[PHP] strcmp 함수 취약점

 

strcmp 함수 자체는 PHP에서 안전하게 문자열을 비교하는 함수이다.

PHP에서 strcmp 함수는 두 문자열을 비교하여 같으면 0을, 다르면 0이 아닌 값을 반환한다.

(strcmp($a, $b) 를 실행 할 때, $a가 작으면 음수, $b가 작으면 양수, 그리고 $a와 $b가 같으면 0 이 반환)

이 함수는 문자열의 값과 타입을 엄격하게(strict) 비교한다. 

하지만 strcmp는 인자값으로 문자열이 들어오지 않을 경우(배열로 인자값을 주게 될 경우), NULL을 출력하는 취약점을 가지고 있다. 

예제 

GET 방식으로 요청을 받아 admin인지 아닌지 확인하는 코드가 존재할 때,

test = 1을 주면 no를 출력해주고 test=admin을 입력하면 yes를 출력할 것이다. 

<?php
	$test = $_GET['test'];
 
	if(!strcmp($test,"admin")){
		echo "yes";
	}
	else{
		echo "no";
	}
 
?>

 

(php 7.1 버전에서 테스트: http://phptester.net/)

 

이때 test라는 배열 변수에 값을 넣어준 뒤 strcmp함수로 admin과 비교하면 yes라는 값이 출력이 된다. 

분명 admin값을 주지 않았는데도 yes가 출력된 것이다. 

<?php
	$test = Array('asdfasdf');
 
	if(!strcmp($test,"admin")){
		echo "yes";
	}
	else{
		echo "no";
	}
?>

 

실제로 var_dump 를 이용해서 strcmp($test, "admin") 의 리턴값을 보면, test 변수가 배열일 때 strcmp 결과가 null값으로 출력이 된다. 

그 이유는 strcmp 인자값으로 문자열이 들어오지 않았기 때문에 함수의 결과로 NULL을 리턴하게 되기 때문이다. 

<?php
	$test = Array('asdfasdf');
    
	var_dump(strcmp($test,"admin"));
	var_dump(!strcmp($test,"admin"));
	var_dump(strcmp($test,"admin") == 0);
?>

이때 NULL과 0을 == 연산을 하거나 !NULL (NULL == false)를 하게 되면 TRUE가 나오게 된다. 

 

따라서, strcmp로 어떤 문자열을 비교하게 된다면 배열 형식으로 데이터를 보내면 우회가 가능하다.

 

[참고] https://lactea.kr/entry/php-strcmp%EB%A5%BC-%EC%9D%B4%EC%9A%A9%ED%95%9C-%EC%B7%A8%EC%95%BD%ED%95%9C-%EC%9D%B8%EC%A6%9D%EC%A0%88%EC%B0%A8