搜索

[19728] 2021-03-18_代码审计难？掌握这个学习思路，稳赢！

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-03-18_代码审计难？掌握这个学习思路，稳赢！ 代 码 审 计 难 ？ 掌 握 这 个 学 习 思 路 ， 稳 赢 ！ i 春 秋   2 0 2 1 - 0 3 - 1 8 代 码 审 计 指 的 是 对 源 代 码 进 行 检 查 ， 寻 找 代 码 中 的 B u g 和 安 全 缺 陷 ， 分 析 并 找 到 这 些 问 题 引 发 的 安 全 漏 洞 ， 提 供 代 码 修 订 措 施 和 建 议 。 这 项 技 术 需 要 多 方 面 的 技 能 支 持 ， 比 如 说 要 掌 握 基 础 编 程 、 漏 洞 原 理 、 了 解 系 统 服 务 和 中 间 件 等 。 但 是 对 于 小 白 来 说 ， 可 能 就 是 一 个 “ 代 码 审 计 之 从 入 门 到 放 弃 ” 的 悲 惨 故 事 ， 所 以 学 习 路 线 很 重 要 ， 今 天 i 春 秋 通 过 一 期 公 开 课 《 代 码 审 计 进 阶 之 路 》 教 大 家 掌 握 漏 洞 审 计 的 学 习 思 路 。 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 讲 师 简 介 昵 称 ： d e p y T h e   L o n e r 安 全 团 队 成 员 ； 擅 长 代 码 审 计 ； 审 计 过 国 内 众 多 开 源 W e b 程 序 。
课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 课 程 介 绍 代 码 审 计 是 指 源 代 码 中 存 在 安 全 隐 患 ， 技 术 人 员 发 现 编 码 存 在 不 规 范 的 地 方 ， 并 发 现 其 中 的 安 全 漏 洞 ， 通 过 自 动 化 工 具 或 者 人 工 审 查 的 方 式 ， 对 代 码 逐 条 进 行 检 查 和 分 析 ， 并 及 时 修 补 安 全 漏 洞 的 过 程 。 本 节 公 开 课 是 基 于 M V C 框 架 ， 对 常 规 C M S 进 行 代 码 审 计 ， 通 过 挖 掘 P H P 反 序 列 化 的 G a d g e t ， 教 会 大 家 掌 握 漏 洞 审 计 的 学 习 思 路 。 感 兴 趣 的 小 伙 伴 ， 识 别 感 兴 趣 的 小 伙 伴 ， 识 别 二 维 码 二 维 码 立 即 看 课 立 即 看 课 P S ： ： W e b 端 看 课 体 验 更 佳 ， 看 课 地 址 ： h t t p s : / / w w w . i c h u n q i u . c o m / o p e n / 6 8 6 7 1 课 程 延 伸 课 程 延 伸 案 例 分 析 ： 某 案 例 分 析 ： 某 C M S 代 码 审 计 一 次 疯 狂 的 代 码 审 计 一 次 疯 狂 的 B y p a s s 在 看 这 个 T h i n k p h p 5 . 1 写 c m s 时 候 发 现 在 a p p l i c a t i o n / t a s k / c o n t r o l l e r / U t i l C o n t r o l l e r . p h p 处 存 在 一 个 f i l e _ p u t _ c o n t e n t s 。
可 以 很 明 显 地 看 到 这 个 方 法 是 在 p u b l i c 在 控 制 器 里 面 直 接 通 过 路 由 来 访 问 到 ， 同 时 $ i m g 是 可 控 的 。 从 正 常 的 思 路 来 看 一 下 $ i m g 能 不 能 完 全 可 控 或 者 能 不 能 部 分 可 控 ， 如 控 制 文 件 后 缀 。 回 到 代 码 第 3 2 行 ， 可 以 看 到 该 方 法 对 传 入 的 $ i m g 变 量 进 行 分 割 ， 也 就 是 通 过 . 来 分 割 为 数 组 并 赋 值 给 $ p a t h ， 若 $ p a t h 的 元 素 数 量 正 好 为 三 的 时 候 就 进 入 第 一 个 分 支 ， 否 则 将 会 重 定 向 到 一 张 系 统 默 认 的 图 片 。
