搜索

[13354] 2018-10-29_PHP代码审计实战思路浅析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-10-29_PHP代码审计实战思路浅析 P H P 代 码 审 计 实 战 思 路 浅 析 w n l t c 0   F r e e B u f   2 0 1 8 - 1 0 - 2 9 战 略 性 的 思 考 而 非 战 术 战 略 性 的 思 考 而 非 战 术 对 于 面 向 过 程 写 法 的 程 序 来 说 ， 最 快 的 审 计 方 法 可 能 时 直 接 丢 对 于 面 向 过 程 写 法 的 程 序 来 说 ， 最 快 的 审 计 方 法 可 能 时 直 接 丢 s e a y 审 计 系 统 里 ， 但 对 于 基 于 审 计 系 统 里 ， 但 对 于 基 于 m v c 模 式 的 程 序 来 模 式 的 程 序 来 说 ， 你 直 接 丢 说 ， 你 直 接 丢 s e a y 审 计 系 统 的 话 ， 那 不 是 给 自 己 找 麻 烦 吗 ？ 审 计 系 统 的 话 ， 那 不 是 给 自 己 找 麻 烦 吗 ？ 像 面 向 过 程 写 法 的 程 序 ， 可 以 找 下 它 的 公 共 函 数 文 件 有 啥 可 以 利 用 的 不 ， 然 后 就 是 丢 s e a y 审 计 系 统 。 而 对 于 基 于 m v c 写 法 的 程 序 来 说 ， 跟 读 他 的 入 口 文 件 ， 了 解 整 个 程 序 的 运 行 流 程 跟 目 录 结 构 ， 之 后 再 深 入 去 了 解 它 的 核 心 类 库 ， 如 果 核 心 类 库 存 在 漏 洞 的 话 ， 那 在 这 套 程 序 中 找 出 个 漏 洞 的 希 望 那 不 是 一 般 的 大 啊 ！ 了 解 了 整 个 框 架 运 行 流 程 后 ， 也 没 从 核 心 类 库 中 发 现 什 么 可 利 用 的 点 的 话 ， 这 时 就 可 以 从 功 能 点 入 手 了 ( 这 时 可 以 把 源 码 丢 进 s e a y 源 代 码 审 计 系 统 了 ) 。 一 套 组 合 拳 打 下 了 后 还 是 没 找 到 漏 洞 咋 办 ？ 没 事 ， 换 套 程 序 继 续 。 如 果 换 了 n 套 程 序 都 找 不 出 来 ， 那 就 换 个 人 吧 … … 实 战 环 节 实 战 环 节 大 概 目 录 结 构 长 这 样 打 开 i n d e x . p h p 目 标 ： 某 开 源 c m s ( i c m s ) 环 境 ： w i n + p h p s t u d y + s u b l i m e ├ ─ ─   a p p               应 用 ├ ─ ─   c a c h e           缓 存 ├ ─ ─   c o r e             i c m s 程 序 入 口 ├ ─ ─   i P H P             i p h p 框 架 文 件 ├ ─ ─   p u b l i c         公 共 资 源 ├ ─ ─   r e s               用 户 资 源 └ ─ ─   t e m p l a t e     模 板
发 现 载 入 了 一 个 i c m s . p h p ， 然 后 调 用 了 i C M S : : r u n ( ) 方 法 ( 如 果 你 第 一 反 应 是 以 为 i C M S . p h p 是 个 类 文 件 ， 那 你 后 面 的 审 计 估 计 有 点 难 受 。 ) 跟 进 i C M S . p h p 该 处 载 入 了 配 置 跟 框 架 文 件 ， 继 续 跟 进 i P H P . p h p 载 入 几 个 框 架 文 件 ， 然 后 调 用 i P H P : : b o o t s t r a p ( ) 方 法 ， 这 回 差 不 多 了 ， 继 续 跟 进 i P H P : : b o o t s t r a p ( )
该 处 做 了 些 环 境 配 置 ， 然 后 就 是 调 用 核 心 的 i W A F 、 i S e c u r i t y 类 来 一 下 全 局 过 滤 ( i W A F 这 些 先 跟 ) ， 看 到 这 可 有 有 的 小 伙 伴 又 有 疑 惑 了 ， i W A F 什 么 时 候 加 载 进 来 了 啊 ？ 看 到 4 8 行 的 s p l a u t o l o a d r e g i s t e r 函 数 了 没 ， 再 具 体 点 ， 看 到 5 6 行 那 个 a u t o l o a d 了 没 这 也 没 看 到 哪 有 i n c l u d e 、 r e q u i r e 之 类 的 啊 ， 怎 么 加 载 进 来 的 ？ 别 急 ， 继 续 跟 进 5 7 行 的 s e l f : : a u t o _ r e q u i r e
没 错 就 是 这 了 ， 不 过 代 码 太 长 了 就 不 贴 了 ， 大 概 就 是 判 断 传 来 的 类 名 中 是 否 有 A d m i n c p 或 者 A p p ， 如 果 没 有 就 加 载 a p p / x x / x x . c l a s s . p h p ， 如 果 有 A d m i n c p 则 加 载 a p p / x x / x x . A d m i n c p . p h p ， 如 果 有 A p p 则 加 载 a p p / x x / x x . a p p . p h p ， 如 果 有 F u n c 则 加 载 a p p / x x / x x . f u n c . p h p ， 如 果 以 上 都 不 满 足 则 去 i P H P / c o r e / 下 找
