搜索

[7135] 2020-12-11_PHP代码审计实战思路浅析

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2020-12-11_PHP代码审计实战思路浅析 P H P 代 码 审 计 实 战 思 路 浅 析 E 安 全   2 0 2 0 - 1 2 - 1 1 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 W n l t c 0 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 N o . 1 N o . 1 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 每 一 次 总 结 ， 都 可 以 看 作 是 对 前 面 所 学 做 一 次 “ 大 扫 除 ” ， 就 像 电 脑 硬 盘 ， 只 有 将 那 些 缓 存 文 件 都 清 掉 ， 才 能 腾 出 更 多 空 间 来 存 新 的 内 容 。 这 次 的 “ 大 扫 除 ” ， 以 P H P C M S 为 例 ， 以 “ 通 读 全 文 ” 、 “ 敏 感 函 数 回 溯 ” 、 “ 定 向 功 能 点 审 计 ” 为 切 入 点 ， 重 新 梳 理 一 遍 平 时 的 审 计 思 路 。 望 大 佬 们 多 多 指 教 ！ N o . 2 N o . 2 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 通 读 全 文 ！ 从 字 面 意 思 来 看 ， 可 以 理 解 成 把 所 有 的 代 码 都 读 一 遍 ， 把 所 有 的 代 码 都 “ 读 透 ” 。 那 么 问 题 来 了 ， 现 在 的 c m s 大 多 数 都 是 参 照 m v c 模 式 进 行 开 发 ， 一 个 大 的 系 统 被 拆 分 成 视 图 （ V i e w ） 、 模 型 （ M o d e l ） 、 控 制 器 （ C o n t r o l l e r ） 三 个 部 分 。 这 种 软 件 架 构 虽 然 能 使 得 程 序 的 结 构 变 得 更 加 直 观 ， 但 也 只 能 说 是 逻 辑 上 的 直 观 ， 因 为 在 使 得 程 序 结 构 变 得 直 观 的 同 时 ， 也 增 加 了 系 统 结 构 和 实 现 的 复 杂 度 ， 所 以 在 审 计 这 类 c m s 时 ， 很 难 通 过 目 录 结 构 或 者 直 接 搜 索 危 险 函 数 来 进 行 快 速 审 计 。 原 因 在 于 ， 基 于 m v c 模 式 开 发 出 来 的 c m s 不 像 面 向 过 程 化 开 发 的 c m s 那 样 ， 一 个 目 录 就 是 一 个 功 能 模 块 ， 一 个 p h p 文 件 就 是 一 个 功 能 点 。 基 于 m v c 模 式 开 发 的 c m s ， 会 有 一 个 统 一 的 入 口 ， 所 有 的 请 求 都 从 该 入 口 进 入 ， 然 后 由 框 架 统 一 进 行 调 度 ， 且 程 序 中 的 一 些 可 重 用 的 操 作 ， 例 如 数 据 库 操 作 、 缓 存 、 安 全 过 滤 等 都 会 被 封 装 成 框 架 的 核 心 类 库 ， 需 要 时 再 去 调 框 架 封 装 好 的 方 法 。 如 果 在 没 了 解 程 序 的 结 构 前 ， 就 贸 然 去 跟 某 段 代 码 ， 很 容 易 迷 失 在 一 个 个 类 库 的 调 用 链 里 。 那 么 ， 我 们 在 审 计 这 类 c m s 时 ， 首 要 目 的 就 是 ， 了 解 程 序 的 基 本 结 构 。 前 面 提 到 ， 基 于 m v c 模 式 开 发 的 c m s ， 会 有 一 个 统 一 的 入 口 ， 所 有 的 请 求 都 从 该 入 口 进 入 。 如 果 我 们 想 读 懂 这 套 源 码 ， 这 个 入 口 倒 是 个 很 好 的 切 入 点 。 在 正 式 上 手 分 析 前 ， 先 来 思 考 下 ， 当 一 个 请 求 进 入 这 套 程 序 的 入 口 后 ， 程 序 内 部 会 对 它 做 哪 些 操 作 。 例 如 ， 这 个 u r l 会 怎 么 解 析 ？ 程 序 内 部 是 怎 么 将 u r l 与 控 制 器 关 联 到 一 起 的 ？ 实 际 分 析 时 会 经 常 看 到 “ D e m o : : t e s t ( ) ” 这 种 调 用 方 式 ， 但 D e m o 类 并 不 在 这 个 文 件 内 ， 而 且 文 件 内 也 没 看 到 i n c l u d e 或 r e q u i r e ， 所 以 这 些 在 程 序 内 部 又 是 怎 么 实 现 的 呢 ？ 俗 话 说 ， 要 用 魔 法 来 打 败 魔 法 。 既 然 这 是 属 于 开 发 的 东 西 ， 在 正 式 分 析 前 ， 还 得 来 找 开 发 取 一 下 经 。 先 来 看 下 框 架 的 运 行 流 程 。 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
