正文
PHP代码审计基础-中级篇
提示：扫一扫查出行【扫一扫了解最新限行尾号】
复制提示
初级篇更多是对那些已有的版本漏洞分析，存在安全问题的函数进行讲解，中级篇更多是针对用户输入对漏洞进行利用
中级篇更多是考虑由用户输入导致的安全问题。
预备工具首先要有php本地环境可以调试代码
总结就是
1. 可以控制的变量【一切输入都是有害的 】
2. 变量到达有利用价值的函数[危险函数] 【一切进入函数的变量是有害的】
程序的本质是变量与函数，我们审计的漏洞也无法摆脱这两个元素，让我们先来看下漏洞形成的条件
漏洞的利用效果最终也取决与函数的功能。所以我们在下面讲述
漏洞挖掘的过程中，也将围绕着这两个元素来展开。
我们提到漏洞形成的两大元素是可控变量，和可控变量能够进入
的函数。那么在漏洞挖掘中，我们也不外乎从这两个方向来开始。
收集可控变量
当代码量巨大的时候我们就需要审计工具来帮我们完成一些敏感函数和变量的追踪
例如常用的审计工具
Seay源代码审计系统,一款开源的审计程序。主要针对php代码审计基于危险函数正则匹配
Rirs,基于语义检测，误报率低。
Fortify SCA 商用软件需要破解支持多种语言
百度都有可以自行下载
SQL注入
对于SQL注入建议正向追踪。在拿到源码时先找到它的过滤注入函数判断
1.如果没有过滤就可以直接注入
2.如过调用了addslashes 就无法对字符型做绕过，当然如果他设置了
Set character_set_client=gbk 开启了gbk连接就会存在宽字节注入
- . 数字型注入如果无强转可以绕过的
- . 如果高版本php用了pdo 绑定参数 也不会存在注入
- . urldecode 二次注入 如果调用了这个方法就会存在url二次编码注入
- Mysql_real_escape_string() 对00字节，,\n,\r,\,’,”,\x1a 进行转义
如果参数调用此函数过滤则不存在注入
XSS注入
查找过滤函数如 htmlspecialchars 对接收到参数做html编码为<>等。 如果不对标签做过滤，也可以利用内置标签的属性来注入xss,xss各种标签和新特性导致了很难防御所以也更容易找到。
反射型和存储型xss只需要跟踪输入输出位置是否有过滤，而dom型你还要对js做审计查看是否直接输出的js代码。
CSRF
Csrf需要找到修改密码，删除信息，修改信息等重要操作的地方查看，有没有加referer或者token验证 否者就存在csrf漏洞 。或者直接看公共的核心文件是否有加token验证之类的代码。
文件包含
包含可以直接执行包含文件的代码，包含的文件格式不是受限。分为本地包含和远程包含。
本地包含：需要注意includ()，include_once(),require(),require_once()
包含php上传的临时文件，在url请求php代码记录到webserver日志在包含
Webserver的日志 如果是linux 可以包含/proc/self/environ
远程文件包含
需要查看php.ini配置 allow_url_include=on 可以直接用php伪协议进行包含代码
然而大部分情况都是本地文件包含， 对文件包含截断我们通常可以%00就行截断，同样的也可以利用多个句号（.）和反斜杠（/）进行截断
在windows 下测试240个连接点（.）可以截断，linux下需要2038个（/）组合才能截断，但是在php5.3版本以后就不能利用了。
现在还能用的无版本限制的也只有远程文件包含利用(?),(空格),(#) 进行后缀利用截断。
文件下载和读取
可以根据功能点快速定位到代码 查看fiel_get_contents(),等一些读取文件函数是否有权限验证没有的话就存在任意文件读取
文件上传漏洞
找到上传文件代码或者全局搜索move_uploaded_file() 查看是否有进行条件过滤。
基于黑名单绕过：大小写，双写过滤，特殊扩展名，非法符号
基于白名单绕过：%00截断，非法符号截断，中文字符截断
文件头验证绕过：直接篡改头类型
文件CG渲染绕过：正常图片加流文件合并绕过
文件删除漏洞
多见个人中心文件管理位置删除功能可以越权删除，代码未做目录跳转限制
和权限验证可以造成任意文件删除
代码执行漏洞
常见eval(),assert(),preg_replace(),call_user_func(),call_user_funca_array(),array_map()等可造成命令执行 还有动态函数 $a($b)
Call_user_funca(),call_user_funca_array() 动态调用。这些都可以通过工具进行追踪可以看是否参数可控。
命令执行
只要对接受参数未作过滤直接带入7个函数进行命令执行
System(),exec(),shell_exec(),passthru(),pcntl_exec(),proc_optn()函数
反引号也可以例如`cmd` 将被执行命令 可以直接利用工具追踪查看参数是否可控
越权
分两种水平越权，垂直越权。
大多存在在uid身份标识位置的可篡改造成越权。对不同的用户身份篡改造成不同的越权。还有的页面没有设置权限访问，可以未授权访问。
本篇虽然篇幅过少但实操确实非常重要的，可以去找开源cms去练手做到熟能生巧，以具备快速审计能力。
谨记必须要大量的审计代码训练才能对以上漏洞做到非常熟练。
