搜索

[18096] 2020-07-19_PHP代码审计之旅

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-07-19_PHP代码审计之旅 P H P 代 码 审 计 之 旅 l e m o n   H A C K 之 道   2 0 2 0 - 0 7 - 1 9 前 言 ： 前 言 ： 之 前 做 了 很 多 w e b 题 都 遇 到 过 审 计 代 码 的 题 目 ， 命 令 执 行 、 变 量 覆 盖 等 。 但 如 果 这 些 代 码 是 分 布 在 一 套 源 码 中 （ 如 C M S ） ， 需 要 我 们 去 发 现 ， 去 找 到 并 会 利 用 ， 就 需 要 有 一 定 的 查 找 以 及 利 用 思 路 ， 这 次 测 试 的 是 , 重 要 不 在 于 去 复 现 这 个 C M S 的 漏 洞 ， 而 在 先 了 解 一 下 整 个 审 计 思 路 还 有 过 程 是 怎 么 样 的 ， 去 锻 炼 自 己 的 审 计 能 力 。 由 于 我 比 较 菜 ， 所 以 有 错 误 的 地 方 也 请 师 傅 们 指 正 。 何 为 白 盒 、 黑 盒 、 灰 盒 测 试 何 为 白 盒 、 黑 盒 、 灰 盒 测 试 审 计 代 码 会 经 常 遇 到 这 三 个 名 词 ， 这 又 代 表 是 什 么 意 思 那 ？ 1 .   黑 盒 测 试 ： 已 知 产 品 的 功 能 设 计 规 格 ， 可 以 进 行 测 试 证 明 每 个 实 现 了 的 功 能 是 否 符 合 要 求 。 2 .   白 盒 测 试 ： 已 知 产 品 的 内 部 工 作 过 程 ， 可 以 进 行 测 试 证 明 每 种 内 部 操 作 是 否 符 合 设 计 规 格 要 求 ， 所 有 内 部 成 分 是 否 经 过 检 查 。 3 .   　 灰 盒 测 试 更 像 是 白 盒 测 试 和 黑 盒 测 试 的 混 合 测 试 ， 现 阶 段 对 灰 盒 测 试 没 有 更 明 确 的 定 义 ， 但 更 多 的 时 候 ， 我 们 的 测 试 做 的 就 是 灰 盒 测 试 ， 即 既 会 做 黑 盒 测 试 又 会 做 白 盒 测 试 。 其 他 理 解 来 也 很 简 单 ， 就 比 如 搭 建 一 个 网 站 ， 黑 盒 测 试 是 在 不 知 道 网 站 源 码 的 情 况 下 ， 对 各 个 功 能 进 行 测 试 看 看 是 否 有 问 题 ， 而 白 盒 测 试 则 是 知 道 源 码 ， 可 以 从 代 码 入 手 ， 看 看 代 码 是 否 有 问 题 ， 灰 盒 测 试 就 是 两 者 混 合 起 来 进 行 测 试 （ 个 人 理 解 ， 如 有 错 误 请 师 傅 指 正 ） ， 当 然 这 些 概 念 还 有 更 深 层 的 知 识 ， 这 里 就 不 详 细 介 绍 了 。 白 盒 测 试 流 程 白 盒 测 试 流 程 — — B l u e C M S 1 . 6 由 于 初 学 代 码 审 计 ， 通 过 来 进 行 练 习 ， 这 里 重 点 写 一 些 白 盒 测 试 白 盒 测 试 如 何 进 行 分 析 B l u e C M S 1 . 6 B l u e C M S 1 . 6
0 x 0 0 : 了 解 目 录 结 构 了 解 目 录 结 构 看 到 这 么 多 ， 怎 么 入 手 ， 思 路 是 怎 么 去 做 ？ 直 接 去 找 S Q L 漏 洞 、 R C E 等 估 计 有 点 困 难 ， 因 为 这 也 太 多 文 件 了 ， 我 看 了 很 多 大 师 傅 们 都 是 先 了 解 一 下 整 个 目 录 结 构 ， 这 个 目 录 是 作 用 于 什 么 的 ， 包 含 有 哪 些 文 件 ， 找 到 核 心 文 件 ， 再 进 行 入 手 ， 会 将 审 计 范 围 缩 小 一 点 而 且 会 节 省 不 少 时 间 。 ├ ─ ─   a d m i n           后 台 管 理 目 录 ├ ─ ─   i n s t a l l       网 站 的 安 装 目 录 ├ ─ ─   a p i               接 口 文 件 目 录 ├ ─ ─   d a t a           系 统 处 理 数 据 相 关 目 录 ├ ─ ─   i n c l u d e     用 来 包 含 的 全 局 文 件 └ ─ ─   t e m p l a t e     模 板 看 到 以 下 函 数 也 需 要 注 意 ： 1 )   函 数 集 文 件 ， 通 常 命 名 中 包 含 或 者 等 关 键 字 ， 这 些 文 件 里 面 是 一 些 公 共 的 函 数 ， 提 供 给 其 他 文 件 统 一 调 用 ， 所 以 大 多 数 文 件 都 会 在 文 件 头 部 包 含 到 它 们 ， 寻 找 这 些 文 件 一 个 非 常 好 用 的 技 巧 就 是 去 打 开 i n d e x . p h p 或 者 一 些 功 能 性 文 件 ， 在 头 部 一 般 都 能 找 到 。 2 )   配 置 文 件 ， 通 常 命 名 里 面 包 括 c o n f i g 这 个 关 键 字 ， 配 置 文 件 包 括 W e b 程 序 运 行 必 须 的 功 能 性 配 置 选 项 以 及 数 据 库 等 配 置 信 息 ， 从 f u n c t i o n s c o m m o n
这 个 文 件 里 面 可 以 了 解 程 序 的 小 部 分 功 能 ， 另 外 看 这 个 文 件 的 时 候 注 意 观 察 配 置 文 件 中 参 数 值 是 用 单 引 号 还 是 用 的 双 引 号 包 起 来 ， 如 果 是 双 引 号 ， 则 很 大 可 能 会 存 在 代 码 执 行 漏 洞 。 当 然 不 一 样 的 C M S ， 会 有 不 同 的 目 录 结 构 ， 但 大 多 文 件 夹 的 名 称 和 对 应 的 功 能 是 不 会 有 多 大 变 化 的 ， 谁 想 在 开 发 的 时 候 整 一 堆 乱 起 的 文 件 名 ， 到 时 自 己 测 试 都 头 疼 。 0 x 0 1 : 从 首 页 获 取 信 息 从 首 页 获 取 信 息 了 解 文 件 目 录 后 ， 就 先 从 i n d e x . p h p 文 件 入 手 ， i n d e x . p h p 一 般 是 整 个 程 序 的 入 口 ， 通 过 i n d e x 文 件 可 以 知 道 程 序 的 架 构 、 运 行 流 程 、 包 含 那 些 配 置 文 件 ， 包 含 哪 些 过 滤 文 件 以 及 包 含 那 些 安 全 过 滤 文 件 ， 了 解 程 序 的 业 务 逻 辑 ， 所 以 从 首 页 入 手 是 很 有 必 要 的 。 但 i n d e x . p h p 这 么 多 行 ， 都 要 看 岂 不 是 太 累 了 ， 而 且 没 什 么 用 ， 因 为 i n d e x . p h p 往 往 不 需 要 获 取 用 户 输 入 , 那 我 们 就 看 这 个 文 件 引 入 了 哪 些 文 件 ， 逐 层 递 进 。 引 入 了 这 两 个 文 件 ， 我 们 上 面 提 到 过 一 定 要 注 意 含 有 关 键 字 的 文 件 ， 打 开 观 察 一 下 在 3 0 多 行 发 现 了 a d d s l a s h e s ( )   函 数 对 全 局 数 组 P O S T ， G E T ， C O O K I E S ， R E Q U E S T 都 进 行 了 转 义 处 理 ， 所 以 如 果 我 们 对 包 含 该 文 件 的 文 件 进 行 S Q L 注 入 就 要 注 意 单 引 号 、 双 引 号 等 会 被 转 义 。 c o m m o n c o m m o n . i n c . p h p