入 口 文 件 ， 对 应 着 前 面 说 的 统 一 入 口 ， 虽 然 说 是 统 一 入 口 ， 但 实 际 情 况 中 入 口 文 件 可 能 有 多 个 ， 前 台 一 个 、 后 台 一 个 、 接 口 一 个 。 入 口 文 件 的 职 责 在 于 ， 定 义 一 些 全 局 性 的 常 量 ， 加 载 函 数 库 ， 加 载 框 架 启 动 类 等 等 。 这 里 的 自 动 加 载 类 ， 说 成 类 自 动 加 载 会 更 加 合 适 ， 主 要 目 的 是 ， 为 了 简 化 类 加 载 的 步 骤 ， 通 常 会 将 类 文 件 的 加 载 操 作 封 装 成 一 个 函 数 或 者 方 法 ， 然 后 在 框 架 启 动 前 或 者 在 框 架 启 动 时 ， 通 过 s p l _ a u t o l o a d _ r e g i s t e r 将 类 加 载 函 数 注 册 到 S P L _ _ a u t o l o a d 函 数 队 列 中 ， 当 程 序 内 的 代 码 调 用 某 个 类 时 ， p h p 会 调 用 类 加 载 函 数 ， 类 加 载 函 数 就 会 到 正 确 的 地 方 去 把 类 库 文 件 加 载 进 来 ； 当 然 也 可 以 不 使 用 s p l _ a u t o l o a d _ r e g i s t e r 函 数 来 自 动 调 用 ， 而 是 在 需 要 时 手 动 去 调 用 。 再 下 一 步 ， 就 是 启 动 框 架 。 框 架 启 动 后 ， 可 能 会 去 加 载 一 些 配 置 文 件 ， 然 后 去 调 用 路 由 类 来 解 析 请 求 u r l ， 根 据 解 析 的 结 果 来 调 用 相 应 的 控 制 器 ， 最 后 返 回 结 果 。 通 常 情 况 下 ， 入 口 文 件 的 位 置 在 网 站 的 根 目 录 下 ， 一 般 会 命 名 成 i n d e x . p h p 、 a d m i n . p h p 或 者 a p i . p h p 。 观 察 当 前 项 目 的 目 录 及 文 件 。 这 里 的 i n d e x . p h p 、 a d m i n . p h p 、 a p i . p h p 和 p l u g i n . p h p 都 挺 像 入 口 文 件 的 ， 这 里 选 择 先 跟 进 i n d e x . p h p 。 原 因 是 ， 一 般 情 况 下 ， 前 台 的 入 口 都 叫 i n d e x . p h p 。
代 码 很 简 单 ， 定 义 了 一 个 常 量 ， 然 后 是 加 载 一 个 p h p 文 件 ， 最 后 调 用 p c _ b a s e 类 的 c r e a t e _ a p p 方 法 。 入 口 文 件 、 定 义 常 量 ， 那 下 面 的 p c _ b a s e 很 大 可 能 就 是 框 架 启 动 类 了 ， 跟 进 到 / p h p c m s / b a s e . p h p 。 往 下 翻 ， 能 看 到 很 多 定 义 常 量 ， 还 有 加 载 函 数 库 的 操 作 。 继 续 往 下 看 ， 就 看 到 了 在 入 口 文 件 中 调 用 的 p c _ b a s e : : c r e a t e _ a p p 方 法
从 注 释 来 看 ， 该 方 法 的 作 用 是 初 始 化 应 用 程 序 ， 继 续 跟 进 l o a d _ s y s _ c l a s s 方 法 。 从 注 释 来 看 ， 该 方 法 用 于 加 载 系 统 类 ， 继 续 跟 进 _ l o a d _ c l a s s 方 法 。 同 样 ， 也 可 以 通 过 注 释 来 了 解 该 方 法 的 作 用 。 _ l o a d _ c l a s s 方 法 用 于 加 载 类 文 件 ， 对 应 着 前 面 说 的 类 自 动 加 载 ， 找 到 类 加 载 函 数 后 ， 继 续 分 析 类 文 件 的 加 载 逻 辑 。 从 代 码 中 可 得 知 ， 类 库 目 录 在 p h p c m s 框 架 目 录 下 的 $ p a t h 目 录 ， 也 就 是 / p h p c m s 目 录 下 ， 类 文 件 名 为 “ 类 名 . c l a s s . p h p ” ， 如 果 $ p a t h 参 数 为 空 ， 则 默 认 到 / p h p c m s / l i b s / c l a s s e s 目 录 下 去 加 载 类 文 件 ， 然 后 根 据 $ i n i t i a l i z e 参 数 来 决 定 是 否 实 例 化 该 类 。 