浅谈代码审计 - 先知社区

首先这里我自我介绍下: 我代码审计也没学多久但是代码学的久其实代码审计你看的代码多了你会感觉真的蛮简单的 (这里只针对原生态的php mvc框架)
Thinkphp框架 Laravel框架这些我也不太会审计所以这篇文章我只说原生态php 和 mvc框架的代码审计

解读下初学代码审计的人:
学习代码审计需要学习php 以及框架吗？
答:学习代码审计是需要学习php的
php需要学到那种程度？
答:我觉得吧学到面向对象就差不多了可能刚开始审计的话就感觉很懵逼
一看这么多代码都不知道从什么地方入手
这个没关系我也遇到过
这里我推荐你去学习云之梦的php 跟着它把项目做完就可以了各个功能写一遍就好了然后可以去看李小双大佬的代码审计课程它这里包含了thinkphp laravel框架审计感觉是不错的
https://www.bilibili.com/video/BV1QJ411z714?p=2

好啦前面就说这么说咋们进入正题
总结出: 不要害怕代码审计耐心看完每一个功能点这样子会学到不少东西
代码审计分为

逆向追踪/回溯变量主要看参数是否可控是否有过滤？过滤是否是全局过滤？搜索敏感的关键词定向挖掘
正向追踪/跟踪变量找那些文件接收外部传入的参数跟踪变量传递过程
直接挖掘功能点漏洞根据黑盒进行挖掘根据自己经验来判断
通读全文了解程序架构函数集文件配置文件 config 安全过滤文件 filter check等
这里建议初学者用xdebug分析我觉得这个工具合适蛮不错的
这里有篇文章:
https://www.cnblogs.com/linqingvoe/p/10907672.html
可以跟着他来安装
这里有两个工具 Seay源代码审计系统 rips
这里我喜欢用Seay源代码审计系统虽然扫的不怎么准但是定位危险函数还是不错的这里我们说的是原生态的不带任何框架的这里可以使用这款工具来定位危险函数

比如说这里我们使用Seay源代码审计系统工具扫描出来的
看到这里是疑似是一个注入

这里明显是一个函数我们此时就要想:在哪调用这个函数是否有过滤变量是否可控
如果这里不是一个函数只是一个普通的sql语句我们需要想:前面是否有函数来进行过滤了这个变量他有没有进行单引号包裹数据库是使用的是GBK还是什么?

好了废话不多说我们进入案例 (这里只分享自己审计的思路)
二次编码注入:
如果代码前面写的是urldecode的话我们就可以使用url二次编码然后进行绕过

可以看到这里是过滤了

我们二次编码后他变成了%27 %27解码后是单引号

这里有个案例:
这里可以看到$_GET传过来的id 进行了mysql_real_escape_string过滤
但是下面我们可以看到这里进行了urldecode 所以这里我们可以绕过
http://127.0.0.1?id=%2527 union select 1,2,3 …
%2527解码后变成%27 %27正好是单引号
所以这里造成了二次编码注入
我们在挖掘sql注入漏洞的时候主要分这几个点:
我们用Seay源代码审计系统扫到类似 select order 这些sql语句的时候我们可以追溯变量看他变量是从哪里来的传过来之后有没有过滤之类的
比如:

这里是insert插入的一条sql语句
比如这个$data这个数组我们看他是从哪里来的选中右键全局追踪

这里会有很多

这里可以看到这里作为形参传进去了
我们全局搜索看哪里调用这个函数

可以看到这里进行了调用
我们点进去可以看到这里传入一个实参我们这时候就要想他在传入实参之前有没有进行过滤等等操作
代码审计其实就是一个追溯的一个过程这里说的是函数变量也是如此
看那个变量是从哪里过来的是 post 还是 get cookie 等等
我们看上面的截图可能看到getip() 一般getip() 是获取ip的一般是不会对他进行过滤我们可以查看他这个函数里面写的什么

这里看到这里进行获取ip地址
还有就是你看他拼接sql语句的时候有没有单引号包裹如果没有可能造成一个int类型的注入
这里说几个函数:
遇到htmlspecialchars不要慌看他第二个参数有没有设置
Echo htmlspecialchars($str,ENT_COMPAT) //只转换双引号
Echo htmlspecialchars($str,ENT_QUOTES) //转换双引号和单引号
Echo htmlspecialchars($str,ENT_NOQUOTES) //不转换任何引号
可能有些开发者觉得htmlspecialchars可以过滤sql注入其实是不然的
我们可以看到如果不设置第二个参数他是几乎没有任何作用的只能过滤xss

还有比如说:
有些开发者喜欢使用replace进行过滤
比如:
比如：
Function test(){
$string = str_replace(‘%20’,’’,$string);
$string = str_replace(‘{’,’’,$string);

