2019-07-28-php代码审计

一、PHP代码执行代码审计
首先讲一下PHP代码执行漏洞和命令执行漏洞的区别，PHP代码执行指的是将php代码植入到web应用程序中通过web容器来执行，执行的是php代码，命令执行是指讲包含系统命令的恶意输入提交给系统，执行的是系统命令。
接下来说一下几个常见的PHP代码执行漏洞常见函数。
1.eval()函数

# eval
(PHP 4, PHP 5, PHP 7)
eval — 把字符串作为PHP代码执行
### 说明
**eval** ( string `$code` ) : [mixed]
把字符串 `code` 作为PHP代码执行。
**Caution**

函数**eval()**语言结构是 *非常危险*的， 因为它允许执行任意 PHP 代码。 *它这样用是很危险的。* 如果您仔细的确认过，除了使用此结构以外 别无方法, 请多加注意，*不要允许传入任何由用户 提供的、未经完整验证过的数据* 。

### 参数[ ¶]

需要被执行的字符串

代码不能包含打开/关闭 [PHP tags](https://www.php.net/manual/zh/language.basic-syntax.phpmode.php)。比如， *'echo "Hi!";'* 不能这样传入： *'<?php echo "Hi!"; ?>'*。但仍然可以用合适的 PHP tag 来离开、重新进入 PHP 模式。比如 *'echo "In PHP mode!"; ?>In HTML mode!<?php echo "Back in PHP mode!";'*。

除此之外，传入的必须是有效的 PHP 代码。所有的语句必须以分号结尾。比如 *'echo "Hi!"'* 会导致一个 parse error，而 *'echo "Hi!";'* 则会正常运行。

*return* 语句会立即中止当前字符串的执行。

代码执行的作用域是调用 **eval()** 处的作用域。因此，**eval()** 里任何的变量定义、修改，都会在函数结束后被保留。
### 返回值[ ¶]
**eval()** 返回 **`NULL`**，除非在执行的代码中 *return* 了一个值，函数返回传递给 *return* 的值。 PHP 7 开始，执行的代码里如果有一个 parse error，**eval()** 会抛出 ParseError 异常。在 PHP 7 之前， 如果在执行的代码中有 parse error，**eval()**返回 **`FALSE`**，之后的代码将正常执行。无法使用 [set_error_handler()](https://www.php.net/manual/zh/function.set-error-handler.php) 捕获 **eval()** 中的解析错误。

这里需要注意的是php eval函数接收的参数语句必须是以;结尾的，如果不是的话会返回语法错误。
漏洞代码如下所示：


p1

这里会接收一个id的参数，然后赋值给shiyanlou变量，最后用echo输出值，注意php代码是从右往左执行，所以输入phpinfo之后会先执行然后再给shiyanlou赋值。
结果如下：


p2

2.assert函数

assert — 检查一个断言是否为 FALSE
PHP 5
bool assert ( mixed $assertion [, string $description ] )
PHP 7
bool assert ( mixed $assertion [, Throwable $exception ] )
assert() 会检查指定的 assertion 并在结果为 FALSE 时采取适当的行动。
如果 assertion 是字符串，它将会被 assert() 当做 PHP 代码来执行。 assertion 
是字符串的优势是当禁用断言时它的开销会更小，并且在断言失败时消息会包含 assertion 表达式。 这意味着如果你传入了 boolean 
的条件作为 assertion，这个条件将不会显示为断言函数的参数；在调用你定义的 assert_options() 
处理函数时，条件会转换为字符串，而布尔值 FALSE 会被转换成空字符串。
断言这个功能应该只被用来调试。 你应该用于完整性检查时测试条件是否始终应该为 TRUE，来指示某些程序错误，或者检查具体功能的存在（类似扩展函数或特定的系统限制和功能）

assert 危险点在于断言语句是字符串，那将会当成php代码来执行。


p3

结果如下所示：


p4

3.preg_replace()函数
该函数解释如下：

PHP 函数 preg_replace()
语法
   mixed preg_replace (mixed pattern, mixed replacement, mixed string [, int limit [, int &$count]] );
定义和用法
　　 preg_replace()函数就像POSIX中的函数ereg_replace(),除了可以使用正则表达式的匹配模式和替换input参数。　　　　 可选的输入参数limit指定有多少匹配应该发生。　　　　 如果可选参数$count传递这个变量就会填充替代品的数量。

