AKun Wallpaper 代码审计实战分析6
前言
通过前面5期的代码审计，我们已经修复了这套系统的绝大部分漏洞，同时也学习到了不少知识。这一篇文章是这一个系列的最后一篇文章，接下来我将继续分析漏洞原理并讲解修复方法。
AKun Wallpaper 代码审计实战分析1：https://blog.csdn.net/rpsate/article/details/122354690
AKun Wallpaper 代码审计实战分析2：https://blog.csdn.net/rpsate/article/details/122387998
AKun Wallpaper 代码审计实战分析3：https://blog.csdn.net/rpsate/article/details/122400520
AKun Wallpaper 代码审计实战分析4：https://blog.csdn.net/rpsate/article/details/122417856
AKun Wallpaper 代码审计实战分析5：https://blog.csdn.net/rpsate/article/details/122504250
漏洞分析1
审计过程
看到低风险漏洞，其中有Cookie Security：Cookie not Sent Over SSL，这个漏洞意思就是 setcookie的 secure参数没有设置为 True，如果设置为 True后，cookie就只能通过https协议传输了，所以此处不用修改。
Cookie Security：persistent Cookie，这代表cookie可能存放敏感数据，通过分析得知cookie中没有存放敏感数据。
Cross-Site Request Forgery，这是指的CSRF漏洞，我们首先分析一下添加管理员账号处有没有csrf漏洞。
看到 core/core.php的19行，此处只对账号和密码长度做了验证，并没有token验证，也没有发现其他防止csrf漏洞的验证过程。所以此处极大可能存在csrf漏洞。
漏洞复现
模仿 admin/addAdmin.php写一个表单，只保留关键代码并添加js代码让表单自动提交。如下图中账号为 rpsate，密码为 aaaaaa。将其保存为html文件。
<form id="form" action="http://127.0.0.1/admin/doAdminAction.php?action=addAdmin" method="post">
<input type="text" name="username" value="rpsate">
<input type="password" name="password" value="aaaaaa">
form>
<script>
var form = document.getElementById('form');
form.submit();
script>
在登录网站后，用同一浏览器打开这个页面。打开这个页面后就会自动添加一个账号，如下图所示表示添加账号成功。
在实际环境中，黑客会将这个页面隐藏在iframe中，在用户不知不觉中添加账号。
修复方法
修复csrf漏洞的方法有添加token、验证码、Referer和Orgin字段等等，我们这里的修复方法使用验证token。因为该站不可以ajax跨站请求，那么在没有xss漏洞的情况下是无法通过js获取页面上token的。
将下列代码添加到 admin/addAdmin.php的顶部位置：
$token = uniqid(md5(time() * mt_rand()));
setcookie('token', $token, time()+60, null, null, null, true);
将下列隐藏表单代码添加在 admin/addAdmin.php的表单中：
<input type="hidden" name="token" value="">
要注意
setcookie的第7个参数一定要设置为true，不然攻击者可以通过js获取该cookie。
然后再 core/core.php第20左右添加验证token的代码。注意首先要判断token的长度，然后再判断用户提交的token是否与cookie中token相等。
if (strlen($_COOKIE['token']) != 45 || $_COOKIE['token'] != $_POST['token']) {
alert('token无效!', 'login.html');
}
注意：
alert是自定义的php函数。
再次测试csrf漏洞，此时已经无法利用该漏洞了。
漏洞分析2
审计过程
注意下面框选的几条数据流，此处没有修改数据库中的任何内容，只进行了查询操作，所以此处不会存在csrf漏洞。
通过审计发现网站中还存在csrf漏洞，但是fortify没有检测出来，这需要审计人员对代码仔细观察才能发现。如下图所示，在 admin/listAdmin.php中，有一个js函数 deleteAdmin。该函数向 admin/doAdminAction.php发送了一个GET请求，表示删除指定id的用户，但是没有携带token。攻击者可以利用该漏洞删除任意用户。
修复方案
修复方法与前面所讲方法相似，只是这次token使用GET传输。在 admin/listAdmin.php的顶部加上如下代码：
$token = uniqid(md5(time() * mt_rand()));
setcookie('token', $token, time()+60, null, null, null, true);
然后把admin/listAdmin.php中的 deleteAdmin函数改成如下所示，其实就是在url后添加了token参数。
function deleteAdmin(id,name) {
if (confirm("你确定要删除"+name+"吗?") == true) {
window.location.href="doAdminAction.php?action=delete&id="+id+"&token=";
}
}
然后在 core/core.php的 deleteAdmin函数中添加如下代码：
if (strlen($_COOKIE['token']) != 45 || $_COOKIE['token'] != $_GET['token']) {
alert('token无效!', 'login.html');
}
还有删除图片功能也存在csrf漏洞，修复方法与此处相同。
漏洞分析3
代码审计
Hidden Field指的是用了隐藏域，但是该程序在隐藏域中没有敏感信息，所以此处不用处理。
Weak Cryptographic Hash指的是用了弱hash加密，也就是用了md5加密算法。md5加密算法容易被暴力破解，所以不建议采用md5来加密密码。
看到 admin/doLogin.php的第10行，此处直接对 $_POST['password']进行md5运算。假如 $_POST['password']是一个数组，那么 md5函数将会出错，那么 $get_password就等于空。假如 $get_username的值为一个不存在的用户，那么从数据库中获取到的 $password也将为空，所以27行的 $password == $get_password也就等于true。
payload如下：
username=rpsate&password[]=rpsate&captcha=1412
数据库中必须不存在rpsate账号，验证码要填写准确。
漏洞复现
用burpsuite截取网站登录数据包，如下图所示：
将POST数据中的 password改成password[]，然后发送数据包，如下图所示：
修复方案
判断 $_POST['password']是否为数组，如果为数组则将空值转化为md5后赋值给 $get_password，同时判断 $password的长度是否等于32位，如果等于32则说明数据库中有这个用户名，才能让其登录。
if(is_array($_POST['password'])) {
$get_password = md5('');
}else {
$get_password = md5($_POST['password']);
}
if (strtolower($captcha) == strtolower($get_captcha)) {}
修复后再次尝试利用该漏洞：
结语
AKun Wallpaper代码审计实战分析系列到此就结束了！在整个项目的审计过程中fortify帮我们找到了绝大部分漏洞，其中也包括了部分误报，但是通过我们的分析可以很快的判断漏洞是否真实存在，同时我们也通过经验发现了少量漏洞。虽然审计完成并修复了漏洞，但是这并不意味着这套系统就没有漏洞了。我们不可能将漏洞全部修复，只能尽可能的修复更多的漏洞。所以我们还需努力，不断提升自身代码审计能力，使自己在下次审计代码时能够发现更多的漏洞，与君共勉。