首页 / PHP / 代码审计入门总结

代码审计入门总结

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了代码审计入门总结，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含7469字，纯文字阅读大概需要11分钟。

内容图文

0x00 简介

之前看了seay写的PHP代码审计的书，全部浏览了一遍，作为一个代码审计小白，希望向一些和我一样的小白的人提供一下我的收获，以及一个整体的框架和常见漏洞函数。这也算是这本书的一个学习笔记吧，可以结合我捋顺的思路来看这本书。: )

0x01 整体

学习代码审计的目标是能够独立完成对一个CMS的代码安全监测。其通用的思路有：

通读全文代码，从功能函数代码开始阅读，例如 include 文件夹下的 common_fun.php ，或者有类似关键字的文件。
看配置文件，带有 config 关键字的文件，找到mysql.class.php文件的connect()函数，查看在数据库连接时是否出现漏洞。
继续跟读首页文件, index.php ,了解程序运作时调用了哪些函数和文件以index.php文件作为标线，一层一层去扩展阅读所包含的文件，了解其功能，之后进入其功能文件夹的首页文件，进行扩展阅读。

0x02 各种洞洞

a.文件操作漏洞

能不用文件名参数就不用尽量不要让用户可控
平行用户的权限管理员的权限操作权限
禁止传入参数类似于这种 .. , / , \ 检查传入的参数,做出限制,停止程序往下执行

1.文件包含漏洞：

(1) 本地文件包含：

一般存在于模块加载，模板加载，cache调用
包括函数： include()/include_once() ， require()/require_once() 寻找可控变量

(2) 远程文件包含：

前提条件： allow_url_include = on
出现频率不如本地包含

(3) 文件包含截断：

%00截断(php版本小于5.3)
问号截断(问号后面相当于请求的参数，伪截断)
英文(.) 反斜杠(/) 截断

2.文件读取(下载)漏洞：

搜索关键函数:

file_get_contents() , highlight_file() , fopen() , read file() , fread() , fgetss() , fgets() , parse_ini_file() , show_source() , file() 等

3.文件上传漏洞：

搜索关键函数:

move_uploaded_file() 接着看调用这个函数的代码是否存在为限制上传格式或者可以绕过。

(1) 未过滤或本地过滤：服务器端未过滤，直接上传PHP格式的文件即可利用。

(2) 黑名单扩展名过滤：

限制不够全面：IIS默认支持解析 .asp , .cdx , .asa , .cer 等。
扩展名可绕过：

不被允许的文件格式 .php ，但是我们可以上传文件名为 1.php (注意后面有一个空格)

(3) 文件头 content-type 验证绕过：

getimagesize() 函数：验证文件头只要为GIF89a，就会返回真。
限制 $_FILES["file"]["type"] 的值就是人为限制content-type为可控变量。

(4) 防范：

使用 in_array() 或利用三等于 === 对比扩展名。
保存上传文件是重命名，规则采用时间戳拼接随机数： md5(time() + rand(1,1000)) 。

4.文件删除漏洞：

搜索关键函数：

unlink() 利用回溯变量的方式
老版本下的 session_destroy() ，可以删除文件，现已基本被修复。

Metinfo的任意文件删除漏洞：

$action = delete 即可删除 .sql 的文件，如果文件不是 sql 直接删除提交的文件名

target.com/recovery.php?&action=delete&filename=../../index.php

b.代码执行漏洞

1.代码执行函数：

搜索关键函数： eval() , assert() , preg_replace() , call_user_func() , call_user_func_array() , array_map()

(1) preg_replace() 函数：

mixed preg_replace ( mixed $pattern , mixed $replacement , mixed $subject [, int $limit = -1 [, int &$count ]] )

当$pattern处存在e修饰符时，$replacement 会被当做php代码执行。

(2) mixed call_user_func( callable $callbank [ , mixed $parameter [ , mixed $…) ：

