[PHP内核]PHP内核学习------回答PHP的字符串解析特性Bypass([空格被解析为_，[[只将第一个[解析为_)

Posted 2022-12-12 Y4tacker

文章目录

• 写在前面
• 结果演示
• parse_str处理流程
• [、空格被解析为_
• [[只将第一个[解析为_

写在前面

写这一篇是自己很早之前就很好奇为什么会这样处理，当时没什么能力，今天来尝试分析一下，php底层对其的处理，因为对web的调试比较麻烦，这里用parse_str分析代替，本文先跟踪parse_str流程再解释
你们一定记得这篇文章，也一定很疑惑为什么，时隔一年终于有能力回答了

结果演示

[被替换为_

test[a[bc被解析为test_a[bc

空格被替换为_

parse_str处理流程

parse_str实现在ext\\standard\\string.c
首先是初始化以及，简单的赋值以及获取长度

接下来estrndup其实就是分配内存并赋值给res

由于不是NULL，进入下面分支

php函数命名抽象大师还是进去看一眼zval_ptr_dtor，再靠近一点点发现是和引用相关的还有GC不是重点跳过

array_init也是没啥意义的

跟下一个重点就是sapi_module.treat_data，由于直接调用的parse_str进入default分支,简单赋值

再往下，接下来赋值给res

接下来获取全局中分隔符也就是默认的&

后面都是一些我们不太需要关注的点，我调到跳到关键的地方
继续跟入php_register_variable_ex

往下深入

下面来解释

[、空格被解析为_

直接放结果，在main\\php_variables.c，下面这个函数已经明显的告诉了我们结果，就不必多说了

[[只将第一个[解析为_

前面开辟了空间赋值等下会用到这个变量

还是这张图

当到了这里，php会认为你解析到了数组，给p为当前指针指向的变量名地址，并把当前指针指向赋值为0

赋值

指针指向变量名下一位赋值给index_s对象

这里因为没有]进行匹配，所以把指针指向前一位赋值为_，这也就解释清楚了

同时你也应该知道了为什么 [[只将第一个[解析为_，第二个不解析了吗，以及[.、[空格等多种操作
break你发现了吗