PHP Code Reviewing Learning

http://code-tech.diandian.com/post/2012-11-04/40042129192
http://ssv.sebug.net/高级PHP应用程序漏洞审核技术#
http://80vul.com/
http://www.php-security.org/ 

1. 前言
2. 传统的代码审计技术
3. PHP版本与应用代码审计
4. 其他的因素与应用代码审计
5. 扩展我们的字典
    5.1 变量本身的key
    5.2 变量覆盖
        5.2.1 遍历初始化变量
        5.2.2 parse_str()变量覆盖漏洞
        5.2.3 import_request_variables()变量覆盖漏洞
        5.2.4 PHP5 Globals
    5.3 magic_quotes_gpc与代码安全
        5.3.1 什么是magic_quotes_gpc
        5.3.2 哪些地方没有魔术引号的保护
        5.3.3 变量的编码与解码
        5.3.4 二次攻击
        5.3.5 魔术引号带来的新的安全问题
        5.3.6 变量key与魔术引号
    5.4 代码注射
        5.4.1 PHP中可能导致代码注射的函数
        5.4.2 变量函数与双引号
    5.5 PHP自身函数漏洞及缺陷
        5.5.1 PHP函数的溢出漏洞
        5.5.2 PHP函数的其他漏洞
        5.5.3 session_destroy()删除文件漏洞
        5.5.4 随机函数
    5.6 特殊字符
        5.6.1 截断
            5.6.1.1 include截断
            5.6.1.2 数据截断
            5.6.1.3 文件操作里的特殊字符
6. 怎么进一步寻找新的字典 

php
    //key.php?aaaa‘aaa=1&bb‘b=2 
    //print_R($_GET); 
    foreach ($_GET AS $key => $value)
    {
        print $key."\n";
    }
?>

http://localhost/test/key.php?=1&bbb=2

php
    //var.php?a=fuck
    $a=‘hi‘;
    foreach($_GET as $key => $value) 
    {
        $$key = $value;
    }
    print $a;
?>

$chs = ‘‘;
if($_POST && $charset != ‘utf-8‘) 
{
        $chs = new Chinese(‘UTF-8‘, $charset);
        foreach($_POST as $key => $value) 
    {
                $$key = $chs->Convert($value);
        }
        unset($chs);
...

foreach(Array(‘_GET‘,‘_POST‘,‘_COOKIE‘) as $_request)
{
    foreach($$_request as $_k => $_v) 
    {
        if($_k == ‘nvarname‘) 
        {
            ${$_k} = $_v;
        }
        else 
        {
            ${$_k} = _RunMagicQuotes($_v);
        }
    }
}

php
    //var.php?var=new
    $var = ‘init‘;                     
    parse_str($_SERVER[‘QUERY_STRING‘]); 
    print $var;
?>
访问:
http://localhost/test/var.php?var=new

php
    //var.php?var=1&a[1]=var1%3d222
    $var1 = ‘init‘;
    parse_str($a[$_GET[‘var‘]]);
    print $var1;
?>
访问
http://localhost/test/index.php?var=1&a[1]=var1%3d222

http://www.php.net/manual/zh/function.import-request-variables.php

php
    //var.php?_SERVER[REMOTE_ADDR]=10.1.1.1
    echo ‘GLOBALS ‘.(int)ini_get("register_globals")."n";
    import_request_variables(‘GPC‘);
    if ($_SERVER[‘REMOTE_ADDR‘] != ‘10.1.1.1‘) 
    {
        die(‘Go away!‘);
    }
    echo ‘Hello admin!‘;
?>
访问
http://localhost/test/var.php?_SERVER[REMOTE_ADDR]=10.1.1.1