第一个参数为回调函数，第二个参数是回调函数的参数

(3) eval() 和 assert() ：

当assert()的参数为字符串时可执行PHP代码

【区分】：

eval(" phpinfo(); ");【√】 eval(" phpinfo() ");【X】assert(" phpinfo(); ");【√】 assert(" phpinfo() ");【√】

2.动态函数执行：

动态函数后门：

#!php

3.命令执行函数：

搜索关键函数： system() , exec() , shell_exec() , passthru() , pcntl_exec() , popen() , proc_open()

(1) popen 和 proc_open() ：

#!php> /Users/bingdaojueai/Desktop/1.txt', 'r' ); ?>

所在路径就会出现一个1.txt 里面的内容为命令执行后的结果

(2) 反引号命令执行：

echo whoami ; 直接就可以执行命令

双引号和单引号的区别：

#!php$a = 1echo " $a "    output：1echo ' $a '    output：$a

双引号时，可以直接解析变量，造成代码执行漏洞，过狗绕过。

c.变量覆盖漏洞

1.函数使用不当：

int extract( array &$var_array , int $extract_type = EXTR_OVERWRITE , string $prefix = null )
void parse_str( string $str , array &$arr )
bool import_request_variables( string $type , string $prefix )

2.$$变量覆盖：

d.逻辑漏洞

需要思考的问题：

程序是否可以重复安装
修改密码是否存在越权修改其他用户密码
找回密码验证码是否可以暴力破解
cookie是否可以预测验证存在绕过

1.等于与存在判断绕过：

(1) in_array() : 比较之前会自动转换类型

(2) is_numeric() : 当传入参数为hex时直接通过并返回true 并且MYSQL可以直接使用hex编码代替字符串明文可以二次注入并且可能造成XSS漏洞

(3)双等于 == 和三等于 === ：

双等于会在变量比较时，进行类转换，与 in_array() 是一样的问题。
三等于是 type 和 value 的双重比较，相比之下更加安全。

2.账户体系中的越权问题：

水平越权： A用户能够以B用户的身份，进行B用户的全部权限操作。前提A用户和B用户拥有相同的权限。
垂直越权： A用户能够以C用户的身份，进行C用户的全部权限操作，前提C用户比A用户拥有更高的权限。

(1) 未 exit / return / die ：

#!php

test 依旧会被输出，替换成安装流程，PHP依旧会进行。

(2) 支付漏洞：

客户端修改单价
客户端修改总价和购买数量
服务端未校验严格
重复发包利用时间差：
```
#!php
```

可能导致漏洞函数： str_replace()

#!php$b
";$c = str_replace($a,'',$b);echo trim($c);?>

e.会话认证漏洞

COOKIE验证：没有使用SESSION验证，将信息直接保存在COOKIE中
1. 找到传入sql语句的参数的传递过程回溯变量到最原始的函数看它保存在cookie的算法是否可逆
2. 和MD5比起 sha1更安全解密sha1的网站更少
3. 限制一个用户只能同时在一个IP上登录
审计代码时，查看登录处代码

f.二次漏洞

1.类型：

不是逻辑问题，是可信问题。
业务逻辑复杂度，与二次漏洞触发率成正比。
购物车 / 订单 / 引用数据 / 文章编辑 / 草稿 ==> SQL注入 / XSS

2.技巧：

(1) 钻GPC等转义的空子：

不受GPC保护的 $_SERVER 变量： PHP5以后，$_SERVER取到的header不再受GPC影响，就算开启特殊字符也不会被转义，存在注入
编码问题转换：
1. GBK的宽字节注入： %df ' 单引号自动被转义成(%5c)，同时 %df 与 %5c 连在一起组合成運字单引号依然在，成功闭合。【php与mysql交互过程中发生的编码转换问题】
2. mb_convert_encoding() ：
```
#!php 
```