前 面 的 l o a d _ s y s _ c l a s s 方 法 在 调 用 l o a d _ c l a s s 时 ， 传 入 的 $ p a t h 参 数 是 空 的 ， 且 $ i n i t i a l i z e = 1 ， 也 就 是 说 ， / p h p c m s / l i b s / c l a s s e s 目 录 下 放 的 是 系 统 类 ， 且 加 载 系 统 类 库 时 会 自 动 实 例 化 该 类 。 除 了 l o a d _ s y s _ c l a s s ， 还 有 l o a d _ a p p _ c l a s s 和 l o a d _ m o d e l ， 三 者 的 底 层 都 是 调 用 了 _ l o a d _ c l a s s ， 区 别 在 于 传 入 的 $ p a t h 不 同 。
除 了 加 载 类 库 的 _ l o a d _ c l a s s ， 还 有 加 载 函 数 库 的 _ l o a d _ f u n c ， 和 加 载 配 置 文 件 的 _ l o a d _ c o n f i g 。 通 过 对 类 加 载 方 法 、 函 数 库 加 载 方 法 、 配 置 文 件 加 载 方 法 的 分 析 ， 就 能 找 出 程 序 的 基 本 目 录 结 构 。
回 到 前 面 用 来 初 始 化 应 用 程 序 的 c r e a t e _ a p p 方 法 。 跟 进 到 a p p l i c a t i o n 类 回 顾 前 面 提 到 的 框 架 运 行 流 程 ， 从 入 口 文 件 ， 到 类 自 动 加 载 ， 到 启 动 框 架 ， 框 架 启 动 后 ， 下 一 步 就 是 路 由 解 析 ， 那 p a r a m 类 很
大 可 能 就 是 路 由 类 ， 继 续 跟 进 p a r a m 类 。 在 p a r a m 类 的 构 造 方 法 中 会 使 用 封 装 后 的 a d d s l a s h e s 函 数 对 $ _ P O S T 、 $ _ G E T 、 $ _ C O O K I E 数 组 进 行 转 义 。 再 往 后 就 是 调 用 r o u t e _ m 、 r o u t e _ c 、 r o u t e _ a 方 法 解 析 路 由 ， 获 取 模 块 、 控 制 器 和 方 法 名 。 r o u t e _ m 方 法 获 取 m 参 数 的 值 作 为 模 块 名 ， 同 理 ， r o u t e _ c 则 是 获 取 c 参 数 的 值 ， r o u t e _ a 则 是 获 取 a 参 数 的 值 。 同 时 还 会 调 用 s a f e _ d e a l 方 法 对 传 入 的 值 做 过 滤 。 路 由 解 析 完 后 ， 再 下 一 步 就 是 加 载 控 制 器 。 继 续 跟 进 i n i t 方 法 。
继 续 跟 进 l o a d _ c o n t r o l l e r 方 法 。 l o a d _ c o n t r o l l e r 方 法 先 到 “ / p h p c m s / m o d u l e s / 模 块 名 / ” 目 录 下 加 载 控 制 器 文 件 ， 然 后 实 例 化 并 返 回 对 象 。 i n i t 方 法 通 过 l o a d _ c o n t r o l l e r 方 法 获 取 到 控 制 器 实 例 后 ， 通 过 c a l l _ u s e r _ f u n c 方 法 来 执 行 具 体 的 动 作 ， 最 后 返 回 结 果 ， 请 求 结 束 。 N o . 3 N o . 3 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 敏 感 函 数 回 溯 当 输 入 的 数 据 ， 被 当 作 代 码 去 执 行 ， 或 者 会 改 变 原 本 设 定 好 的 代 码 逻 辑 ， 就 可 能 产 生 漏 洞 。 拿 S Q L 注 入 来 说 ， 当 外 部 输 入 的 数 据 被 带 到 数 据 中 执 行 ， 并 且 能 通 过 构 造 特 殊 的 内 容 来 修 改 原 有 的 S Q L 语 句 结 构 ， 就 会 产 生 S Q L 注 入 。 如 果 我 们 想 挖 掘 S Q L 注 入 漏 洞 ， 就 应 该 把 关 注 点 放 在 数 据 库 查 询 操 作 上 ， 而 P H P 中 能 执 行 S Q L 语 句 的 函 数 有 m y s q l _ q u e r y 、 m y s q l i _ q u e r y 等 ， 这 些 函 数 就 可 以 称 为 敏 感 函 数 。 从 代 码 中 找 到 这 些 敏 感 函 数 的 调 用 位 置 ， 然 后 去 回 溯 其 参 数 来 源 ， 如 果 来 源 可 控 ， 就 存 在 漏 洞 。 