PHP 5.3.0之前有效
PHP 5.3.0起废弃
PHP 5.4.0起移除，即不管任何设置均无效

1. $_SERVER变量
PHP5的$_SERVER变量缺少magic_quotes_gpc的保护，导致近年来X-Forwarded-For的漏洞猛暴，所以很多程序员考虑过滤X-Forwarded-For，但是$_SERVER变量中的其他的变量呢？
2. getenv()得到的变量
类似$_SERVER变量 
3. $HTTP_RAW_POST_DATA与PHP输入、输出流
主要应用与soap/xmlrpc/webpublish功能里，请看如下代码：
..
if ( !isset( $HTTP_RAW_POST_DATA ) ) 
{
        $HTTP_RAW_POST_DATA = file_get_contents( ‘php://input‘ );
}
if ( isset($HTTP_RAW_POST_DATA) )
{
    $HTTP_RAW_POST_DATA = trim($HTTP_RAW_POST_DATA);
    ...
}
...
4. 数据库操作容易忘记‘的地方如：in()/limit/order by/group by
if(is_array($msgtobuddys)) 
{
        $msgto = array_merge($msgtobuddys, array($msgtoid));
        ......
    foreach($msgto as $uid) 
    {
        $uids .= $comma.$uid;
        $comma = ‘,‘;
    }
    ......
    $query = $db->query("SELECT m.username, mf.ignorepm FROM {$tablepre}members m LEFT JOIN {$tablepre}memberfields mf USING(uid) WHERE m.uid IN 
($uids)");

1. 宽字节错误导致的注入
2. 覆盖度不完整，没有对程序中所有的输入变量都应用安全处理

1. stripslashes() 
这个其实就是一个decode-addslashes()
2. 其他字符串转换函数：
    1) base64_decode    对使用 MIME base64 编码的数据进行解码
    2) base64_encode    使用 MIME base64 对数据进行编码
    3) rawurldecode    对已编码的 URL 字符串进行解码
    4) rawurlencode    按照 RFC 1738 对 URL 进行编码
    5) urldecode    解码已编码的 URL 字符串
    6) urlencode    编码 URL 字符串
    ...     
3. unserialize/serialize
4. 字符集函数(GKB,UTF7/8...)
    1) iconv()
    2) mb_convert_encoding()

1. \-->\2. ‘-->\‘
3. "-->\"
4. null-->\0

1. 得到原字符 
php
    ...
    $order_sn=substr($_GET[‘order_sn‘], 1); 
    //提交                 ‘
    //魔术引号处理         \‘
    //substr               ‘ 
    $sql = "SELECT order_id, order_status, shipping_status, pay_status, ". " shipping_time, shipping_id, invoice_no, user_id ". " FROM " . 
$ecs->table(‘order_info‘). " WHERE order_sn = ‘$order_sn‘ LIMIT 1";
2. 得到"\"字符 
php
    ...
    $order_sn=substr($_GET[‘order_sn‘], 0,1);  
    //提交                 ‘
    //魔术引号处理         \‘
    //substr               \   
    $sql = "SELECT order_id, order_status, shipping_status, pay_status, ". " shipping_time, shipping_id, invoice_no, user_id ". " FROM " . 
$ecs->table(‘order_info‘). " WHERE order_sn = ‘$order_sn‘ and order_tn=‘".$_GET[‘order_tn‘]."‘";
    ..

提交内容： 
?order_sn=‘&order_tn=%20and%201=1/*
执行的SQL语句为： 
SELECT order_id, order_status, shipping_status, pay_status, shipping_time, shipping_id, invoice_no, user_id FROM order_info WHERE 
order_sn = ‘\‘ and order_tn=‘ and 1=1/*‘

1. eval
2. preg_replace+/e
3. assert()
4. call_user_func()
5. call_user_func_array()
6. create_function()
7. 变量函数(动态函数)
...

php
    //how to exp this code
    $sort_by=$_GET[‘sort_by‘];
    $sorter=‘strnatcasecmp‘;
    $databases=array(‘test‘,‘test‘);
    $sort_function = ‘  return 1 * ‘ . $sorter . ‘($a["‘ . $sort_by . ‘"], $b["‘ . $sort_by . ‘"]);
              ‘;
    usort($databases, create_function(‘$a, $b‘, $sort_function));

php
    echo "$a\n";
    echo ‘$a\n‘;
?>

php
    //how to exp this code
    if($globals[‘bbc_email‘])
    { 
        $text = preg_replace( array("/\[email=(.*?)\](.*?)\[\/email\]/ies", "/\[email\](.*?)\[\/email\]/ies"), array(‘check_email("$1", "$2")‘, ‘check_email("$1", "$1")‘), $text);

另外，很多的应用程序都把变量用""存放在缓存文件或者config或者data文件里，在需要使用的使用通过Include方式加载进来，这样，如果被加载的文件是变量函数(例如${${...}}这种类型的)，这就容易被人注射变量函数进而代码执行了。

http://www.php-security.org/

php 
    //val.php   
    session_save_path(‘./‘);
    session_start();
    if($_GET[‘del‘]) 
    {
        session_unset();
        session_destroy();
    }
    else
    {
        $_SESSION[‘hei‘]=1;
        echo(session_id());
        print_r($_SESSION);
    }
?>