返回值
替换发生后,将返回修改后的字符串。　　　　　　

如果没有找到匹配的，字符串将保持不变

出现的问题在于如果匹配字符模式串里出现参数e修饰符时，replacement 的值会被当成php代码来执行。
漏洞代码如下：

    <?php
    $id = $_GET['id'];
    preg_replace("/<j>(.*)<j>/e",'\1',$id);
?>

利用代码如下：


p5
  1. call_user_func() 函数
    该函数主要用来调用其他函数用。。
### 官方说明：

(PHP 4, PHP 5, PHP 7)

call_user_func — 把第一个参数作为回调函数调用

#### 说明

第一个参数 `callback` 是被调用的回调函数，其余参数是回调函数的参数。

#### 参数

*   `callback`

    将被调用的回调函数（[callable]

*   `parameter`

    0个或以上的参数，被传入回调函数。

    **Note**:请注意，传入**call_user_func()**的参数不能为引用传递。

漏洞代码如下：

<?php
    call_user_func($_GET['id'],$_GET['data']);
?>

利用方法如下：


p6

5.动态函数
php这么开放的嘛还能动态函数。。。


p7

利用方法和前面一样，就不截图了。

二.PHP命令注入漏洞
1.第一类函数主要是直接执行系统命令的函数,类似system()、exec()、shell_exec()、passthru()可以直接传入命令执行并返回结果，其中system()最简单，不需要输出函数，会自动打印命令执行结果,所以这里我们先讲解system()函数


p8

这种利用比较简单，如下：


p9

其他几个函数差不多，区别就是需要自己手动打印出来而已。

2.第二类函数主要是popen()、proc_open()函数，区别于第一种的是他没有回显，echo不出来结果的，一般是要重导向至一个文件再cat出来才行。

popen()、proc_open()
resource popen ( string $command , string $mode )

打开一个指向进程的管道，该进程由派生给定的 command 命令执行而产生
第一个参数 $command 会被当作命令执行。
第二个参数 $mode 决定执行模式，有两个取值r 或者 w ，来指明是读还是写.

漏洞代码如下：

<?php
$bash = $_GET['bash']; 
popen("$bash",'r');
?>

利用代码如下：


p10

3.第三类函数只有pcntl_exec()，此函数是php的多进程扩展，在处理大量任务的情况下会使用到，使用此函数需要额外安装.
函数解析如下：

void pcntl_exec ( string $path [, array $args [, array $envs ]] )

以给定参数执行程序:

path :  path必须时可执行二进制文件路径或一个在文件第一行指定了一个可执行文件路径标头的脚本（比如文件第一行是#!/usr/local/bin/perl的perl脚本）。 
args:   args是一个要传递给程序的参数的字符串数组。

envs :  envs是一个要传递给程序作为环境变量的字符串数组,这个数组是 key => value格式的，key代表要传递的环境变量的名称，value代表该环境变量值。

三.xss漏洞代码审计
xss代码审计的时候主要寻找没有进行输出处理的函数。
1.反射性xss
漏洞代码如下：

<html>
<head> 
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" /> 
<title>XSS</title> 
</head> 
<body> 
<form action="" method="get"> 
<input type="text" name="input">     
<input type="submit"> 
</form> 
<br> 
<?php 
$XssReflex = $_GET['input'];
echo 'output:<br>'.$XssReflex;
?> 
</body> 
</html>

