[PHP内核]PHP内核学习------zend_try实现

Posted Y4tacker

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了[PHP内核]PHP内核学习------zend_try实现相关的知识,希望对你有一定的参考价值。

文章目录

写在前面

为什么想记录这个,主要是今天学习如何留后门,调用了这个,遂看看


简单记录下

char exec_str[256];
snprintf(exec_str, sizeof(exec_str), "passthru(\\"%s\\");", "calc");
zend_try
	zend_eval_string(exec_str, NULL, "papa");
zend_end_try();

zend_try实现

zend_try_catch基本用法

  zend_try 
        ...exec_try
     zend_catch 
        ...exec_catch
     zend_end_try();

zend_try相关原型定义

首先看到定义是在/Zend/zend.h

SETJMP

不难看到这里有一个关键的函数SETJMP

可以看到和longjmp密不可分,看看函数原型

#include <setjmp.h>
int setjmp(jmp_buf env);

setjmp 函数的功能是将函数在此处的上下文保存在 jmp_buf 结构体中,以供 longjmp 从此结构体中恢复。

  • 参数 env 即为保存上下文的 jmp_buf 结构体变量;
  • 如果直接调用该函数,返回值为 0; 若该函数从 longjmp 调用返回,返回值为非零,由 longjmp 函数提供。根据函数的返回值,我们就可以知道 setjmp 函数调用是第一次直接调用,还是由其它地方跳转过来的。

LONGJMP

函数原型

void longjmp(jmp_buf env, int val);

longjmp 函数的功能是从 jmp_buf 结构体中恢复由 setjmp 函数保存的上下文,该函数不返回,而是从 setjmp 函数中返回。

  • 参数 env 是由 setjmp 函数保存过的上下文。
  • 参数 val 表示从 longjmp 函数传递给 setjmp 函数的返回值,如果 val 值为0, setjmp 将会返回1,否则返回 val。
    longjmp 不直接返回,而是从 setjmp 函数中返回,longjmp 执行完之后,程序就像刚从 setjmp 函数返回一样。

简单的例子

#include <stdio.h>
#include <setjmp.h>
jmp_buf env;
void foo() 
    printf("before jmp\\n");
    int ret = setjmp(env);
    if(ret == 0) 
        printf("2333\\n");
        return;
     else 
        printf("return %d\\n", ret);
    
    printf("after jmp\\n");

int main(int argc, char* argv[]) 
    foo();
    longjmp(env, 999);
    return 0;

看看结果

不难理解首先调用setjmp的时候相当于程序片段1把主动权交出来,然后执行if(ret == 0)下面的程序,直到遇到longjmp,把执行权还给了片段1,并且设置jmp_buf为999,片段1继续执行,发现了ret!=0,就输出return 999。

zend_try实现

                                                            
        JMP_BUF *__orig_bailout = EG(bailout);                    
        JMP_BUF __bailout;                                        
                                                                
        EG(bailout) = &__bailout;                                
        if (SETJMP(__bailout)==0) 
          
               ...exec_try
          
         else                                                 
            EG(bailout) = __orig_bailout;
           
               ...exec_catch
           
                                                               
       EG(bailout) = __orig_bailout;                            

梳理下调用流程

  • 保存全局变量里面的bailout
  • 使用setjmp来做跳转执行下面的程序
  • 执行exec_try内的内容
  • 如果exec_try这个代码段里面有longjmp,并且longjmp返回非0,就执行exec_catch
  • 最后,把全局变量里面的bailout恢复

参考文章

C 语言中 setjmp 和 longjmp

以上是关于[PHP内核]PHP内核学习------zend_try实现的主要内容,如果未能解决你的问题,请参考以下文章

[PHP内核]PHP内核学习------zend_try实现

PHP内核之旅-4.可变长度的字符串

[php-src] Php内核的有趣高频宏

[php-src] Php内核的有趣高频宏

深入理解php内核 编写扩展 I:介绍PHP和Zend

Zend API:深入 PHP 内核