(2)字符串问题：

利用报错，找到敏感信息
字符串截断：
1. %00空字符截断：【PHP版本小于5.3】
```
#!php?>
```
2. iconv函数字符编码转换截断：【对PHP版本有要求】
```
#!phpchr(128)—chr(255)可以截断字符";                   //1?2echo iconv("UTF-8", "GBK", $a);   //1?>
```

php:// 输入输出流：

#!php1.php?file=php://filter/convert.base64-encode(内容被base64编码)/resource=example.txt(远程文件)

php代码解析标签：
2. ： php3.0.4版本后可用
3. <%…%> ： asp标签，需要asp_tags=on，默认是off
正则表达式：
1. 没有使用^ 和 $ 限定匹配开始位置：
2. 特殊字符未转义：
报错注入：
windows findfirstfile 利用：若要搜索12345.txt文件，可使用 1<< 来代替或者 12<< ，不可以单独使用一个 "<" 或 ">" ，因为单独一个只是代表了一个字符，两个代表多个字符。

0x03 End

自己走上安全这条路既是兴趣也是偶然，选择白盒完全是因为喜欢php，毕竟是初识代码审计，seay的书确实帮了我不少，抱作者大腿 （我是萌妹纸） ，希望这篇文章能够帮助像我一样小白的人，花了两天总结的，如果有什么缺陷也等着大家指出。

不会开发的谈审计都是耍流氓！：)

内容总结

以上是互联网集市为您收集整理的代码审计入门总结全部内容，希望文章能够帮你解决代码审计入门总结所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/207691.html

来源：【匿名】

【上一篇】商业级别fortify白盒神器介绍与使用分析【下一篇】PHP 5 数据对象 (PDO) 抽象层与 Oracle

更多 ►

【代码审计入门总结】教程文章相关的互联网学习教程文章

PHP 错误与异常笔记与总结（11 ）register_shutdown_function() 函数的使用【代码】

通过 register_shutdown_function 方法，可以让我们设置一个当执行关闭时可以被调用的另一个函数。也就是说，当我们的脚本执行完成或者意外死掉导致 php 执行即将关闭时，我们的这个函数会被调用。【使用场景】① 页面被（用户）强制停止② 程序代码意外终止或超时③ php4 中没有析构函数，可以使用该函数模拟析构函数 shutdown.php<?php header("content-type:text/html;charset=utf-8"); class Shutdown{publicfunction endScrip...

php函数总结2

文件系统函数函数名描述实例输入输出操作fopen()打开文件或者 URL$handle = fopen("ftp://user:password@example.com/somefile.txt", "w");resource fopen ( string filename, string mode [, bool use_include_path [, resource zcontext]] )如果打开失败，本函数返回 FALSEfclose()关闭一个已打开的文件指针$handle = fopen(‘somefile.txt‘, ‘r‘);fclose($handle);boolfclose(resource handle)如果成功则返回TRUE，失败则返回...

[代码审计]PHP_Bugs题目总结(2)【代码】【图】

写的有点多了，上一篇放在一起显得有点臃肿，就再起一篇吧~迷路的老铁点这里：[代码审计]PHP_Bugs题目总结(1)0x14 intval函数四舍五入<?php if($_GET[id]) { mysql_connect(SAE_MYSQL_HOST_M . ':' . SAE_MYSQL_PORT,SAE_MYSQL_USER,SAE_MYSQL_PASS); mysql_select_db(SAE_MYSQL_DB); $id = intval($_GET[id]); ## 这里过滤只有一个intval $query = @mysql_fetch_array(mysql_query("select content from ctf2 where id='$id'")); ...

PHP学习总结（一）【代码】

》PHP 面向对象使用parent访问父类的构造方法（__construct）时一定要为当前类继承要访问的构造方法类的构造方法（__construct）在实例化时直接被加载，静态方法不需要实例化静态成员（static）访问方法：self::$abc函数 spl_autoload_register(方法) 仅在使用不存在类时被触发该方法，并传入一个类名实例化PDO类时如果当前文件有命名空间（namespace），则输出后会报错该目录下不存在PDO类，所以必须在PDO前加一个反斜杠：\PDO实例...