明显就是通过get方法来接收一个input变量的值，然后通过echo直接输出了，并没有经过任何的过滤。
漏洞利用代码就是最典型的如下所示喽。


p11

2.存储型xss
漏洞代码如下：

 <span style="font-size:18px;"><meta http-equiv="Content-Type" content="text/html;charset=utf-8"/>  
    <html>  
    <head>  
    <title>XssStorage</title>  
    </head>  
    <body>  
    <h2>Message Board<h2>  
    <br>
    <form action="XssStorage.php" method="post">  
    Message:<textarea id='Mid' name="desc"></textarea>  
    <br>  
    <br>  
    Subuser:<input type="text" name="user"/><br> 
    <br>
    <input type="submit" value="submit" onclick='loction="XssStorage.php"'/>  
    </form>  
    <?php  
    if(isset($_POST['user'])&&isset($_POST['desc'])){  
    $log=fopen("sql.txt","a");  
    fwrite($log,$_POST['user']."\r\n");  
    fwrite($log,$_POST['desc']."\r\n");  
    fclose($log);  
    }  

    if(file_exists("sql.txt"))  
    {  
    $read= fopen("sql.txt",'r');  
    while(!feof($read))  
    {  
        echo fgets($read)."</br>";  
    }  
    fclose($read);  
    }  
    ?>  
    </body>  
    </html></span>

从代码中可以看到他就是接收两个post的方法，然后直接写入文件里面，再从文件里面直接echo文件内容而已。问题和上面是一样的，也是不进行输出处理。
咿，我突然想明白他为啥这么写了，因为这样不用写入数据库。。。。却又实现了储存型xss的机制。。。
漏洞利用代码和前面也差不多。。。


p12

防御手段如下所示：

A.PHP直接输出html的，可以采用以下的方法进行过滤：

    1.htmlspecialchars函数
    2.htmlentities函数
    3.HTMLPurifier.auto.php插件
    4.RemoveXss函数

B.PHP输出到JS代码中，或者开发Json API的，则需要前端在JS中进行过滤：

    1.尽量使用innerText(IE)和textContent(Firefox),也就是jQuery的text()来输出文本内容
    2.必须要用innerHTML等等函数，则需要做类似php的htmlspecialchars的过滤

C.其它的通用的补充性防御手段

    1.在输出html时，加上Content Security Policy的Http Header
    （作用：可以防止页面被XSS攻击时，嵌入第三方的脚本文件等）
    （缺陷：IE或低版本的浏览器可能不支持）
    2.在设置Cookie时，加上HttpOnly参数
    （作用：可以防止页面被XSS攻击时，Cookie信息被盗取，可兼容至IE6）
    （缺陷：网站本身的JS代码也无法操作Cookie，而且作用有限，只能保证Cookie的安全）
    3.在开发API时，检验请求的Referer参数
    （作用：可以在一定程度上防止CSRF攻击）
    （缺陷：IE或低版本的浏览器中，Referer参数可以被伪造）

四、csrf代码审计


p13

过程如上所示，csrf的过程没啥好代码审计的，解决方法就是设置一个csrf_token,然后直接服务器端登录的时候校验token值对不对，对的话再给登录。

五、sql注入代码审计
普通sql注入代码审计以前搞很多了，这次代码审计一个宽字节注入。
举个常规的例子如下所示：

p14

宽字节注入产生的原因有两个
A：php和mysql设置的字符集不一样，比如一个utf-8,一个GBK等
B：设置的宽字符集可能吃掉转义符号
主要思想是当出现'被转义的时候，我们采用一个%df(反正比ascii码大于128)加在%27前面，然后'被转义成/'的时候，就会出现%df%5c一起变成一个汉字的情况，于是就变成（汉字'),就实现了绕过。

六、文件包含代码审计
主要学习四个函数include,include_once,require,require_once
include和require区别在于如果找不到文件的话，那就直接出警告，而require是出致命错误。
include和include_once的区别是如果文件已经包含过了,once就不会再次包含了
漏洞代码如下：

<?php

if (isset($_GET['file'])) {
    include($_GET['file']);
}
else{
    echo "使用 file 参数包含文件";
}
?>
p15