1. 随机数密文空间长度问题
2. 随即发生器种子问题

php
    //on windows
    print mt_getrandmax(); //2147483647
    echo "";
    print getrandmax();// 32767
?>

php
    $a= md5(rand());
    for($i=0;$i32767;$i++)
    {
        if(md5($i) ==$a ) 
        {
            print $i."-->ok!!
";
            exit;
        }
        else 
        { 
            print $i."
";
        }
    }
?>

function sendPSW()
{
    ....
    $messenger = &$this->system->loadModel(‘system/messenger‘);
    echo microtime() . "
";
    $passwd = substr(md5(print_r(microtime(), true)), 0, 6);
}

http://www.w3school.com.cn/php/func_date_microtime.asp

在这个案例中，生成密码的前一行，直接调用了microtime()并返回在当前页面上，这又使得攻击者以非常低的成本获得了服务器时间；且两次调用microtime()的时间间隔非常短，因此必然是在同一秒内，攻击者只需要猜解微秒数即可。

http://www.w3school.com.cn/php/func_date_microtime.asp

0.68454800 1382964876
0.68459400 1382964876

php

    //这个输出的作用是模拟攻击者获取到了一个关键点附近的时间
    $timebase = microtime();
    print_r($timebase . "\n");   

    //关键点，基于microtime生成"key"的地方
    $passwd = substr(md5(print_r(microtime(), true)), 0, 6);

    //开始进行穷举
    for($i = 15000;;$i++)
    {
        $tmp = substr(md5(print_r($timebase + $i, true)), 0, 6);
        print_r($tmp . "\n"); 
        if($passwd == $tmp)
        {
            print_r("Found The Key: " . $tmp . "\n"); 
            break;
        }
    }
    print_r($passwd);

?>

在PHP 4.2.0之前的版本中，是需要通过srand()或mt_srand()给rand()、mt_rand()"播种"的。
在PHP 4.2.0之后的版本中，不在需要事先通过srand()、mt_srand()来"播种"。

mt_srand();
mt_srand((double) microtime() * 100000);
mt_srand((double) microtime() * 1000000);
mt_srand((double) microtime() * 10000000);

0 double) microtime() 1 
----->
0 double) microtime() * 1000000 1000000

php
    mt_srand(1);

    echo mt_rand() . "
";
    echo mt_rand() . "
";
    echo mt_rand() . "
";
    echo mt_rand() . "
";
    echo mt_rand() . "
";
    echo mt_rand() . "
";
    echo mt_rand() . "
";
    echo mt_rand() . "
";
?>
1244335972
15217923
1546885062
2002651684
2135443977
1865258162
1509498899
2145423170

1) 通过穷举方法猜解出种子的值
2) 通过mt_srand()对猜解出的种子值进行播种
3) 通过还原程序逻辑，计算出对用的mt_rand()产生的伪随机数的值

php
    mt_srand((double) microtime() * 1000000);

    echo mt_rand() . "
";
    echo mt_rand() . "
";
    echo mt_rand() . "
";
    echo mt_rand() . "
";
    echo mt_rand() . "
";
    echo mt_rand() . "
";
    echo mt_rand() . "
";
    echo mt_rand() . "
";
?>
每次访问都会得到不同的随机数值，这是因为种子每次都会发生变化。
假设攻击者已知第一个随机数的值:154176006(这在实际情况中很常见，即攻击者只能获得伪随机序列中的一部分的值，要去猜测剩下的其他值)，如何猜解出剩下的几个随机数呢？只需要猜解出当前用的种子即可。
php
    if($seed = get_seed())
    {
        echo "seed is: " . $seed . "\n";

        mt_srand($seed); 
        echo mt_rand() . "
";
        echo mt_rand() . "
";
        echo mt_rand() . "
";
        echo mt_rand() . "
";
        echo mt_rand() . "
";
        echo mt_rand() . "
";
        echo mt_rand() . "
";
        echo mt_rand() . "
";
    }
    
    //逆向算法的逻辑，猜解出种子值
    function get_seed()
    {
        for($i = 0; $i 1000000; $i++)
        {
            mt_srand($i);
            //