浅谈PHP自动化代码审计技术

0x00

本文主要是谈一谈项目中所运用的一些技术。目前市面上有不少PHP的自动化审计工具,开源的有RIPS、Pixy,商业版本的有Fortify。RIPS现在只有第一版,由于不支持PHP面向对象分析,所以现在来看效果不是太理想。Pixy是基于数据流分析的工具,但是只支持PHP4。而Fortify是商业版本,由于这个限制,对它的研究也就无从谈起。国内对于PHP自动审计的研究一般都是公司在做,目前有些工具大多数使用简单的token流分析或者直接粗暴一些,使用正则表达式来匹配,效果会很一般。

0x01

今天所要谈的技术是基于静态分析的一种PHP自动化审计的实现思路,也是我的项目中的思路。为了进行更加有效的变量跟踪和污点分析,以及很好的应对PHP脚本中的各种灵活的语法表示,正则表达式效果肯定是不理想的,我所介绍的思路是基于代码静态分析技术和数据流分析技术的审计。

首先,我认为一个有效审计工具至少包含如下的模块:

1、编译前端模块

编译前端模块主要运用编译技术中的抽象语法树构建、控制流图构建方法,将源码文件转为适合后端静态分析的形式。

2、全局信息搜集模块

该模块主要用于对分析的源码文件进行统一的信息搜集,比如搜集该审计工程中有多少类的定义,并对类中的方法名、参数、以及方法定义代码块的起始和终止的行号进行搜集,用于加快后续的静态分析的速度。

3、数据流分析模块

该模块不同于编译技术中的数据流分析算法,在项目中更注重对PHP语言本身特性的处理。当系统的过程间和过程内分析过程中发现了敏感函数的调用,则对该函数中敏感的参数进行数据流分析,即跟踪该变量的具体变化,为后续污点分析做准备。

4、漏洞代码分析模块

该模块基于数据流分析模块收集的全局变量、赋值语句等信息,进行污点数据分析。主要针对敏感sink中的危险参数,如mysql_query函数中的第一个参数,经过回溯获取到相应的数据流信息,如果在回溯过程中发现该参数有用户控制的迹象,就进行记录。如果该危险参数有相应的编码、净化操作也要进行记录。通过对危险参数的数据进行跟踪和分析,完成污点分析。

0x02

有了模块,那么如何进行有效的流程来实施自动化审计,我使用了如下的流程:

1

分析系统经过的大致流程如下:

1、框架初始化

首先进行分析框架的初始化工作,主要是搜集待分析源码工程中的所有用户自定义类的信息,包括类名,类属性,类方法名,类所在的文件路径。

这些Record存放在全局上下文类Context中,该类使用单例模式进行设计,并且常驻内存,便于后续的分析使用。

2、判断Main File

其次判断每个PHP文件是否是Main file。在PHP语言中,没有所谓的main函数,大部分Web中的PHP文件分为调用和定义两种类型,定义类型的PHP文件是用来定义一些业务类、工具类、工具函数等,不提供给用户进行访问,而是提供给调用类型的PHP文件进行调用。而真正处理用户请求的则是调用类型的PHP文件,比如全局index.php文件。静态分析主要是针对处理用户请求的调用类型的PHP文件,即Main File。判断依据为:

在AST解析完成的基础上,判断一个PHP文件中的类定义、方法定义的代码行数占该文件所有代码行数是否超过一个范围,如果是,则视为定义类型的PHP文件,否则为Main File,添加到待分析的文件名列表中。

3、AST抽象语法树的构建

本项目基于PHP语言本身进行开发,对于其AST的构建,我们参考目前比较优秀的PHP AST构建的实现————PHP Parser。

该开源项目基于PHP语言本身进行开发,可以对PHP的大多数结构如if、while、switch、数组声明、方法调用、全局变量等语法结构进行解析。可以很好的完成本项目的编译前端处理的一部分工作。

4、CFG流图构建

使用CFGGenerator类中的CFGBuilder方法。方法定义如下:

2

具体思路是采用递归构建CFG。首先输入遍历AST获取的nodes集合,遍历中对集合中的元素(node)进行类型判断,如判断是否是分支、跳转、结束等语句,并按照node的类型进行CFG的构建。

这里对于分支语句、循环语句的跳转条件(conditions)要存储至CFG中的边(Edge)上,方便数据流分析。

5、数据流信息的收集

对于一段代码块,最有效的并且值得收集的信息是赋值语句、函数调用、常量(const define)、注册的变量(extract parse_str)。

赋值语句的作用就是为了后续进行变量跟踪,在实现中,我使用了一种结构来表示赋值的value以及location。而其他的数据信息是基于AST来判别和获取的。比如函数调用中,判断变量是否受到转义、编码等操作,或者调用的函数是否是sink(如mysql_query)。

6、变量净化、编码信息处理

3

赋值语句,当右边是过滤函数时(用户自定义过滤函数或者内置过滤函数),则调用函数的返回值被净化,即$clearsql的净化标签加上addslashes。

发现函数调用,判断函数名是否是配置文件中进行配置的安全函数。

如果是,则将净化标签添加至location的symbol中。

7、过程间分析

如果在审计中,发现用户函数的调用,这时候必须要进行过程间的分析,在分析的工程中定位到具体方法的代码块,带入变量进行分析。

难点在于,如何进行变量回溯、如何应对不同文件中的相同名称的方法、如何支持类方法的调用分析、如何保存用户自定义的sink(比如在myexec中调用exec函数,如果没有经过有效的净化,那么myexec也要视为危险函数)、如何对用户自定义的sink进行分类(如SQLI XSS XPATH等)。

处理流程如下:

4

8、污点分析

有了上面的过程,最后要进行的就是污点分析,主要针对系统中内置的一些风险函数,比如可能导致xss的echo。并且要对危险函数中的危险参数做有效的分析,这些分析包括判断是否进行了有效的净化(比如转义、正则匹配等),以及制定算法来回溯前面该变量的赋值或者其他变换。这无疑对安全研究人员工程能力的一个考验,也是自动化审计最重要的阶段。

0x03

通过上面的介绍,你可以看到要实现一款自己的自动化审计工具所要趟的坑是很多的。我的尝试中也是遇到了N多的困难,并且静态分析确实带有一定的局限性,比如动态分析中轻易可以获得的字符串变换的过程,在静态分析中就难以实现,这不是技术上能够突破的,而是静态分析本身的局限性导致的,所以单纯的静态分析如果想要做到误报和漏报很低,毕竟引入一些动态的思想,比如对eval中的代码进行模拟,对字符串变化函数以及正则表达式进行处理等。还有就是对于一些基于MVC框架的,比如CI框架,代码很分散,比如数据净化的代码放在input类的扩展中,像这种PHP应用,我认为很难做到一个通用的审计框架,应该要单独对待。

以上只是粗略的把我当前的尝试(目前没有完全实现)拿来share,毕竟大学狗不是专业人员,希望可以抛砖引玉,使得越来越多的安全研究人员关注这一领域。

【via@91RI团队-Exploit