又 观 察 到 会 b a n   I P , 可 以 了 解 这 个 文 件 主 要 是 写 一 些 通 用 防 护 ， 其 他 文 件 引 用 即 可 使 用 该 文 件 包 含 了 这 几 个 文 件 ， 如 果 到 后 面 遇 到 看 不 懂 的 函 数 ， 可 以 通 过 跟 踪 函 数 名 在 这 些 文 件 中 搜 索 ， 就 这 样 先 浏 览 一 下 大 致 的 结 构 。 当 然 这 里 写 的 不 全 ， 只 是 列 出 一 点 ， 但 起 码 这 个 层 次 关 系 还 是 多 少 搞 懂 点 了 。 i n c l u d e 目 录 下 的 文 件 都 是 通 用 ， 就 是 让 文 件 进 行 引 用 减 少 不 需 要 的 代 码 ， 从 而 提 高 效 率 ， 接 下 来 写 其 他 页 面 就 相 当 于 单 独 写 ， 当 需 要 引 用 这 些 文 件 时 ， 只 需 引 入 即 可 ， 所 以 只 要 知 道 这 些 通 用 文 件 ， 当 你 在 查 看 其 他 文 件 时 有 不 懂 的 函 数 溯 源 查 看 即 可 明 白 这 些 函 数 的 用 途 ， 从 而 继 续 审 计 。 0 x 0 2 : 挖 掘 漏 洞 挖 掘 漏 洞 跟 踪 输 入 变 量 跟 踪 输 入 变 量 当 看 到 一 堆 代 码 时 ， 会 有 那 种 不 知 所 措 的 感 觉 ， 那 就 不 妨 想 象 一 下 一 般 网 站 出 现 漏 洞 的 地 方 都 是 在 哪 里 ? 比 如 S Q L 注 入 、 X S S 、 R C E 等 会 发 现 有 一 个 共 同 点 ， 就 是 用 户 可 以 进 行 输 入 用 户 可 以 进 行 输 入 ， 有 输 入 的 地 方 就 可 能 存 在 漏 洞 ， 所 以 这 样 就 有 的 放 矢 ， 在 繁 多 的 代 码 中 ， 就 先 去 找 一 下 那 些 用 户 可 以 控 制 输 入 用 户 可 以 控 制 输 入 的 代 码 。 从 根 目 录 开 始 ， 就 按 照 顺 序 来 ， 先 看 a d _ j s . p h p
$ a d _ i d   =   ! e m p t y ( $ _ G E T [ ' a d _ i d ' ] )   ?   t r i m ( $ _ G E T [ ' a d _ i d ' ] )   :   ' ' ; 发 现 这 个 参 数 是 可 控 的 ， 再 往 下 看 发 现 S Q L 语 句 $ a d   =   $ d b - > g e t o n e ( " S E L E C T   *   F R O M   " . t a b l e ( ' a d ' ) . "   W H E R E   a d _ i d   = " . $ a d _ i d ) ; 包 含 有 文 件 ， 所 以 我 们 输 入 的 单 、 双 引 号 会 被 转 义 ， 但 是 这 里 的 s q l 语 句 中 是 没 有 单 或 双 引 号 包 裹 的 ， 所 以 根 本 不 需 要 去 关 注 过 滤 ， 很 明 显 这 里 就 存 在 了 s q l 注 入 漏 洞 ， 先 拿 小 本 本 记 录 一 下 ， 这 个 文 件 含 有 S Q L 注 入 漏 洞 。 再 来 查 看 ， 9 0 多 行 ， 但 我 们 只 去 找 用 户 可 以 进 行 输 入 的 地 方 $ a n n _ i d   =   ! e m p t y ( $ _ R E Q U E S T [ ' a n n _ i d ' ] )   ?   i n t v a l ( $ _ R E Q U E S T [ ' a n n _ i d ' ] )   :   ' ' ;   $ c i d   =   ! e m p t y ( $ _ R E Q U E S T [ ' c i d ' ] )   ?   