搜索

[18400] 2021-08-04_代码审计常见的三种方法（PHP篇）

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-08-04_代码审计常见的三种方法（PHP篇） 代 码 审 计 常 见 的 三 种 方 法 （ P H P 篇 ） V 0 W K e e p 3 r   H A C K 之 道   2 0 2 1 - 0 8 - 0 4 收 录 于 话 题   # 代 码 审 计   , 1 个 0 x 0 0   前 言 前 言 之 前 也 做 过 一 些 代 码 审 计 ， 主 要 语 言 是 P H P ， 大 部 分 情 况 下 ， 都 是 东 一 榔 头 西 一 棒 ， 非 常 不 优 雅 ， 甚 至 有 时 为 了 找 一 个 功 能 点 的 代 码 ， 翻 来 倒 去 很 久 ， 浪 费 时 间 。 偶 然 看 见 国 光 0 r z 的 p h p 代 码 审 计 环 境 的 搭 建 ， 在 搭 建 完 之 后 ， 我 又 尝 试 对 国 光 大 佬 0 r z 分 析 过 了 的 一 个 企 业 建 站 系 统 进 行 简 单 复 现 ， 得 益 于 代 码 审 计 环 境 尤 其 是 P H P 调 试 环 境 的 搭 建 ， 我 很 快 就 可 以 定 位 到 功 能 点 的 具 体 代 码 ， 大 大 缩 短 寻 找 功 能 点 代 码 的 时 间 ， 提 高 审 计 效 率 。 于 是 记 录 一 下 现 在 的 一 个 审 计 过 程 。 文 章 偏 小 白 ， 大 佬 轻 喷 0 r z 。 0 x 0 1   环 境 准 备 环 境 准 备 环 境 准 备 方 面 ， 前 人 之 述 备 矣 。 参 考 ： m a c O S   下 优 雅 地 配 置   P H P   代 码 审 计 环 境 环 境 解 决 之 后 ， 接 下 来 本 菜 鸡 将 以 新 秀 企 业 建 站 系 统 为 例 简 述 现 在 的 代 码 审 计 流 程 。 参 考 链 接 ： P H P 代 码 审 计 初 次 尝 试 之 新 秀 企 业 网 站 系 统 0 x 0 2   从 代 码 本 身 找 漏 洞 从 代 码 本 身 找 漏 洞 不 知 道 大 家 在 进 行 白 盒 测 试 的 时 候 ， 一 般 使 用 什 么 样 的 方 式 。 我 之 前 一 般 就 比 较 无 脑 ， 直 接 s e a y 师 傅 的 代 码 审 计 工 具 一 上 ， 然 后 对 其 检 测 出 来 的 问 题 点 ， 挨 个 查 看 ， 再 找 相 应 的 功 能 点 进 行 验 证 。 这 种 方 式 可 能 确 实 能 发 现 很 多 问 题 ， 但 是 由 于 s e a y 代 码 审 计 工 具 ， 是 通 过 找 危 险 函 数 来 判 断 是 否 为 漏 洞 点 ， 所 以 存 在 误 报 率 很 高 的 问 题 误 报 率 很 高 的 问 题 。 另 一 方 面 ， 通 过 代 码 ， 想 去 反 过 来 找 到 对 应 的 功 能 点 位 置 反 过 来 找 到 对 应 的 功 能 点 位 置 ， 实 际 上 是 比 较 难 难 的 。 同 样 的 自 动 化 代 码 审 计 工 具 有 ： S e a y 源 代 码 审 计 系 统 F o r t i f y   S C A R I P S 以 S e a y 源 代 码 审 计 系 统 为 例 ： 由 于 S e a y 审 计 工 具 以 及 类 似 产 品 的 原 理 是 通 过 规 则 匹 配 ， 查 找 可 能 存 在 问 题 和 漏 洞 的 点 ， 比 较 好 的 是 可 以 很 快 的 给 我 列 出 很 多 可 能 存 在 漏 洞 的 点 。 但 是 有 两 个 问 题 比 较 难 以 解 决 ： 如 何 通 过 这 些 代 码 的 位 置 定 位 到 功 能 点 的 位 置 。 规 则 匹 配 导 致 输 出 的 漏 洞 点 数 量 远 远 大 于 实 际 的 风 险 漏 洞 的 数 量 ， 需 要 消 耗 大 量 的 精 力 复 现 和 筛 选 ， 大 部 分 时 间 都 浪 费 在 人 工 消 除 误 报 。 基 于 以 上 两 个 原 因 ， 我 开 始 尝 试 从 功 能 点 从 功 能 点 + 调 试 的 方 式 来 找 漏 洞 调 试 的 方 式 来 找 漏 洞 。