}
这里举一个例子 %2{7 这里将{替换为空那么就变成%27 然后就能进行注入
等等

我们继续来看文件包含漏洞:
文件包含漏洞分本地文件包含和远程文件包含
在我看的代码里面见的最多的可能就是本地文件包含了
挖掘文件包含漏洞的时候我们主要看这几个函数:
require()
require_once()
include()
include_once()
主要分为这几个函数
挖掘文件包含的时候我们还是要看可控的变量再就是一般文件都喜欢这样子
Include DIR.$username.’php’;
像这种的他后缀有一个php的后缀
这时候我们就需要截断了
但是截断在php5.3已经修复了所以我们要注意php的版本
截断常用的三种方式
第一种就是%00截断 %00受限于GPC 和 addslashes等函数的过滤也就是说在开启GPC的情况下是不可用的
第二种方式就是利用多个点进行截断这种方式不受限于GPC先知不过还是在php5.3修复了
Windows下需要240个点才能够截断
第三种方式是基于远程文件包含时利用问号?来伪截断不受GPC和HTTP版本先知只要能返回代码给包含函数它就能执行

$metid是get提交过来的参数如果不等于index 进行包含所以这里需要截断

Xss漏洞分为反射性 dom型存储型我们就拿反射性和dom型来说
反射性xss:
通常是变量的直接输出
比如:
Echo $_GET[‘name’];
Echo $_SERVER[‘HTTP_REFERER’] 等等
举一个简单的例子

这是我当时挖一个cms的时候虽然是后台的但是觉得还是不错的
这就是Echo $_SERVER[‘HTTP_REFERER’] 直接输出了

存储型xss:
挖掘存储型xss的时候我们需要注意的点留言板发表评论出等等
此时我们要想我们要想在他评论或者留言的时候进数据库的时候有没有进行过滤
并且出库的时候有没有进行过滤这点我们是需要分析的点
我们看到留言板之后找到对应的功能文件使用xdebug进行调试分析看他有没有进行
Htmlspecialchars过滤等等

文件上传漏洞:
文件上传漏洞在挖掘的时候
我们需要注意这个函数 move_upload_file这个函数
move_upload_file函数直接把临时文件copy到新文件
挖掘文件上传漏洞的时候分为这几个点:
黑名单过滤:
限制文件类型不是很全 php能够在大多数Webserver上面解析典型的iis解析漏洞 ngix解析漏洞等等

比如这种的我们就可以查找漏网之鱼进行文件上传
这种就是黑名单过滤不严格导致文件上传
实际中可能遇到这种的是很少的

文件头 content-type验证绕过

像这种就是content-type验证的相信搞渗透的小伙伴们对于这种验证肯定有了绕过了思路
没错我们可以抓包进行更改type
还有就是程序不严谨导致绕过可能有时候我们会发现白名单的时候我们无法上传文件
如果我们上传的后缀在白名单里面它会提示我们禁止上传
比如说

$name = $_GET['name'];
    $basename = pathinfo($name,PATHINFO_EXTENSION );
    $pathname = "D:\phpStudyUser\PHPTutorial\WWW\\".$name;

    if(!in_array($basename,['php', 'php3', 'php4', 'php5', 'phtml', 'pht'],true)){

           file_put_contents($name,'<?php phpinfo()?>');

    }else{

            echo "错误";

    }

这里看到in_array进行后缀检验 pathinfo获取后缀我们在上传的时候如果get传过来的参数是1.php 这里肯定是不允许上传的但是如果写成1.php/. 它会成功上传如果我们写成1.php/. 它的exrension是一个空的值可以成功上传

好啦文件上传就先到这里

命令执行漏洞
这里我需要关注的这几个函数

system：执行一个外部的应用程序并显示输出的结果
exec：执行一个外部的应用程序
shell_exec：执行shell命令并返回输出的结果的字符串
passthru：执行一个UNIX系统命令并显示原始的输出
popen()
proc_popen()
等等
我们来看一个案例:

这里定义了一个Factory这个类然后in_array 进行校验查看是否有admin的权限然后进行file_exists进行判断是否有这个路径最后eval执行
我们来看getA()方法里面是怎么写的

这里是从get请求方式的过来的最后直接return 并没有任何过滤
它既然是一个类文件我们要看它实例化这个类的文件在哪我们全局搜索

这里进行了实例化接下来我们需要找到包含这个文件的

可以看到这几个文件进行了文件包含我们进行构造
www.ycccms.com/config/count.php?a=Factory();@eval($_POST[v]);//../
所以一个正常的流程是
Count.php包含了inc那个文件然后那个文件进了实例化了Factory这个类
所以如果朋友类里面有eval这些危险函数不要慌我们先看他哪里调用了这个类再看哪里包含了这个文件在进行挖掘