i P H P : : b o o t s t r a p ( ) 大 概 知 道 它 干 了 什 么 了 ， 再 回 头 去 看 看 i C M S : : i n i t ( )
大 概 就 是 初 始 化 配 置 信 息 ， 继 续 往 回 看 ， 跟 进 i C M S : : r u n ( ) 继 续 跟 进 i P H P : : r u n ( 代 码 有 点 长 ) 大 概 就 是 从 p o s t 或 g e t 获 取 应 用 名 ， 加 载 类 跟 实 例 化 类 ， 调 用 方 法 等 划 重 点 了 ( 后 面 会 用 到 ) ， 这 里 的 文 件 名 格 式 是 x x . a p p . p h p ， 类 名 是 x x A p p ， 其 实 整 套 程 序 并 不 止 i n d e x . p h p 这 一 个 入 口 文 件 ， 还 有 a d m i n c p . p h p 、 u s e r . p h p 等 ， 其 中 加 载 的 文 件 名 格 式 跟 类 名 都 是 不 一 样 的 ， 比 如 ： 访 问 i n d e x . p h p 加 载 的 是 x x . a p p . p h p 的 x x A p p 类 ， 访 问 a d m i n c p . p h p 加 载 的 x x . a d m i n c p . p h p 的 x x A d m i n c p 类
跟 完 入 口 文 件 后 ， 对 整 个 框 架 是 怎 么 运 行 的 ， 都 有 了 个 大 概 的 了 解 ， 接 下 来 可 以 去 深 入 了 解 了 我 跟 啊 跟 ， 发 现 核 心 类 中 的 i H t t p 类 的 r e m o t e 方 法 有 点 意 思 ， 在 i P H P / c o r e / i H t t p . c l a s s . p h p   1 3 0 行 r e m o t e 方 法 封 装 了 c u r l ， 用 来 获 取 远 程 页 面 内 容 ， 整 个 方 法 并 没 有 对 u r l 进 行 任 何 限 制 或 过 滤 ， 如 果 调 用 这 个 方 法 前 也 没 用 对 u r l 进 行 限 制 的 话 ， 那 s s r f 就 跑 不 了 了 全 局 搜 索 下 看 哪 调 用 了 这 个 方 法 ， 而 r e m o t e 是 个 静 态 方 法 ， 调 用 格 式 为 i H t t p : : r e m o t e ， 所 以 直 接 搜 这 个 就 可 以 了
我 想 找 前 台 的 漏 洞 ， s o ， 直 接 看 哪 个 的 文 件 名 格 式 类 似 x x . a p p . p h p 就 好 啦 找 啊 找 ， 仅 发 现 前 台 只 有 一 处 调 用 了 该 方 法 找 到 之 后 ， 跟 进 去 看 看 把 $ a v a t a r 传 了 进 去 ， 继 续 往 上 翻 翻 ， 看 有 没 有 啥 过 滤 一 直 往 上 翻 ， 只 看 到 这 句 会 不 会 在 i S e c u r i t y : : e s c a p e S t r 这 做 了 限 制 呢 ？ 继 续 跟 进 去 看 看
貌 似 没 有 对 u r l 做 限 制 ！ ！ ！ 再 往 上 翻 翻 ， 看 看 是 哪 个 方 法 这 回 稳 了 ， 手 动 构 造 数 据 包 解 释 下 个 字 段 ：
s e c o d e 为 验 证 码 ， 可 从 h t t p : / / 1 2 7 . 0 . 0 . 1 / i c m s / p u b l i c / a p i . p h p ? a p p = p u b l i c & d o = s e c c o d e 获 得 ， 验 证 码 信 息 存 在 c o o k i e 里 ， 只 要 c o o k i e 不 变 ， 验 证 码 就 可 一 直 用 。 u s e r n a m e 跟 n i c k n a m e 每 次 请 求 都 要 改 变 ， a v a t a r 为 传 入 的 u r l ， 这 个 漏 洞 还 有 两 处 有 点 蛋 疼 的 地 方 ， 第 一 ， u s e r n a m e 跟 n i c k n a m e 每 次 都 要 改 变 ， 而 且 这 些 值 都 是 会 存 进 数 据 库 的 ； 第 二 ， 这 里 的 s s r f 是 没 有 回 显 。 使 用 d i c t 来 举 个 例 子 ， 访 问 一 个 未 开 启 端 口 时 如 下 访 问 一 个 开 启 的 端 口 时 如 下 如 果 上 述 说 的 都 做 完 还 没 发 现 漏 洞 ， 那 可 以 尝 试 丢 到 s e a y 源 代 码 审 计 系 统 ， 或 者 根 据 功 能 点 进 行 审 计 ， 找 找 逻 辑 漏 洞 如 果 做 完 上 述 操 作 后 再 用 软 件 来 辅 助 ， 会 轻 松 的 多 ， 比 如 ， s e a y 源 代 码 审 计 系 统 扫 出 来 如 下
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理