这里get到一个点是，被包含的文件无论是什么格式，只要被包含进来都会以php来解析，所以上传图片木马的时候，只要被包含进来，就算直接以jpg作为后缀也能执行成功。
远程文件包含需要allow_url_include = On开启才能行。

六、PHP文件上传代码审计
PHP文件上传函数

move_uploaded_file(file,newloc):

    move_uploaded_file() 函数将上传的文件移动到新位置, 若成功，则返回 true，否则返回 false。
    参数     描述
    file     必需。规定要移动的文件。
    newloc   必需。规定文件的新位置

漏洞代码如下：

<?php
if (isset($_POST['submit'])) {
    echo "文件名：".$_FILES['upfile']['name']."<br />";
    if ($_FILES['upfile']['error'] == 0) {
        $dir = "./upload/".$_FILES['upfile']['name'];
        move_uploaded_file($_FILES['upfile']['tmp_name'],$dir);
        echo "文件保存路径：".$dir."<br />";
        echo "上传成功...<br />";
        }
}
 ?>

未对格式做过滤，然后是有做限制的代码如下：

 <?php
if (isset($_POST['submit'])) {
        echo "文件名：".$_FILES['upfile']['name']."<br />";
        switch ($_FILES['upfile']['type']) {
            case 'image/jpeg':
                $flag = 1;
                break;
            default:
                die("上传失败，请确保文件格式为图片.....");
                break;
            }
if ($_FILES['upfile']['error'] == 0) {
        $dir = "./upload/".$_FILES['upfile']['name'];
        move_uploaded_file($_FILES['upfile']['tmp_name'],$dir);
        echo "文件保存路径：".$dir."<br />";
        echo "上传成功...<br />";
        }
    }
 ?>

七、变量覆盖函数代码审计
1.extract()函数


p16
漏洞代码如下：
<?php
$a = 1;
print_r("extract()执行之前：\$a = ".$a."<br />");
$b = array('a'=>'2');
extract($b);
print_r("extract()执行之后：\$a = ".$a."<br />");
?>
当第二个参数为空或者EXTR_OVERWRITE时，变量注册如果遇到冲突会直接覆盖掉原变量。

当第二个变量为EXTR_IF_EXISTS时，仅当原变量已存在是对其进行更新，否则不注册新变量。
p17

2.parse_strc()函数
parse_strc()函数将字符串解析为多个变量。


p18
漏洞代码如下：
该函数在注册变量之前不会验证当前变量是否已存在，如果存在会直接覆盖。
<?php
$a = 1;
print_r("parse_str()执行之前：\$a = ".$a."<br />");
parse_str("a=2");
print_r("parsr_str()执行之后：\$a = ".$a."<br />");
?>
  1. import_request_variables()函数
import_request_variables ( string $types , string $prefix )
将 GET／POST／Cookie 变量导入到全局作用域中, types 参数指定需要导入的变量, G代表GET，P代表POST，C代表COOKIE.
<?php
// 此处将导入 GET 和 POST 变量
// 使用“rvar_”作为前缀
import_request_variables("gP", "rvar_");

echo $rvar_foo;
?>

漏洞代码如下：

<?php
$a = 1;//原变量值为1  
import_request_variables('GP'); //传入参数是注册变量   
print_r($a); //输出结果会变成传入参数
?>

一般而言单独的变量覆盖函数很难利用，一般是配合其他的漏洞进行利用，因此需要了解下防御方法

将extract.php中extract()函数第二个参数修改为extr_skip
parse_str()函数的防范，只能我们自己添加判断语句,如：
<?php
$a = 1;
print_r("parse_str()执行之前：\$a = ".$a."<br />");
if(!isset($a)){
    parse_str("a=2");
}
print_r("parsr_str()执行之后：\$a = ".$a."<br />");
?>

import_request_variables()函数防御
此函数是非常危险的函数，在PHP5.5之后已被官方删除！假如你任然在使用低版本的PHP环境，也建议你避免使用此函数。

