false)

当全是数字的时候，宽松的比较会执行尽力模式，如0e12345678会被解释成0*10^12345678,除了e不全是数字的时候就不会相等，这能从var_dump("0e1234abc"=="0")可以看出来。

2 bool 欺骗

当存在json_decode和unserialize的时候，部分结构会被解释成bool类型，也会造成欺骗。json_decode示例代码：

$json_str = '{"user":true,"pass":true}';$data = json_decode($json_str,true);if ($data['user'] == 'admin' && $data['pass']=='secirity'){  print_r('logined in as bool'."/n");}

运行结果：

root@kali:/var/www# php /root/php/hash.php
logined in as bool

unserialize示例代码：

$unserialize_str = 'a:2:{s:4:"user";b:1;s:4:"pass";b:1;}';$data_unserialize = unserialize($unserialize_str);if ($data_unserialize['user'] == 'admin' && $data_unserialize['pass']=='secirity'){  print_r('logined in unserialize'."/n");}