i n t v a l ( $ _ R E Q U E S T [ ' c i d ' ] )   :   1 ; 但 是 经 过 i n t v a l ( ) 函 数 的 处 理 后 ， 便 没 办 法 进 行 S Q L 注 入 了 ， 那 就 换 下 一 个 文 件 查 看 文 件 ， 发 现 变 量 没 单 双 引 号 但 因 为 i n t v a l ( ) 函 数 无 法 进 行 S Q L 注 入 再 来 查 看 u s e r . p h p 文 件 中 也 可 能 存 在 S Q L 注 入 漏 洞 ， 查 看 一 下 同 样 也 是 没 单 双 引 号 而 且 没 进 行 过 滤 ， 应 该 是 可 以 的 ， 看 一 下 $ i d 是 如 何 传 参 的 a d _ i d a d _ j s . p h p c o m m o n . i n c . p h p $ a d _ i d a n n . p h p n e w s _ c a t . p h p
因 为 i n t v a l ( ) 函 数 的 处 理 所 以 这 个 S Q L 注 入 没 办 法 利 用 了 利 用 工 具 去 寻 找 漏 洞 利 用 工 具 去 寻 找 漏 洞 审 计 P H P 代 码 常 用 的 工 具 有 、 等 ， 工 具 有 时 也 会 发 现 一 些 我 们 漏 掉 的 地 方 ， 所 以 有 时 手 工 和 工 具 同 时 使 用 效 率 会 更 高 ， 利 用 工 具 发 现 这 么 多 漏 洞 ， 但 要 注 意 只 是 可 能 存 在 ， 有 的 不 一 定 就 是 可 以 利 用 的 。 还 是 去 查 找 用 户 能 够 进 行 输 入 的 ， 毕 竟 一 般 漏 洞 都 存 在 于 输 入 的 地 方 ， 这 个 工 具 当 你 需 要 溯 源 的 函 数 ， 只 需 全 局 搜 索 即 可 找 到 查 找 危 险 函 数 查 找 危 险 函 数 命 令 执 行 命 令 执 行 s y s t e m 、 、 s h e l l _ e x e c 、 、 p a s s t h r u 、 、 p o p e n 、 、 p r o c _ o p e n S e a y 源 代 码 审 计 系 统 r i p s S e a y 源 代 码 审 计 系 统
文 件 包 含 r e q u i r e 、 i n c l u d e 、 r e q u i r e _ o n c e 、 i n c l u d e _ o n c e 变 量 覆 盖 p a r s e _ s t r   、 m b _ p a r s e _ s t r 代 码 执 行 e v a l 、 a s s e r t 、 p r e g _ r e p l a c e 文 件 操 作 f i l e _ g e t _ c o n t e n t s   、 f i l e _ p u t _ c o n t e n t s   、 m o v e _ u p l o a d e d _ f i l e   、 u n l i n k   &   d e l e t e 命 令 执 行 命 令 执 行 s y s t e m 、 、 s h e l l _ e x e c 、 、 p a s s t h r u 、 、 p o p e n 、 、 p r o c _ o p e n 这 里 列 举 一 些 各 个 漏 洞 对 应 的 危 险 函 数 ， 我 们 找 漏 洞 无 法 就 是 R C E 、 S Q L 、 文 件 包 含 等 ， 那 么 直 接 查 找 这 些 函 数 ， 观 察 这 些 函 数 是 否 可 以 利 用 ， 不 就 可 以 判 断 出 是 否 存 在 对 应 的 漏 洞 了 ， 比 如 查 询 一 下 u n l i n k 函 数 看 到 了 一 个 $ _ P O S T ， 进 行 查 看 一 下 内 容 存 在 可 以 利 用 的 变 量 ， 追 踪 一 下 该 变 量 发 现 除 了 这 四 个 文 件 含 有 这 个 变 量 ， 其 他 文 件 没 有 包 含 有 这 个 变 量 ， 除 了 开 头 包 含 文 件 的 转 义 处 理 以 外 ， 没 用 其 他 过 滤 地 方 ， 那 就 可 以 通 过 利 用 这 个 变 量 进 行 网 站 根 目 录 下 任 意 文 件 删 除 的 操 作 。 0 x 0 3 : 分 析 漏 洞 分 析 漏 洞 s q l 注 入 漏 洞 注 入 漏 洞 — — U N I O N 查 询 注 入 查 询 注 入 $ _ P O S T [ ' l i t _ p i c ' ]
