代码审计-1 开始审计前的准备&重装漏洞

开始审计前的准备

获得源码
很多PHP程序都是开源的、找到官网下载最新的源码包就好了(站长之家，A5源码)安装网站

安装网站
在本地搭建网站，一边审计一边调试。实时跟踪各种动态变化

网站结构
浏览源码文件夹，了解该程序的大致目录入口文件

入口文件
index.php、admin.php文件一般是整个程序的入口，详细读一下index文件可以知道程序的架构、运行流程、包含那些配置文件，包含哪些过滤文件以及包含那些安全过滤文件，了解程序的业务逻辑

配置文件
一般类似config.php等文件，保存一些数据库相关信息、程序的一些信息

敏感函数回溯参数过程

直接使用工具可以扫出一些敏感的参数：

例如:
1)通过select、insert结合from和where等关键字，判定是一条SQL语句，然后通过对字符串的识别，判断这个SQL语句里边的参数有没有拼接或者单引号过滤。

2)HTTP头里边的HTTP_CLIENT、HTTP_X_FORWARDFOR 等获取到的IP地
址经常没有过滤就直接拼接到了SQL语句中，并且因为是在$_SERVER 变
量中，不受GPC的影响，因此可以查找HTTP_CLIENT、HTTP_X_FORWARDFOR
关键字来快速寻找漏洞。

代码审计之重装漏洞

VAuditDemo重装漏洞

重装

打开install.php文件查看

首先此处，判断完lock文件后直接进行的重定向，没有exit结束，所以install.php下面还是会继续执行的

if ( file_exists($_SERVER["DOCUMENT_ROOT"].'/sys/install.lock') ) {
	header( "Location: ../index.php" );
}
require_once '../header.php';

只需要自己搭建环境，用burp拦截，将安装的请求包复制下来，然后将host改成目标的地址就可以对目标进行重新安装了

恶意代码写入配合重装

install.php此处将POST数据接收后没有过滤直接复制给了变量$dbname

if ( $_POST ) {

	if ( $_POST["dbhost"] == "" ) {
		exit( '数据库连接地址不能为空' );
	}elseif ( $_POST["dbuser"] == "" ) {
		exit( '数据库数据库登录名' );
	}elseif ( $_POST["dbname"] == "" ) {
		exit( '请先创建数据库名称' );
	}

	$dbhost = $_POST["dbhost"];
	$dbuser = $_POST["dbuser"];
	$dbpass = $_POST["dbpass"];
	$dbname = $_POST["dbname"];

	$con = mysql_connect( $dbhost, $dbuser, $dbpass );

此处将字符串进行拼接，拼接成php文件的形式赋值给变量$str_tmp，其中就包括$dbname变量
然后打开config.php文件，将变量中的内容进行写入

config.php文件中的内容

安装时burp抓包，对dbname的值进行修改

发送数据包

此时我们再看config.php中的内容
vauditdemo-- -";phpinfo();//";

payload分析：

因为没有做过滤，所以$dbname的值被用户恶意写入，然后又将$dbname在config.php中赋给$database。

当程序去用$dbname中的值去创建数据库时，由于-- -符号为mysql中的注释符，所以后面的字符不会被当作数据库的名称带入，就不会报错。

在config.php中在给$database赋值时，";对前面的赋值操作进行了拼接，让后面的恶意代码成功执行

zswin重装漏洞

首先正常打开安装界面进行安装

我们来看一下install安装那块的代码

这个函数写了当安装成功存在lock文件时，将页面重定向并且执行exit

但是这个函数并不是类的初始化函数，并没有被调用，也就是说if判断、重定向、还有exit结束都是不起作用的

安装成功后当我们再去访问安装界面路径时，可以看到并没有重定向，这里可以证明重装漏洞确实存在

在install安装中的代码，此处是直接将从$_POST获取的数据，给了$config_data这个数组，然后放到write_config函数中去执行

我们追踪一下write_config函数

此函数将conf.tpl和user.tpl的内容读取出来，然后进行替换

将conf.tpl和user.tpl中和数组config索引相同的字符串，替换成对应的索引的值，替换后分别写入两个config.php中

就是将读取的conf.tpl和user.tpl中的这些

替换成索引对应的值，也就是替换成之前$_POST传入的对应的值，然后分别写入到app/common/conf/config.php和app/user/conf/config.php中

user.tpl文件与app/user/conf/config.php文件与对比

上面也说过$_POST提交的数据是没有做过滤的，所以当我们提交时什么样，写到config.php文件里也是同样的

此时我们就可以在提交表前缀处构建闭合语句，去闭合app/user/conf/config.php中);

提交完成后再看app/user/conf/config.php，语句已经插入成功

对路径进行访问，phpinfo()执行成功