Memcached 笔记与总结（6）PHP 实现 Memcached 的一致性哈希分布算法【代码】

首先创建一个接口，有 3 个方法：addServer：添加一个服务器到服务器列表中removeServer：从服务器列表中移除一个服务器lookup：在当前的服务器列表中找到合适的服务器存放数据interface distribute{//在当前的服务器列表中找到合适的服务器存放数据publicfunction lookup($key);//添加一个服务器到服务器列表中publicfunction addServer($server);//从服务器列表中删除一个服务器publicfunction removeServer($server); } 再定义一...

PHP进阶知识总结【代码】

周末梳理了下这段时间看书的一些知识点，进步的过程不仅要实践，还要安排多看书、思考、总结。只针对知识点进行了罗列和简单说明，很多细节还未整理好，待后面再专门详细写。基础易忽略概念 PHP是一个支持面向对象开发的语言，而不是一个纯面向对象的语言PHP5中保留了对var的支持，但会将var自动转换为public类型检查函数：is_bool() is_integer() is_double() is_string() is_object() is_array() is_resource() is_null() PHP魔...

PHP中文乱码的常见解决方法总结

PHP中文乱码是PHP开发中的常见问题之一。PHP中文乱码有时发生在网页本身，有些产生在于MySQL交互的过程中，有时与操作系统有关。下面进行一番总结。一．首先是PHP网页的编码1. php文件本身的编码与网页的编码应匹配a. 如果欲使用gb2312编码，那么php要输出头：header(“Content-Type: text/html; charset=gb2312")，静态页面添加<meta http-equiv="Content-Type" content="text/html; charset=gb2312">，所有文件的编码格式为ANSI，...

PHP基础知识总结（三）流程控制、函数、类对象和数据库【代码】

PHP基础语法1、流程控制　　条件语句：if elseif else / switchif($a == 1){……} elseif ($a == 2){……} else{……} 循环语句：for foreachfor ($i = 1; $i <= 10; $i++) {echo$i; }foreach($arras$key => $value){ //一维数组循环键和值 …… }foreach($arras$key => $value){ //二维数组循环键和值foreach($valueas$value2){ //可以在循环中直接取值 ……} } 2、函数：一次...

PHP排序算法的复习和总结【代码】

对于PHP中对数组的元素进行排序，这个是很经常用到的，之前的项目中也有，而且对于几种排序我们都是用的是asort arsort 等PHP原生函数，没有自己去实现，所以就对一下的几个函数进行总结，这个会不断的进行补充，自己也可以好好的复习和总结。直接上代码吧！ 1 <?php2/* 3 * 插入排序（一维数组）4 * 每次将一个待排序的数据元素，插入到前面已经排好序的数列中的适当的位置，使数列依然有序；直到待排序的数据元素全部插入完成...

php项目心得以及总结

经过一学期的php课程学习，对于PHP的函数和一些语法，更加了解了。这次项目主要使用了面向过程的开发方法，在开发过程熟悉掌握php一些常用的函数以及php数组的使用以及文件上传功能等。　　学东西，永远不要妄想有速成这一说，告诉你了一个方式，但是缺少努力这一环节，那也是白搭。掌握好的学习方法非常必要,看看这篇如何学习php/学习php的方法　　相信大家选择一种语言，并不是看它的背景和悠久历史，更重要的是看它的实用性，华...

PHP反序列化漏洞总结【代码】【图】

写在前边　　做了不少PHP反序列化的题了，是时候把坑给填上了。参考了一些大佬们的博客，自己再做一下总结1.面向对象2.PHP序列化和反序列化3.PHP反序列化漏洞实例1.面向对象　　在了解序列化和反序列化之前，先简单了解一下PHP的面向对象。　　万物皆可对象。根据官方手册，PHP中，以关键字class定义一个类，一个类可以包含有属于自己的常量，变量（称为“属性”）以及函数（称为“方法”）。class People {//声明属性public$name;...