也 就 是 说 传 入 的 $ i m g 必 须 且 有 三 个 点 （ . ） 组 成 ， 否 则 将 会 被 重 定 向 ， 这 个 正 则 可 以 暂 时 不 看 对 后 续 有 影 响 在 看 。 跳 到 代 码 第 4 2 行 ， 调 用 了 c r o p _ i m a g e 个 函 数 ， 并 且 将 p a t h [ 0 ] 拼 接 p a t h [ 2 ] 和 $ a r g s 。 找 到 这 个 函 数 原 型 ， 可 以 看 到 实 例 化 了 I m a g e C r o p 类 并 调 用 了 c r o p 方 法 。 直 接 跳 到 I m a g e C r o p 来 看 ， 可 以 看 到 传 入 的 参 数 被 赋 值 给 属 性 f i l e ， 并 在 c r o p 中 赋 值 给 $ i m g 变 量 同 时 ， 将 $ i m g 作 为 g e t I m g D a t a 参 数 传 入 ， 咱 们 继 续 跟 进 。
可 以 看 到 g e t I m g D a t a 会 对 传 入 的 参 数 进 行 匹 配 ， 看 是 否 存 在 h t t p : / / 若 存 在 则 调 用 f i l e _ g e t _ c o n t e n t s 来 读 取 远 程 文 件 。 那 么 问 题 来 了 ， 这 个 $ i m g 能 不 能 直 接 控 制 为 服 务 器 地 址 呢 ？ 但 是 前 面 又 限 制 死 了 ， 只 能 有 三 个 （ . ） 点 ， 这 该 怎 么 办 呢 ？
其 实 这 里 是 可 以 B y p a s s 的 。 在 l i n u x 情 况 下 ， f i l e _ g e t _ c o n t e n t 是 可 以 识 别 十 六 进 制 或 者 八 进 制 的 I P 地 址 的 。 使 用 1 6 进 制 不 就 没 有 点 了 吗 ， 那 么 $ i m g 就 可 以 完 全 可 控 。 那 么 在 服 务 器 下 存 放 一 个 s h e l l . p h p ， 将 服 务 器 I P 转 换 为 1 6 进 制 注 意 要 加 上 0 x 。 I P 转 换 脚 本 如 下 ： 可 以 看 到 存 放 在 远 程 服 务 器 的 内 容 < ? p h p   p h p i n f o ( ) ; ? > 被 读 取 出 来 ， 并 且 当 做 参 数 传 入 给 g e t i m a g e s i z e 。 < ? p h p $ i p   =   ' 1 2 7 . 0 . 0 . 1 ' ; $ i p   =   e x p l o d e ( ' . ' , $ i p ) ; $ r   =   ( $ i p [ 0 ]   < <   2 4 )   |   ( $ i p [ 1 ]   < <   1 6 )   |   ( $ i p [ 2 ]   < <   8 )   |   $ i p [ 3 ]   ; i f ( $ r   <   0 )   {         $ r   + =   4 2 9 4 9 6 7 2 9 6 ; } e c h o   " 十 进 制 : " ; e c h o   $ r ; e c h o   " 八 进 制 : " ; e c h o   d e c o c t ( $ r ) ; e c h o   " 十 六 进 制 : " ; e c h o   d e c h e x ( $ r ) ; ? >
g e t i m a g e s i z e 要 怎 么 才 能 b y p a s s 呢 ？ 可 以 使 用 图 片 马 ， 进 行 绕 过 。 在 远 程 s h e l l . p h p 写 一 个 远 程 的 图 片 马 地 址 ， 但 是 传 入 f i l e _ p u t _ c o n t n e t s 时 候 出 问 题 了 。 