PHP代码审计tips

1、$_SERVER[‘PHP_SELF’]和$_SERVER[‘QUERY_STRING’],而$_SERVER并没有转义,造成了注入。
例如:

2、update更新时没有重构更新序列,导致更新其他关键字段(金钱、权限)

例如:

http://www.wooyun.org/bugs/wooyun-2014-069507

3、在 php中 如果使用了一个未定义的常量,PHP 假定想要的是该常量本身的名字,如同用字符串调用它一样(CONSTANT 对应 “CONSTANT”)。此时将发出一个 E_NOTICE 级的错误(参考http://php.net/manual/zh/language.constants.syntax.php)

例如:

http://www.wooyun.org/bugs/wooyun-2014-069503

4、PHP中自编写对标签的过滤或关键字过滤,应放在strip_tags等去除函数之后,否则引起过滤绕过。
例如:

http://www.wooyun.org/bugs/wooyun-2014-070316

对关键字过滤之后存在字符替换、html去除等操作可构造多余字符绕过。

例如:提交

由于全局关键字过滤之后存在strip_tags()函数可绕过。

http://www.wooyun.org/bugs/wooyun-2014-077877

http://www.wooyun.org/bugs/wooyun-2014-077689

5、当可控变量进入双引号中时可形成webshell
例如:

因此代码执行使用${file_put_contents($_GET[f],$_GET[p])}可以生成webshell。

http://www.wooyun.org/bugs/wooyun-2014-085518

6、宽字节转编码过程中出现宽字节注入

7、构造查询语句时无法删除目标表中不存在字段时可使用mysql多表查询绕过。

例如:

8、mysql中(反引号)能作为注释符,且会自动闭合末尾没有闭合的反引号。无法使用注释符的情况下使用别名as+反引号可闭合其后语句。

例如:

此处(password from pre_common_statuser as )为注入语句,使用别名as与自带无视其后语句。

http://www.wooyun.org/bugs/wooyun-2014-074970

9、mysql的类型强制转换可绕过PHP中empty()函数对0的false返回。

但是mysql中提交其0axxx到数字型时强制转换成数字0

http://zone.wooyun.org/content/15859

10、存在全局过滤时观察过滤条件是否有if判断进入,cms可能存在自定义safekey不启用全局过滤。通过程序遗留或者原有界面输出safekey导致绕过。
例如:

http://www.wooyun.org/bugs/wooyun-2014-070126

11、由于全局过滤存在白名单限定功能,可使用无用参数带入绕过。
例如:

其中具体过滤代码如下:

//后台白名单,后台操作将不会拦截,添加”|”隔开白名单目录下面默认是网址带 admin /dede/ 放行

//url白名单,可以自定义添加url白名单,默认是对phpcms的后台url放行
//写法:比如phpcms 后台操作url index.php?m=admin php168的文章提交链接post.php?job=postnew&step=post ,dedecms 空间设置edit_space_info.php

只要让传入参数存在白名单目录或参数即可绕过。
利用白名单目录:

由于请求中包含了白名单目录/dede/,所以放行。
利用白名单参数:

请求中包含了白名单参数所以放行。

http://www.wooyun.org/bugs/wooyun-2014-070126

12、字符串截断函数获取定长数据,截取\\或\’前一位,闭合语句。
利用条件必须是存在两个可控参数,前闭合,后注入。
例如:

http://www.wooyun.org/bugs/wooyun-2014-082973

13、过滤了空格,逗号的注入,可使用括号包裹绕过。具体如遇到select from(关键字空格判断的正则,且剔除/**/等)可使用括号包裹查询字段绕过。
例如:

http://www.wooyun.org/bugs/wooyun-2014-079379

另外一种方式:

14、由于PHP弱类型验证机制,导致==、in_array()等可通过强制转换绕过验证。
例如:

访问?test=’1’testtest可判断成功。

http://www.freebuf.com/articles/web/55075.html

15、WAF或者过滤了and|or的情况可以使用&&与||进行盲注。

例如:

16、windows下php中访问文件名使用”<” “>”将会被替换成”*” “?”,分别代表N个任意字符与1个任意字符。
例如:

可使用test.php?a=../a<%00访问对应php文件。

http://www.phpbug.cn/archives/87.html#more-87

【via@91ri团队-xiaoL