关于分析今天保定百度百度爱高级PHP应用程序漏洞审核技术 - sebug_

关于分析今天保定百度百度爱高级PHP应用程序漏洞审核技术-sebug_.txt男人应该感谢20多岁陪在自己身边的女人。因为20岁是男人人生的最低谷，没钱，没事业；而20岁，却是女人一生中最灿烂的季节。只要锄头舞得好，哪有墙角挖不到？的的的地方地方爱的规格好文章==Ph4nt0mSecurityTeam==Issue0x03,Phile#0x06of0x07|=---------------------------------------------------------------------------=||=---------------------=[高级PHP应用程序漏洞审核技术]=---------------------=||=---------------------------------------------------------------------------=||=---------------------------------------------------------------------------=||=----------------------=[By]=------------------------=||=------------------------=[]=--------------------------=||=---------------------------------------------------------------------------=|[目录]1.前言2.传统的代码审计技术3.PHP版本与应用代码审计4.其他的因素与应用代码审计5.扩展我们的字典5.1变量本身的key5.2变量覆盖5.2.1遍历初始化变量5.2.2parse_str()变量覆盖漏洞5.2.3import_request_variables()变量覆盖漏洞5.2.4PHP5Globals5.3magic_quotes_gpc与代码安全5.3.1什么是magic_quotes_gpc5.3.2哪些地方没有魔术引号的保护5.3.3变量的编码与解码5.3.4二次攻击5.3.5魔术引号带来的新的安全问题5.3.6变量key与魔术引号5.4代码注射5.4.1PHP中可能导致代码注射的函数5.4.2变量函数与双引号5.5PHP自身函数漏洞及缺陷5.5.1PHP函数的溢出漏洞5.5.2PHP函数的其他漏洞5.5.3session_destroy()删除文件漏洞5.5.4随机函数5.6特殊字符5.6.1截断5.6.1.1include截断5.6.1.2数据截断5.6.1.3文件操作里的特殊字符6.怎么进一步寻找新的字典7.DEMO8.后话9.附录一、前言PHP是一种被广泛使用的脚本语言，尤其适合于web开发。具有跨平台，容易学习，功能强大等特点，据统计全世界有超过34%的网站有php的应用，包括Yahoo、sina、163、sohu等大型门户网站。而且很多具名的web应用系统（包括bbs,blog,wiki,cms等等）都是使用php开发的，Discuz、phpwind、phpbb、vbb、wordpress、boblog等等。随着web安全的热点升级，php应用程序的代码安全问题也逐步兴盛起来，越来越多的安全人员投入到这个领域，越来越多的应用程序代码漏洞被披露。针对这样一个状况，很多应用程序的官方都成立了安全部门，或者雇佣安全人员进行代码审计，因此出现了很多自动化商业化的代码审计工具。也就是这样的形势导致了一个局面：大公司的产品安全系数大大的提高，那些很明显的漏洞基本灭绝了，那些大家都知道的审计技术都无用武之地了。我们面对很多工具以及大牛扫描过n遍的代码，有很多的安全人员有点悲观，而有的官方安全人员也非常的放心自己的代码，但是不要忘记了“没有绝对的安全”，我们应该去寻找新的途径挖掘新的漏洞。本文就给介绍了一些非传统的技术经验和大家分享。另外在这里特别说明一下本文里面很多漏洞都是来源于网络上牛人和朋友们的分享，在这里需要感谢他们，：）二、传统的代码审计技术WEB应用程序漏洞查找基本上是围绕两个元素展开：变量与函数。也就是说一漏洞的利用必须把你提交的恶意代码通过变量经过n次变量转换传递，最终传递给目标函数执行，还记得MS那句经典的名言吗？“一切输入都是有害的”。这句话只强调了变量输入，很多程序员把“输入”理解为只是gpc[$_GET,$_POST,$_COOKIE]，但是变量在传递过程产生了n多的变化。导致很多过滤只是个“纸老虎”！我们换句话来描叙下代码安全：“一切进入函数的变量是有害的”。PHP代码审计技术用的最多也是目前的主力方法：静态分析，主要也是通过查找容易导致安全漏洞的危险函数，常用的如grep，findstr等搜索工具，很多自动化工具也是使用正则来搜索这些函数。下面列举一些常用的函数，也就是下文说的字典（暂略）。但是目前基本已有的字典很难找到漏洞，所以我们需要扩展我们的字典，这些字典也是本文主要探讨的。其他的方法有：通过修改PHP源代码来分析变量流程，或者hook危险的函数来实现对应用程序代码的审核，但是这些也依靠了我们上面提到的字典。三、PHP版本与应用代码审计到目前为止，PHP主要有3个版本：php4、php5、php6，使用比例大致如下：php468%2000-2007，Nosecurityfixesafter2008/08，最终版本是php4.4.9php532%2004-present，Nowatversion5.2.6（PHP5.3alpha1released!）php6目前还在测试阶段，变化很多做了大量的修改，取消了很多安全选项如magic_quotes_gpc。（这个不是今天讨论的范围）由于php缺少自动升级的机制，导致目前PHP版本并存，也导致很多存在漏洞没有被修补。