f i l e _ p u t _ c o n t e n t s 在 遇 到 / / 指 都 会 将 其 当 做 w r a p p e r 处 理 ， 在 w i n d o w s 下 可 以 使 用 N T F S   S t r e a m 技 巧 f i l e _ p u t _ c o n t e n t s ( ' p h p : / / f i l t e r / w r i t e = c o n v e r t . b a s e 6 4 - d e c o d e / r e s o u r c e = C : / p a t h / t o / t e s t p h p : : $ I N D E X _ A L L O C A T I O N ' ,   ' ' ) ; 创 建 文 件 夹 C : / p a t h / t o / t e s t p h p 但 是 这 里 伪 协 议 。 已 经 写 死 了 无 法 使 用 . 难 道 这 条 路 已 经 封 死 了 吗 ？
回 过 头 来 看 前 面 g e t i m a g e s i z e 的 参 数 是 完 全 可 控 的 。 在 回 想 一 下 这 个 C M S 是 T h i n k p h p 5 . 1 开 发 的 ， 而 g e t i m a g e s i z e 是 可 以 触 发 P h a r 反 序 列 化 的 。 那 么 现 在 思 路 再 次 转 变 ， 能 否 远 程 控 制 一 个 文 件 写 p h a r 文 件 的 地 址 ， 在 f i l e _ g e t _ c o n t e n t s 读 取 远 程 文 件 ， 将 这 个 文 件 的 内 容 传 给 g e t i m a g e s i z e ， 而 这 个 文 件 内 容 再 后 台 上 传 的 p h a r 文 件 的 地 址 ， 进 而 触 发 t h i n k p h p 的 反 序 列 化 。 那 么 传 入 p h a r 伪 协 议 进 行 反 序 列 化 ， 可 以 看 到 在 最 后 成 功 触 发 反 序 列 化 。
学 习 总 结 学 习 总 结 最 后 ， 结 合 多 年 的 代 码 审 计 经 验 ， 给 大 家 做 一 下 总 结 概 括 ， 除 了 要 做 到 认 真 细 致 外 ， 也 要 尽 量 做 到 如 下 几 条 ： 1 、 多 开 发 、 多 写 代 码 、 多 理 解 开 发 的 想 法 和 思 维 ； 2 、 遇 到 困 难 要 想 办 法 b y p a s s ， 而 不 是 放 弃 目 标 ； 3 、 对 目 标 系 统 需 要 有 一 定 的 了 解 和 前 期 准 备 ； 4 、 不 要 惧 怕 代 码 多 ； 5 、 多 找 大 佬 带 你 学 习 ， 比 如 我 之 前 就 向 W & M 战 队 的 p 3 r h 4 p s 表 哥 学 习 了 很 多 经 验 技 巧 。
E n d —   往 期 回 顾 往 期 回 顾   — 技 能 提 升 公 开 课 ▶   S S R F 漏 洞 防 御 措 施 ▶   浅 析 勒 索 病 毒 ▶   J A V A 反 序 列 化 学 习 ▶   回 首 白 帽 老 兵 十 年 网 安 之 路 ▶   通 读 L i n u x 提 权 原 理 和 手 法 ▶   浅 析 红 队 基 础 设 施 ▶   W i n d o w s 域 渗 透 之 K e r b e r o s 委 派 科 普 类 公 开 课 ▶ c o o k i e 是 什 么 ▶ 浅 析 威 胁 情 报 ▶ 浅 析 僵 尸 网 络 ▶ 信 用 卡 安 全 ▶ 大 数 据 的 前 世 今 生 ▶ 大 牛 教 你 做 好 应 急 响 应 ▶ 免 费 的 陷 阱 ： 警 惕 公 共 W i - F i ▶ 无 线 键 盘 有 漏 洞 ▶ 0 d a y 危 机 ， 隐 藏 的 攻 防 战 ▶ 加 密 算 法 解 析 ▶ D N S 解 析 ▶   红 队 建 设 之 道 ▶   手 机 锁 屏 密 码 安 全 ▶   中 间 人 攻 击 ▶   十 分 钟 看 懂 隐 写 术 ▶   信 息 泄 露 问 题 ▶   狡 猾 的 漏 洞 利 用 ▶   R F I D 工 作 原 理 分 析 ▶   披 露 世 界 顶 级 黑 客 的 内 心 独 白 ▶   一 分 钟 看 穿 网 络 钓 鱼
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理