PHP-Audit-Labs第一阶段学习总结

由于篇幅原因，源码详见 GITHUB源码链接。同时在这感谢红日安全的分享。因为笔者还是个菜鸡，所以有些地方难免有些错误，请各大佬斧正。同时本篇总结以代码审计为主，部分可能会弱化具体的攻击方法

DAY 1

程序本质	文件上传
漏洞本质	函数缺陷导致的任意文件上传漏洞
缺陷函数	in_array函数
攻击类型	绕过检验

众所周知，php是弱类型语言，当未将in_array函数第三个参数设置为true时，默认进行宽松比较。所以函数在执行搜索项时，会将搜索值强制转换成数字类型。漏洞即在此产生。

攻击：
当我们创建一个文件名首数字为1-24之间的文件。即可通过in_array函数判断，导致任意文件上传漏洞。例：7shell.php

DAY 2

程序本质	用twig模板的点击获得传入链接程序
漏洞本质	函数缺陷导致的xss漏洞
缺陷函数	filter_var函数
攻击类型	绕过检验

程序采取了两种过滤：

1. Twig模板中的escape过滤。关于过滤详见：Twig中文文档
   这里面有一句话：Internally, escape uses the PHP native htmlspecialchars_ function for the HTML escaping strategy.
   意思是使用htmlspecialchars函数。即转义特殊字符为实体

2. get传入的值用filter_var函数过滤。 这里设置的参数为FILTER_VALIDATE_URL。即这里判断传入的是否是url。如果成功，返回已过滤的数据，失败返回false。（伪协议可以绕过此过滤）

针对这两种过滤，思路是使用不带特殊字符的xss payload。考虑伪协议绕过

攻击：

payload：?nextSlide=javascript://comment%250aalert(1)

使用js伪协议确保代码无特殊字符不会被转义，且可以绕过filter_var函数的检验。//是单行注释，注释掉后面的内容，再使用%250a——编码%后的%0a，对代码换行。//注释不掉攻击代码，构成xss漏洞，这时只需点击< a > 标签中的链接Next slide即可触发。

DAY 3

程序本质	检测是否存在某种控制器（类）
漏洞本质	用户可以操纵可控变量 / 函数缺陷导致的文件包含漏洞
缺陷函数	class_exists函数
攻击类型	绕过检验

本程序含两个漏洞：

1. 用户可以操纵可控变量
   很不幸，在本程序中，实例化类的类名，与参数均在用户的控制中。我们可以构造任意危险函数来攻击程序，例如xxe攻击，命令执行攻击（前提是安装了PHP拓展插件expect）
2. 函数缺陷导致的文件包含漏洞
   class_exists函数在默认情况下，如果程序中含有__autoload函数，会自动加载。很不巧，文件包含漏洞就出现在此了。我们控制类名为路径。即可使用路径穿越包含任意文件。构成文件包含漏洞

DAY 4

程序本质	带过滤的用户登陆