八、身份认证漏洞
先上一段常见的水平越权漏洞源代码审计吧

<?php
session_start();
if(isset($_COOKIE['username']))
{
    $username = $_COOKIE['username'];
    if($username == root)

        echo "<td width='150'><div align='middle'> 欢迎您登录系统".$_SESSION['username']."管理员!</div></td>"; 
    if($username == shiyanlou)
        echo "<td width='150'><div align='middle'> 欢迎普通用户shiyanlou".$_SESSION['username']."！</div></td>"; 

}
echo "<td width='150'><div align='middle'> <a href='logout.php'> 注销</a></div></td>"; 
?>

这就是平时常见的水平越权漏洞来着。
然后session会话固定攻击漏洞可参考[https://www.cnblogs.com/0x4D75/p/9790281.html]
然后补上一段代码审计的修补方法：

防止水平越权漏洞的话，如下：
if(isset($_COOKIE['username']))
        {    
            $_SESSION['veri'] = $_COOKIE['username'];
            header("location: main.php");
        }
在添加session变量的时候对cookie保存一份，然后后面每次操作都进行校验。
if($_COOKIE['username']==$_SESSION['username'])
{


    if($_COOKIE['username'] == root)
        echo "<td width='150'><div align='middle'> 欢迎您登录系统".$_COOKIE['username']."管理员!</div></td>"; 
    if($_COOKIE['username'] == shiyanlou)
        echo "<td width='150'><div align='middle'> 欢迎普通用户".$_COOKIE['username']."！</div></td>"; 

}
else{
    echo "<td width='150'><div align='middle'> 登录失败！请尝试重新登录！</div></td>";
}

session会话固定就靠设置会话超时时间，每次登录都重新设置session来解决

九 、工具
目前商业性的审计软件一般都支持多种编程语言，比如VCG、Fortify SCA，缺点就是价格比较昂贵。其他常用的代码审计工具还有findbugs、codescan、seay，但是大多都只支持Windows环境。所以针对PHP代码审计，免费的支持linux环境的 PHP 代码审计软件Rips

©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 157,924评论 4赞 360
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 66,902评论 1赞 290
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 107,716评论 0赞 239
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 43,783评论 0赞 203
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 52,166评论 3赞 286
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 40,510评论 1赞 216
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 31,784评论 2赞 311
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 30,476评论 0赞 196
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 34,196评论 1赞 241
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 30,459评论 2赞 243
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 31,978评论 1赞 258
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 28,321评论 2赞 252
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 32,964评论 3赞 235
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 26,046评论 0赞 8
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 26,803评论 0赞 193
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 35,530评论 2赞 271
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 35,420评论 2赞 265

推荐阅读更多精彩内容

  • 【代码审计】PHP代码审计
    1. 概述 代码审核，是对应用程序源代码进行系统性检查的工作。它的目的是为了找到并且修复应用程序在开发阶段存在的一...
    是Jonathan阅读 2,095评论 0赞 14
  • From：黑白之道
    一套实用的渗透测试岗位面试题，你会吗？ 1.拿到一个待检测的站，你觉得应该先做什么？ 收集信息 whois、网站源...
    g0阅读 4,689评论 0赞 9
  • 2017-11-02
    我怎么如此幸运 1.我怎么如此幸运：果爸已经连续三天应酬，晚上回来时果果都睡了！以前超过九点不回家，我一定会打电话...
    国粹堂1阅读 240评论 0赞 0
  • 河大，飘雪
    《河大*飘雪》 河大的第一场雪，在11月23日晚上悄悄地飘落了。它落在安静的校园里，无声无息；它落在梧桐的枝叶上...
    张双婷阅读 617评论 2赞 2
  • 2018本命年,愿更好一点……
    时光飞逝，一转眼，就要跟2017年say拜拜了！ 这一年我过的很累但我真的很幸福。每一天都有宝贝们的陪伴，都跟...
    三只熊熊阅读 218评论 1赞 0