0 x 0 3   从 功 能 点 调 试 的 方 式 找 漏 洞 从 功 能 点 调 试 的 方 式 找 漏 洞 所 谓 从 功 能 点 来 找 漏 洞 ， 顾 名 思 义 ， 就 是 通 过 搭 建 一 个 完 整 的 环 境 （ 比 如 C M S 等 建 站 系 统 的 环 境 ） ， 然 后 对 常 见 的 功 能 点 进 行 测 试 ， 通 过 调 试 的 方 式 来 找 到 对 应 功 能 点 的 源 码 对 常 见 的 功 能 点 进 行 测 试 ， 通 过 调 试 的 方 式 来 找 到 对 应 功 能 点 的 源 码 。 在 对 源 码 进 行 审 计 ， 这 样 我 们 可 以 较 为 轻 松 的 定 位 功 能 点 和 具 体 代 码 的 对 应 关 系 ， 对 整 个 代 码 的 逻 辑 有 更 为 清 楚 的 认 识 较 为 轻 松 的 定 位 功 能 点 和 具 体 代 码 的 对 应 关 系 ， 对 整 个 代 码 的 逻 辑 有 更 为 清 楚 的 认 识 。 以 新 秀 企 业 建 站 系 统 为 例 ， 讲 一 讲 如 何 通 过 调 试 方 式 对 特 定 功 能 点 进 行 检 查 ， 确 认 其 是 否 存 在 漏 洞 。 3 . 1   a d m i n 页 面 是 否 存 在 页 面 是 否 存 在 S Q L 注 入 注 入 a d m i n 页 面 ， 通 过 监 听 S Q L 语 句 的 执 行 情 况 ， 找 到 账 号 登 录 时 的 S Q L 语 句 。 通 过 对 这 个 S Q L 语 句 的 一 部 分 进 行 全 p r o j e c t 搜 索 ， 找 到 相 应 的 代 码 点 。 注 意 ： 此 时 的 代 码 可 能 不 是 最 终 的 注 意 ： 此 时 的 代 码 可 能 不 是 最 终 的 S Q L 语 句 执 行 的 代 码 点 语 句 执 行 的 代 码 点 ， 但 是 没 有 关 系 ， 我 们 可 以 在 这 里 下 断 点 ， 然 后 在 浏 览 器 里 执 行 相 应 的 操 作 ， 比 如 我 们 这 里 是 输 入 账 号 密 码 ， 登 录 。 M y S Q L M o n i t o r
之 后 ， 因 为 下 了 断 点 ， 开 启 x d e b u g 监 听 ， 我 们 可 以 s t e p   i n ， 然 后 之 后 找 到 相 应 的 S Q L 语 句 的 位 置 ， 再 对 其 源 码 进 行 审 计 。 此 处 ， 明 显 还 是 使 用 了 S Q L 语 句 的 拼 接 ， 这 个 可 能 是 存 在 问 题 的 ， 但 是 是 否 存 在 S Q L 注 入 漏 洞 ， 我 们 还 需 要 进 一 步 验 证 。 比 如 我 们 这 样 ： 结 果 发 现 好 像 被 转 义 了 。 我 们 可 以 将 断 点 往 前 面 放 一 点 ： 发 现 这 个 小 小 的 企 业 建 站 系 统 ， 竟 然 还 做 了 不 错 的 安 全 限 制 。 u s e r n a m e   =   a d m i n '   a n d   s l e e p ( 2 ) # p a s s w o r d   =   1 2 3 '
1 .   s a f e 函 数 对 攻 击 I P 封 禁 一 段 时 间 。 2 .   s t r i c t 函 数 将 一 些 危 险 字 符 替 换 成 对 应 的 H T M L 实 体 ， 确 实 可 以 防 护 很 多 的 S Q L 注 入 攻 击 。 i n c l u d e / f u n c t i o n . p h p : 4 2 6 i n c l u d e / f u n c t i o n . p h p : 7 4