这些有漏洞的函数也是我们进行WEB应用程序代码审计的重点对象，也是我们字典重要来源。四、其他的因素与应用代码审计很多代码审计者拿到代码就看，他们忽视了“安全是一个整体”，代码安全很多的其他因素有关系，比如上面我们谈到的PHP版本的问题，比较重要的还有操作系统类型（主要是两大阵营win/*nix），WEB服务端软件（主要是iis/apache两大类型）等因素。这是由于不同的系统不同的WEBSERVER有着不同的安全特点或特性，下文有些部分会涉及。所以我们在做某个公司WEB应用代码审计时，应该了解他们使用的系统，WEB服务端软件，PHP版本等信息。五、扩展我们的字典下面将详细介绍一些非传统PHP应用代码审计一些漏洞类型和利用技巧。5.1变量本身的key说到变量的提交很多人只是看到了GET/POST/COOKIE等提交的变量的值，但是忘记了有的程序把变量本身的key也当变量提取给函数处理。--code-------------------------------------------------------------------------?php//key.php?aaaa'aaa=1&bb'b=2//print_R($_GET);foreach($_GETAS$key=$value){print$key.\n;}?-------------------------------------------------------------------------------上面的代码就提取了变量本身的key显示出来，单纯对于上面的代码，如果我们提交URL：--code-------------------------------------------------------------------------key.php?scriptalert(1);/script=1&bbb=2-------------------------------------------------------------------------------那么就导致一个xss的漏洞，扩展一下如果这个key提交给include()等函数或者sql查询呢？：）+++++++++++++++++++++++++漏洞审计策略-------------------------PHP版本要求：无系统要求：无审计策略：通读代码+++++++++++++++++++++++++5.2变量覆盖（variable-overwrite）很多的漏洞查找者都知道extract()这个函数在指定参数为EXTR_OVERWRITE或者没有指定函数可以导致变量覆盖，但是还有很多其他情况导致变量覆盖的如：5.2.1遍历初始化变量请看如下代码：--code-------------------------------------------------------------------------?php//var.php?a=fuck$a='hi';foreach($_GETas$key=$value){$$key=$value;}print$a;?-------------------------------------------------------------------------------很多的WEB应用都使用上面的方式（注意循环不一定是foreach），如Discuz!4.1的WAP部分的代码：--code-------------------------------------------------------------------------$chs='';if($_POST&&$charset!='utf-8'){$chs=newChinese('UTF-8',$charset);foreach($_POSTas$key=$value){$$key=$chs-Convert($value);}unset($chs);-------------------------------------------------------------------------------+++++++++++++++++++++++++漏洞审计策略-------------------------PHP版本要求：无系统要求：无审计策略：通读代码+++++++++++++++++++++++++5.2.2parse_str()变量覆盖漏洞（CVE-2007-3205）、mb_parse_str()--code-------------------------------------------------------------------------//var.php?var=new$var='init';parse_str($_SERVER['QUERY_STRING']);print$var;-------------------------------------------------------------------------------该函数一样可以覆盖数组变量，上面的代码是通过$_SERVER['QUERY_STRING']来提取变量的，对于指定了变量名的我们可以通过注射“=”来实现覆盖其他的变量：--code-------------------------------------------------------------------------//var.php?var=1&a[1]=var1%3d222$var1='init';parse_str($a[$_GET['var']]);print$var1;-------------------------------------------------------------------------------上面的代码通过提交$var来实现对$var1的覆盖