PHP代码审计Day学习笔记1-4

来自先知社区-红日安全-代码审计小组的PHP代码审计的项目本阶段的内容题目均来自 PHP SECURITY CALENDAR 2017

Day1 in_array函数缺陷

定义

in_array函数

bool in_array ( mixed $needle , array $haystack [, bool $strict = FALSE ] )

参数描述
needle必需,规定要在数组搜索的值
haystack必需。规定要搜索的数组
strict可选。如果该参数设置为 TRUE,则 in_array() 函数检查搜索的数据与数组的值的类型是否相同

实例

题目叫做愿望清单,代码如下:

漏洞解析

存在任意文件上传漏洞,

  • 12行使用**in_array()**函数检测文件名。

但由于第三个参数为默认,不会检查搜索的数据与数组的值类型是否相同.若文件名为7shell.php则会解析为7,7在**range(1,24)**中,所以可绕过.造成任意文件上传漏洞。

详见

Day2 filter_var

定义

filter_var()

filter_var(variable, filter, options)
函数通过指定的过滤器过滤一个变量。
如果成功,则返回被过滤的数据。如果失败,则返回 FALSE。

参数描述
variable必需。规定要过滤的变量。
filter可选。规定要使用的过滤器的 ID。默认是 FILTER_SANITIZE_STRING。参见 完整的 PHP Filter 参考手册,查看可能的过滤器。过滤器 ID 可以是 ID 名称(比如 FILTER_VALIDATE_EMAIL)或 ID 号(比如 274)。
option可选。规定一个包含标志/选项的关联数组或者一个单一的标志/选项。检查每个过滤器可能的标志和选项。
FILTER_VALIDATE_URL

FILTER_VALIDATE_URL 过滤器把值作为 URL 来验证。

escape

PHP的一个模板引擎 Twig 中的escape过滤方法,是用PHP内置函数 htmlspecialchars 来实现的

htmlspecialchars

htmlspecialchars — 将特殊字符转换为 HTML 实体

实例

题目叫做Twig,代码如下:

漏洞解析

这一关题目实际上用的是PHP的一个模板引擎 Twig ,本题考察XSS(跨站脚本攻击)漏洞。虽然题目代码分别用了 escapefilter_var 两个过滤方法,但是还是可以被攻击者绕过。

  • 第8行程序使用 Twig 模板引擎定义的 escape 过滤器来过滤link
  • 第17行 ,这里用了 filter_var 函数来过滤 nextSlide 变量,且用了 FILTER_VALIDATE_URL 过滤器来判断是否是一个合法的url

这两处过滤,用JavaScript伪协议绕过
pyload:

?url=javascript://comment%250aalert(1)
  • 实际上,这里的 // 在JavaScript中表示单行注释,所以后面的内容均为注释,那为什么会执行 alert 函数呢?那是因为我们这里用了字符 %0a ,该字符为换行符,所以 alert 语句与注释符 // 就不在同一行,就能执行
  • 这里我们要对 % 百分号编码成 %25 ,因为程序将浏览器发来的payload:javascript://comment%250aalert(1) 先解码成: javascript://comment%0aalert(1)
  • 存储在变量 $url 中(上图第二行代码),然后用户点击a标签链接就会触发 alert 函数。

详见

Day3 实例化任意对象漏洞

定义

__autoload

__autoload — 尝试加载未定义的类(7.2起已废弃)

class_exists

class_exists — 检查类是否已定义

SimpleXMLElement

用来表示XML文档中的元素,为PHP的内置类。

XXE攻击

XXE(XML External Entity attack)漏洞

实例

题目叫做雪花,代码如下:

漏洞分析

存在两个安全漏洞

  • 文件包含,第8行使用class_exists() 函数来判断用户传过来的控制器是否存在,默认情况下,如果程序存在 __autoload 函数,那么在使用 class_exists() 函数就会自动调用本程序中的 __autoload 函数,攻击者可以使用

  • 路径穿越来包含任意文件,当然使用路径穿越符号的前提是 PHP5~5.3(包含5.3版本)版本 之间才可以。例如类名为: …/…/…/…/etc/passwd 的查找,将查看passwd文件内容

  • 第9行,实例化类的类名和传入类的参数均在用户的控制之下可以使用PHP的内置类 SimpleXMLElement来进行 XXE攻击,进而读取目标文件的内容,甚至命令执行(前提是安装了PHP拓展插件expect)

关于 SimpleXMLElement 导致的XXE攻击,下面再给出一个demo案例

详见

Day4 strpos使用不当引发漏洞

定义

strpos

查找字符串首次出现的位置

实例

题目名字叫假胡子,代码如下:

漏洞分析
  • 第8行strpos的使用不当,当strpos函数判断时首字符符合时会返回0,与false取反都为true

详见

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值