然 后 我 们 就 可 以 确 认 ， a d m i n 的 登 录 点 不 存 在 S Q L 注 入 。 其 他 的 功 能 点 也 是 一 样 ， 可 以 通 过 调 试 方 式 ， 非 常 轻 松 地 定 位 到 代 码 ， 然 后 审 计 一 下 代 码 的 逻 辑 和 危 险 函 数 的 使 用 是 否 存 在 问 题 ， 基 本 上 ， 所 有 功 能 点 过 一 遍 就 差 不 多 了 。 当 然 ， 全 部 过 一 遍 之 后 ， 还 可 以 再 结 合 s e a y 审 计 工 具 来 查 漏 补 缺 一 下 。 我 们 再 举 一 两 个 例 子 。 3 . 2   前 台 搜 索 功 能 点 前 台 搜 索 功 能 点 S Q L 注 入 漏 洞 注 入 漏 洞 先 输 入 一 个 关 键 词 ， 利 用 M y S Q L M o n i t o r 定 位 S Q L 语 句 。 找 到 测 试 的 关 键 词 ， 找 到 相 应 的 S Q L 语 句 。 h t t p : / / s i n s i u : 8 8 8 8 / ? / s e a r c h / i n d e x . h t m l / k e y - T E S T /
对 S Q L 语 句 的 一 部 分 进 行 全 p r o j e c t 的 搜 索 ， 定 位 一 下 ： 下 断 点 ， 执 行 看 看 ： 发 现 这 里 是 S Q L 语 句 直 接 拼 接 了 ， 而 且 不 像 之 前 经 过 过 滤 。 i n d e x / m o d u l e / s e a r c h _ m a i n . p h p : 2 : m o d u l e _ s e a r c h _ m a i n ( ) 函 数
于 是 我 们 就 有 了 这 样 的 结 果 ： 确 定 这 里 存 在 S Q L 注 入 之 后 ， 就 可 以 通 过 s q l m a p 来 进 行 利 用 。 我 们 很 轻 松 的 找 到 （ f u   x i a n ） 了 一 个 漏 洞 。 3 . 3   后 台 语 言 设 置 后 台 语 言 设 置 G e t s h e l l 看 了 上 面 的 两 个 例 子 ， 那 么 问 题 来 了 ， 如 果 说 一 个 功 能 点 他 不 直 接 和 数 据 库 交 互 ， 我 们 如 何 通 过 功 能 点 来 定 位 代 码 呢 ？ 我 的 方 法 是 ， 搜 索 一 些 特 定 字 符 串 ， 听 上 去 很 傻 ， 但 是 往 往 挺 有 效 果 的 。 比 如 我 们 怀 疑 后 台 编 辑 语 言 文 件 的 位 置 存 在 任 意 文 件 写 入 的 问 题 导 致 g e t s h e l l 。 h t t p : / / s i n s i u : 8 8 8 8 / ? / s e a r c h / i n d e x . h t m l / k e y - % 2 7 U N I O N % 2 0 A L L % 2 0 S E L E C T % 2 0 N U L L , N U L L , d a t a b a s e ( ) - - % 2 0 - p y t h o n 3   s q l m a p . p y   - u   " h t t p : / / s i n s i u : 8 8 8 8 / ? / s e a r c h / i n d e x . h t m l / k e y - % 2 7 * % 2 0 % 2 3 / "   - v   3   - D   s u s i u   - T   p h p _ a d m i n   - C   a d m _ i d , a d m _ u s e r n a m e , a d m _ p a s s w o r d   - - d u m p
那 我 们 可 以 去 搜 索 编 辑 语 言 包 成 功 编 辑 语 言 包 成 功 。 在 搜 索 一 些 关 键 词 时 ， 如 果 直 接 搜 可 能 找 不 到 ， 可 以 使 用 模 糊 查 询 或 者 正 则 表 达 式 查 询 。 前 后 结 合 一 下 ， 能 够 找 到 写 文 件 的 位 置 。 之 后 ， 设 置 断 点 ， 进 行 测 试 ， 而 且 比 较 清 晰 的 看 到 代 码 的 执 行 过 程 。