文件删除漏洞:
这个漏洞就比较简单了
这个在实战中可能遇到最多的就是unlink了我们可以删除.lock文件导致重装等等
接下来看一个小的案例

function delfile(){
$file=safe_url(getform('path','post'));
$type=safe_url(getform('type','post'));
$file_path=file_path($file);

echo $file_path;

// exit;
$safe_path=array('upload','template','runtime','backup');
if(arr_search($file_path,$safe_path)){
$file=str_replace('//','/',$_SERVER['DOCUMENT_ROOT'].'/'.$file);
$r=$type=='folder' ? del_folder($file) :del_file($file);
if ($r){
returnmsg('json',1,'删除成功');
}else{
returnmsg('json',0,'删除失败,请确认文件夹内是否为空，且有删除权限');
}
}
post包:
POST /admin/save.php?act=delfile HTTP/1.1
Host: www.l.com:8000
Content-Length: 53
Accept: application/json, text/javascript, /; q=0.01
Origin: http://www.l.com:8000
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/39.0.2171.71 Safari/537.36
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Referer: http://www.l.com:8000/admin/?act=imagelist&numtype=1&upfolder=sort
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8
Cookie: PHPSESSID=rnm3qjr3uec6lm06lodb089qk0; zzz660_adminpass=1; zzz660_adminpath=1; zzz660_adminname=admin; zzz660_admintime=1632728834; zzz660_adminface=..%2Fplugins%2Fface%2Fface01.png; XDEBUG_SESSION=PHPSTORM
Connection: close
type=file&path=upload%2F..%2Finstall%2Finstall.lock
绕过$safe_path=array('upload','template','runtime','backup');
但是$file_path = file_path($file)
如果没有这个函数这个是可以任意删除的

// 获取路径中的路径
function file_path( $path ) {
if (strpos( $path, './' )!== false) return error ( '404，很抱歉，路径有误,不支持相对路径！',SITE_PATH);
$list=array();
$path= substr( $path, 0, strrpos( $path, '/' ));
$list=splits($path,'/');
return $list;
}
这里判断了是否有./
但是我们通常绕过可以使用. 但是这里尝试过它通过正则给干掉了所以这里是一个失败的案例
有时候文件删除也需要%00截断之类的具体看代码是怎么写的

最后我们说下审计mvc框架
MVC顾名思义是三个单词的首字母放在一起的简称，M-model（模型），V-view（试图），C-controller（控制器）
我觉得审计mvc框架
最主要的三点
熟悉路由熟悉url上面路由地址
熟悉怎么传参的比如说有些传参可能是?id=1 但是mvc可能是&id=1 有些可能接收参数是$_GET 有些可能是input接收等等
熟悉数据库内核这个是需要调试的我们只有熟悉了数据库内核我们才知道它到底有没有进行过滤才能进一步的挖掘
熟悉数据库内核我们举一个小的例子
我们就用yxcms的数据库内核来做一个小小的例子
$result = model('sort')->find("id=$id");
var_dump($result);
首先查sort这个表

下断点然后进行分析

这里可以看到new sortModel 赋值给这个了
public function find($condition = '', $field = '', $order = ''
return $this->model->table($this->table, $this->ignoreTablePrefix)->field($field)->where($condition)->order($order)->find();
}
然后我们进入find函数这里先是执行了 where 然后是 order
在就是find
我们ff7进去
Table 没什么好看的给数据库赋值的一些东西我们来到find

可以看到这里find函数还是调用的select函数只不过给limit 加了一个 1

我们进入select函数

继续跟进where条件的函数看看有没有过滤因为id=1 我们是可控的所以我们看下有没有过滤
$condition = "";
if(!empty($options['where'])) {
$condition = " WHERE ";
if(is_string($options['where'])) {
$condition .= $options['where'];
} else if(is_array($options['where'])) {
foreach($options['where'] as $key => $value) {
$condition .= " $key = " . $this->escape($value) . " AND ";
}
$condition = substr($condition, 0,-4);
} else {
$condition = "";
}

可以看到这里的where没有进行任何的过滤直接拼凑给$condtion了
return $this->query("SELECT $field FROM $table $where", array(), true);
我们出来再跟进query这个函数

可以看到这里直接执行了

具体数据库内核分析我建议使用xdebug来分析反正我觉得蛮好用的
如果分析出数据库内核没有任何过滤我们就去分析传递参数的时候有没有过滤然后进行挖掘

好啦具体文章就到这里了又水了一篇文章呜呜呜大佬们别骂了在努力学了

目录