PHP GD库生成图像的几个函数总结

使用GD库中提供的函数动态绘制完成图像以后，就需要输出到浏览器或者将图像保存起来。在PHP中，可以将动态绘制完成的画布，直接生成GIF、JPEG、PNG和WBMP四种图像格式。可以通过调用下面四个函数生成这些格式的图像：复制代码代码如下:bool imagegif(resource $image[,string $filename]) //以GIF格式将图像输出bool imagejpeg(resource $image[,string $filename[,int $quality]]) ...

Memcached 笔记与总结（2）编译 php-memcache 扩展【代码】【图】

环境：CentOS 6.6 + Apache 2.2.21 + PHP 5.3.10 php-memcache 是 php 写的 memcached 的客户端，以扩展的形式发布。对于正在运行的 php，不可能去整体重新编译 php，只能编译扩展。 php 扩展编译（的通用方法，以 memcached 扩展为例）① 到软件的官方网站，如 memcached 的官网，或 pecl.php.net 寻找扩展源码并下载，以 pecl.php.net 为例，搜索 memcached以 memcache 为例，下载其稳定版 2.2.7：http://pecl.php.net/get/mem...

php中自己总结的函数（持续更新）【代码】

每一种编程语言在用的过程中都会发现有时候要一种特定需求的功能函数，结果没有内置这样的函数，这个时候就需要自己根据已有函数编写尽可能简单的函数，下面是我在做php相关工作时积累下的函数，会持续更新，您要是有好的也可以推荐给我，我在这里统一展示给大家。第一，生成随机字符串代码如下面所示，要注意以下，查看手册可以看到，php在版本4.2.0以前生成随机数时，需要先给随机数发生器播种，PHP_VERSION>4.2.0的版本，系统自...

php代码执行/命令执行总结【代码】【图】

代码执行eval(PHP 4, PHP 5, PHP 7)eval( string $code) : mixed 把字符串 code 作为PHP代码执行。eval($_POST[‘c‘]); 直接蚁剑链接密码为cassert(PHP 4, PHP 5, PHP 7)assert( mixed $assertion[, Throwable $exception]) : bool 如果 assertion 是字符串，它将会被 assert() 当做 PHP 代码来执行。使用方法同evalassert($_POST[‘c‘]); preg_replace(PHP 4, PHP 5, PHP 7)preg_replace ( mixed $pattern,mixed $replacement ,...

首页 / PHP / 代码审计入门总结

代码审计入门总结

内容导读

内容图文

0x00 简介

0x01 整体

0x02 各种洞洞

a.文件操作漏洞

1.文件包含漏洞：

2.文件读取(下载)漏洞：

3.文件上传漏洞：

4.文件删除漏洞：

Metinfo的任意文件删除漏洞：

b.代码执行漏洞

1.代码执行函数：

当$pattern处存在e修饰符时，$replacement 会被当做php代码执行。

第一个参数为回调函数，第二个参数是回调函数的参数

当assert()的参数为字符串时 可执行PHP代码

2.动态函数执行：

3.命令执行函数：

双引号时，可以直接解析变量，造成代码执行漏洞，过狗绕过。

c.变量覆盖漏洞

1.函数使用不当：

2.$$变量覆盖：

d.逻辑漏洞

1.等于与存在判断绕过：

2.账户体系中的越权问题：

e.会话认证漏洞

f.二次漏洞

1.类型：

2.技巧：

0x03 End

内容总结

内容备注

内容手机端

【代码审计入门总结】教程文章相关的互联网学习教程文章

代码审计 - 相关标签

PHP - 技术教程分类

PHP - 最新教程

PHP - 最热教程

当assert()的参数为字符串时可执行PHP代码