过 了 过 滤 器 ， 文 件 内 容 过 了 过 滤 器 。 过 滤 器 就 转 义 了 一 下 ， 几 乎 相 当 于 没 有 过 滤 ， 我 们 就 可 以 任 意 文 件 写 入 。 也 是 可 控 的 ， 所 以 就 可 以 很 轻 松 的 写 入 s h e l l 。 当 然 ， 该 方 法 虽 然 一 般 情 况 下 的 表 现 不 错 。 但 是 ， 相 比 于 通 过 s e a y 审 计 工 具 挨 个 去 看 危 险 函 数 ， 该 方 法 对 源 码 的 整 体 性 以 及 漏 洞 的 挖 掘 程 度 并 不 够 该 方 法 对 源 码 的 整 体 性 以 及 漏 洞 的 挖 掘 程 度 并 不 够 。 0 x 0 4   整 体 阅 读 代 码 整 体 阅 读 代 码 这 种 方 法 比 较 硬 核 。 。 。 本 人 尚 菜 ， 很 少 尝 试 这 样 去 审 计 一 个 系 统 。 当 然 ， 对 于 一 个 比 较 小 的 系 统 ， 或 者 类 似 于 C T F 中 的 代 码 审 计 ， 可 能 只 是 有 一 个 场 景 ， 整 体 代 码 量 较 小 的 情 况 整 体 代 码 量 较 小 的 情 况 下 ， 会 是 非 常 不 错 的 方 式 。 不 仅 可 以 较 为 深 入 的 挖 掘 漏 洞 ， 还 可 以 较 为 深 入 的 挖 掘 漏 洞 的 成 因 ， 利 用 方 式 。 比 如 比 较 流 行 的 p h p 反 序 列 化 的 反 序 列 化 的 P O P 利 用 链 利 用 链 。 0 x 0 5   总 结 总 结 $ p a t h   =   p o s t ( ' p a t h ' ) ; $ l a n g _ t e x t   =   p o s t ( ' l a n g _ t e x t ' , ' n o _ f i l t e r ' ) ; f i l e _ p u t _ c o n t e n t s ( $ p a t h , $ l a n g _ t e x t ) ; $ p a t h s t r i c t $ l a n g _ t e x t n o _ f i l t e r n o _ f i l t e r / / 不 过 滤 f u n c t i o n   n o _ f i l t e r ( $ s t r ) {     i f ( S _ M A G I C _ Q U O T E S _ G P C )     {         $ s t r   =   s t r i p s l a s h e s ( $ s t r ) ;     }     r e t u r n   $ s t r ; } $ p a t h
本 文 总 结 了 p h p 代 码 审 计 的 常 见 三 种 方 法 。 并 以 新 秀 企 业 建 站 系 统 为 例 ， 详 细 实 战 了 功 能 点 调 试 的 方 式 找 漏 洞 的 方 法 ： 代 码 本 身 找 漏 洞 通 过 功 能 点 调 试 的 方 式 找 漏 洞 整 体 阅 读 代 码 找 漏 洞 希 望 对 读 者 在 代 码 审 计 的 入 门 有 帮 助 。 祝 福 各 位 师 傅 早 日 挖 到 属 于 自 己 的 洞 。 0 x F F   参 考 链 接 参 考 链 接 国 光 — — m a c O S   下 优 雅 地 配 置   P H P   代 码 审 计 环 境 - h t t p s : / / w w w . s q l s e c . c o m / 2 0 2 0 / 0 7 / m a c p h p . h t m l 国 光 — — P H P 代 码 审 计 初 次 尝 试 之 新 秀 企 业 网 站 系 统 - h t t p s : / / w w w . s q l s e c . c o m / 2 0 2 0 / 0 1 / s i n s i u . h t m l 文 章 作 者 :   V 0 W K e e p 3 r 文 章 链 接 :   h t t p : / / v 0 w . t o p / 2 0 2 0 / 0 8 / 2 6 / C o d e A u d i t - p h p / ● 干 货 干 货 | 渗 透 学 习 资 料 大 集 合 （ 书 籍 、 工 具 、 技 术 文 档 、 视 频 教 程 ） 渗 透 学 习 资 料 大 集 合 （ 书 籍 、 工 具 、 技 术 文 档 、 视 频 教 程 ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理