同 理 ， 如 果 想 找 代 码 执 行 漏 洞 ， 可 以 去 找 能 执 行 代 码 的 函 数 ， 例 如 a s s e s t 、 e v a l 、 c a l l _ u s e r _ f u n c 等 ； 如 果 想 找 命 令 执 行 ， 就 去 找 能 执 行 系 统 命 令 的 函 数 ， 例 如 s y s t e m 、 s h e l l _ e x e c 、 p o p e n 等 。 通 常 的 做 法 有 ， 使 用 编 辑 器 进 行 全 文 检 索 敏 感 函 数 的 函 数 名 ， 然 后 人 工 一 个 个 去 回 溯 参 数 来 源 ， 还 可 以 使 用 一 些 代 码 审 计 工 具 来 进 行 扫 描 分 析 ， 然 后 再 手 动 去 验 证 。 为 了 节 省 时 间 ， 一 般 会 先 工 具 扫 描 一 遍 ， 快 速 找 出 那 些 比 较 明 显 的 漏 洞 。
扫 描 结 果 里 的 代 码 注 入 看 到 倒 是 很 吸 引 人 ， 那 就 先 从 它 入 手 。 从 代 码 来 看 ， 很 明 显 的 一 个 e v a l 代 码 注 入 。 这 段 代 码 存 在 于 / p h p s s o _ s e r v e r / p h p c m s / l i b s / f u n c t i o n s / g l o b a l . f u n c . p h p ， 从 文 件 名 和 文 件 路 径 来 看 ， s t r i n g 2 a r r a y 函 数 位 于 系 统 函 数 库 中 。 从 左 下 角 的 调 用 链 来 看 ， 在 / p h p s s o _ s e r v e r / p h p c m s / m o d u l e s / a d m i n / c r e d i t . p h p 文 件 中 调 用 了 s t r i n g 2 a r r a y ， / p h p s s o _ s e r v e r 目 录 下 的 结 构 于 上 面 的 分 析 的 一 样 ， 根 据 上 面 的 分 析 结 果 ， 可 得 知 ， c r e d i t . p h p 是 一 个 控 制 类 文 件 。 跟 进 到 c r e d i t . p h p 的 9 4 行 。 在 9 2 行 的 位 置 ， 将 p s _ s e n d 函 数 的 返 回 结 果 赋 值 给 $ r e s ， 观 察 左 下 角 的 调 用 链 ， 发 现 最 后 调 用 了 f r e a d 函 数 ， 同 时 结 合 传 入 给 p s _ s e n d 函 数 的 参 数 名 推 测 ， 该 函 数 应 该 是 用 来 发 起 h t t p 请 求 的 ， 后 续 跟 进 分 析 ， 得 到 的 结 果 也 是 。 那 c r e d i t l i s t 方 法 的 作 用 应 该 发 起 一 个 请 求 ， 将 请 求 结 果 转 换 成 数 组 ， 然 后 遍 历 输 出 。 如 果 能 控 制 响 应 结 果 ， 就 能 形 成 代 码 执 行 漏 洞 ， 而 控 制 了 请 求 u r l ， 就 能 控 制 响 应 的 结 果 。 继 续 分 析 ， 在 8 8 行 的 位 置 ， 将   $ a p p l i s t [ $ a p p i d ] [ ‘ u r l ’ ]   .   $ a p p l i s t [ $ a p p i d ] [ ‘ a p i f i l e n a m e ’ ]   赋 值 给 $ u r l 。 在 8 7 行 ， 将 g e t c a c h e 函 数 的 返 回 结 果 赋 值 给 $ a p p l i s t 。 $ a p p i d 由 g e t 传 入 ， 可 控 。 如 果 g e t c a c h e 的 返 回 结 果 可 控 ， 就 有 希 望 实 现 代 码 执 行 。 跟 进 g e t c a c h e ， 根 据 前 面 的 分 析 ， 知 道 在 框 架 启 动 前 会 加 载 系 统 的 函 数 库 ， 所 以 可 以 到 系 统 函 数 库 中 寻 找 g e t c a c h e 函 数 。
先 是 加 载 配 置 文 件 ， 然 后 调 用 c a c h e _ f a c t o r y : : g e t _ i n s t a n c e ( ) ， 配 置 文 件 内 容 如 下 。 跟 进 c a c h e _ f a c t o r y : : g e t _ i n s t a n c e 跟 进 g e t _ c a c h e 方 法 跟 进 l o a d 方 法
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理