php代码审计

php 开发语言 2023-09-01 08:09:41 441人浏览安东尼

摘要

🌕写在前面 🍊博客主页：Scorpio_m7，github🎉欢迎关注🔎点赞👍收藏⭐️留言📝

🌕写在前面

🍊博客主页：Scorpio_m7，github
🎉欢迎关注🔎点赞👍收藏⭐️留言📝
🌟本文由 Scorpio_m7原创，CSDN首发！
📆首发时间：🌹2023年2月10日🌹
✉️坚持和努力一定能换来诗与远方！
🙏作者水平很有限，如果发现错误，请留言轰炸哦！万分感谢感谢感谢！

文章目录

🌕写在前面
准备工作
- 了解CMS的基本信息
代码审计方法
PHP开发模式
yccms代码执行
ThinkCMF框架

准备工作

了解CMS的基本信息

该CMS使用的是什么设计模式？
该CMS每个目录大概负责的功能(视图、缓存、控制器等)。
该CMS处理请求的基本流程是如何走的？
以及在系统中使用的全局过滤函数是如何对数据进行处理的？

代码审计方法

敏感函数回溯

大多数的漏洞主要是PHP的函数的使用不当造成的，只要找到这些使用不当的函数，就可以快速的发现想要挖掘的漏洞。

定向功能分析

该方法主要是根据程序的业务逻辑和业务功能进行审计的。

通读全文

通过对整个项目的代码进行阅读从而发现问题，这种方法是最全面的但也是最麻烦的。

php开发模式

常见的程序编写模式

面向过程写法的程序，常见的普通类型
常见的PHP框架，如Thinkphp、Laravel、Yii。
基于原框架上经过二次开发的PHP框架，如Thinkcmf、ThinkBlog。
企业自行开发的自用的框架。

总的来说一种是基于mvc(M:模型、V:视图、C:控制器)模型开发的程序，一种是普通面向过程的开发程序，针对不同的设计模式的系统我们应该采用不同的方法做审计。

普通程序设计模式

安全性较低，维护困难常常会出现安全性问题，开发者必须在每个文件开头加上include。
分析回溯较为简单，没有复杂的函数转发。
URL模式：Http://localhost/test.php
可维护性较低。
写法多基于原生代码。
可以利用Seay代码审计工具辅助做代码审计。

MVC程序设计模式

安全性较高，大团队开发维护，单入口应用安全性好，只需要统一在入口处做好过滤即可。
分析回溯较为复杂，复杂的函数转发。
URL模式：http://localhost/index.php?m=home&c=user&a=login，http://localhost/index.php/home/user/login
可维护性较高
写法多基于已封装好的函数，使用方便简单，减少代码冗余。
手工审计更为实际，工具只能起到辅助作用。

yccms代码执行

用Fortify扫描后发现三个高危代码执行漏洞，针对最后一个漏洞，分析一下\public\class\Factory.class.php文件

static public function setModel() {$_a = self::getA();if (file_exists(ROOT_PATH.'/model/'.$_a.'Model.class.php')) eval('self::$_obj = new '.ucfirst($_a).'Model();');return self::$_obj;}static public function getA(){if(isset($_GET['a']) && !empty($_GET['a'])){return $_GET['a'];}return 'login';}

getA()方法接受a的参数，作为加载模型的文件名，如果该文件存在则执行eval函数实例化该模型。回溯查找setModel()方法，在\controller\Action.class.php中找到了，在加载Action类时会执行该类的构造函数，从而执行setModel()方法。

class Action {protected $_tpl = null;protected $_model = null;protected function __construct() {$this->_tpl = TPL::getInstance();$this->_model = Factory::setModel();Tool::setRequest(); //表单转义和html过滤}

在\Controller\ArticleAction.class.php中可以发现ArticleAction类继承了Action类，并调用了父类的构造方法，可以通过访问此类的方法并构造合适的payload去触发漏洞

//文章控制器class ArticleAction extends Action{private $_total='';public function __construct(){parent::__construct();$this->_sys=new SystemModel();$this->_model=new ArticleModel();}

一个个控制器找，找到了直接实例化SearchAction方法的类，这里明显调用了我们正好需要的方法，这样一来就可以访问到最开始的EVAL函数了。

//require str_replace('\\','/',substr(dirname(__FILE__),0,-7)).'/config/run.inc.php';define('ROOT_PATH',str_replace('\\','/',substr(dirname(__FILE__),0,-7))); require ROOT_PATH.'/config/config.inc.php';require ROOT_PATH.'/public/smarty/Smarty.class.php';//自动加载类function __autoload($_className){if(substr($_className,-6)=='Action'){require ROOT_PATH.'/controller/'.ucfirst($_className).'.class.php';}elseif(substr($_className, -5) == 'Model'){require ROOT_PATH.'/model/'.ucfirst($_className).'.class.php';}else{require ROOT_PATH.'/public/class/'.ucfirst($_className).'.class.php';}}$_tpl=TPL::getInstance();$_search=new SearchAction();$_search->index();?>