刚 才 在 跟 踪 输 入 变 量 的 时 候 ， 发 现 存 在 一 个 S Q L 注 入 漏 洞 ， 现 在 就 来 看 如 何 利 用 这 个 漏 洞 仔 细 观 察 这 段 代 码 ， 发 现 参 数 是 没 有 任 何 单 双 引 号 ， 再 去 查 找 一 下 前 面 包 含 的 这 个 S Q L 语 句 的 g e t o n e 函 数 ， 看 看 我 们 传 入 的 参 数 会 不 会 因 为 这 个 函 数 而 变 化 或 转 义 什 么 的 ， 追 踪 g e t o n e 函 数 ， 发 现 在 m y s q l . c l a s s . p h p 文 件 中 ， 功 能 用 于 封 装 为 s q l 语 句 ， 并 没 有 什 么 过 滤 等 这 里 啰 嗦 一 下 ， 之 所 以 能 调 用 这 个 函 数 ， 因 为 包 含 了 ， 而 并 非 在 开 头 引 入 了 这 个 文 件 ， 而 是 在 6 2 行 才 引 入 ， 所 以 有 的 引 入 不 一 定 就 在 开 头 ， 最 好 使 用 工 具 去 查 找 。 接 下 来 再 回 到 a d _ j s . p h p a d _ j s . p h p c o m m o n . i n c . p h p c o m m o n . i n c . p h p a d _ j s . p h p
， 发 现 这 段 代 码 e c h o   " < ! - - r n d o c u m e n t . w r i t e ( " " . $ a d _ c o n t e n t . " " ) ; r n - - > r n " ; 内 容 直 接 回 显 ， 这 不 就 是 C T F 常 见 的 联 合 查 询 注 入 吗 ？ 试 一 下 利 用 o r d e r   b y 查 询 出 一 共 八 列 ， 接 下 来 就 联 合 查 询 数 据 库 出 来 了 ， 7 是 回 显 位 ， 这 接 下 来 按 照 联 合 查 询 的 套 路 继 续 走 就 可 以 了 ， 这 里 就 不 再 详 细 写 了 任 意 文 件 删 除 漏 洞 任 意 文 件 删 除 漏 洞 这 里 就 涉 及 到 了 灰 盒 测 试 灰 盒 测 试 在 上 面 提 到 了 u s e r . p h p 文 件 中 存 在 可 控 的 参 数 ， 现 在 就 来 详 细 的 来 看 一 下 发 现 这 个 参 数 是 可 以 通 过 P O S T 来 进 行 控 制 而 且 没 有 包 括 其 他 的 条 件 ， 但 前 面 有 一 个 B L U E _ R O O T ， 需 要 去 搞 懂 它 所 代 表 的 意 思 ， 在 文 l i t _ p i c
件 开 头 发 现 ： 只 是 定 义 一 个 常 量 ， 并 没 有 过 滤 什 么 的 ， 所 以 是 可 以 利 用 的 ， 那 接 下 来 就 去 利 用 这 个 参 数 ， 但 还 有 一 个 问 题 是 在 u s e r . p h p 文 件 下 直 接 P O S T 这 个 参 数 吗 ？ 还 是 在 来 看 看 源 码 吧 ， 继 续 查 找 发 现 这 个 参 数 是 在 提 交 编 辑 后 的 分 类 信 息 中 的 那 只 需 满 足 该 页 面 下 需 要 传 入 的 参 数 （ 填 入 必 须 的 参 数 ） 即 可
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理