php框架代码审计思路-天涯论坛 - Powered by Discuz! Archiver

nykek5i 发表于 2024-11-3 11:28:06

php框架代码审计思路

<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/515fa79dc4384857ae33a9f3e4de2244~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=F1I7BZPThhIRp4amYgB55kKO4YQ%3D" style="width: 50%; margin-bottom: 20px;"></div>
程序员写在文案前：
本周技术分享，程序员小星想以“php框架代码审计”为题，与大众分享一下小星对代码的审计思路。但因为内容较多，此次小星先从兼容模式和path_info模式、命名空间、tp5的正常调用流程等七大部分与大众进行讨论。
（一）内容
1. MVC基本的架构
2. 漏洞挖掘
thinkphp、Yii、larevel
M 模块
V 界面
C 掌控器
MVC设计模式的优点?
1）解耦合 2）多接口、降低研发成本 3）高复用
（二）运用方式
application 应用目录（放自己的代码）
 |---- admin 放后台文件
 |________controller
 |---- index 放前台文件
|________controller
public 入口文件
 |---- index.php 网站的入口文件
thinkphp 核心文件
（三）拜访方式
thinkphp所有的都是用URL来实现。
thinkphp的拜访模式：
1）http://localhost/index.php/模块名叫作/掌控器的名/办法名/参数/vaulue
2）http://localhost/index.php/模块名叫作/掌控器的名/办法名?参数=value
模块名叫作：在application下，例如index文件夹是模块名。
掌控器的名：在index下有一controller,这个controller下有index.php，那他的掌控器的名便是index。
办法名：办法便是index.php下的有些办法名叫作。
构造URL：
http://localhost/index.php/index/Index/hello/name/11111
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/d112596e44034eb1b8bffe14eae44a54~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=dlaERToj1sJ3nPQOr6qYtIxKDHo%3D" style="width: 50%; margin-bottom: 20px;"></div>
（四）兼容模式和path_info模式
1）tp运用兼容模式的写法：
http://localhost/index.php?s=index/Index/hello&name=1111

2）pathinfo拜访的模式：
http://localhost/index.php/index/Index/hello/name/11111
3）能够得到：
http://localhost/index.php?s=模块/掌控器/办法&参数=value
（五）关于命名空间
tp5遵循一个psr-4自动加载规范,他能够去自动加载类,需要恰当的、正确的命名空间。
一组的健康的、合格的tp5代码需要一个恰当的命名空间。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/37ad5efbe71e4f9c996947b2814a37b1~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=d94i%2FfZYSrzU%2BLjco4rmE44WzuA%3D" style="width: 50%; margin-bottom: 20px;"></div>
创建一个核心包下的文件kk.php。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/fcdebd321195451894bfdd51125dd83a~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=mVSYijV1%2BeD4Mqjo%2Fo%2FcZc5lb7I%3D" style="width: 50%; margin-bottom: 20px;"></div>
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/6bf5a0d897084183b1f87cde61914d74~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=yTzKAKvOJUFDOrZlFcExEgR7RXc%3D" style="width: 50%; margin-bottom: 20px;"></div>
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/5ff73a424e8a4cd8920da8a51b193834~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=XiVfINSfSYdPEIpZ9j5jc03MzYI%3D" style="width: 50%; margin-bottom: 20px;"></div>
得到一个关于命名空间的结论:
1）倘若你写在application下,那你命名空间的一个根路径是app；
2）倘若thinkphp下的think,那你命名空间的一个根路径就think；
3）倘若thinkphp下的traits,那你命名空间的一个根路径便是traits。
（六）问题根源
TP处理URL的一个特性，他运用全局变量。
http://localhost/index.php/index/\Index/hello/name/11111
http://localhost/index.php/index//Index/hello/name/11111
（七）tp5的正常调用流程
1. URL路由解析动态调试分析
1）先看他这个入口文件的调用亦便是public/index.php,按照他的入口文件去找相应的代码。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/ff730272f71749f79851fcd1103edc3d~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=MwBfE0sD8N0QvftmbPL1BGPR57Y%3D" style="width: 50%; margin-bottom: 20px;"></div>
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/16d8ae236118451a9bf8af20c677e1a9~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=HRzsYW97ZSyjMDPGpe4M5dKjWWE%3D" style="width: 50%; margin-bottom: 20px;"></div>
2）正式进入路由检测的一个办法。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/fe9faa76bfcb4df0a34e9de9344a29f1~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=GEvP%2BeIVg7jVHsM56p6ZW1hM2r4%3D" style="width: 50%; margin-bottom: 20px;"></div>
3）他会从下图中进一个path办法。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/6de33b0a6f9541569f481d5bec131023~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=AYQrOFKLa9cg%2FXXCUlhRVk1HzR4%3D" style="width: 50%; margin-bottom: 20px;"></div>
4）他会从下图中进一个pathinfo办法。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/c2653c99f1e24a0594b78c3d2b7903d8~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=XdJYBIWvn2FLYXBBOVRZr7ZJOYM%3D" style="width: 50%; margin-bottom: 20px;"></div>
5）要从这儿进入一个server。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/9f0fe87aeef14b49953468bd8de24d27~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=qFgXDzBEfN%2FMWAbODySBJ%2Fme3jI%3D" style="width: 50%; margin-bottom: 20px;"></div>
6）ltrim()办法能够把/index/Index/hello//name/11111这一段字符串的最左边的/index/Index/hello//name/11111，以上便是路径解析的一个过程。
2.路由解析动态调试
1）接下来会调用check办法。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/ffeb7c4d63a8429faeb9dfc30ef147a5~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=PaEgmYc8Q8jv0HTt0J01cBiCm0k%3D" style="width: 50%; margin-bottom: 20px;"></div>
2）继续跟进check办法。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/d76ccb6c7b804ac7b09970aff2a646a2~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=6XLc6cgrlFJ4exB7SsNlB5vrSqI%3D" style="width: 50%; margin-bottom: 20px;"></div>
3）后续他会用str_replace()办法来把斜杠修改成|，调用"use think\route\dispatch\Url as UrlDispatch; " 这个Url.php。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/d3a3f99f135a4bdc968ad9d9cffefa5d~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=1R%2FC4TGOh%2B%2BcizotJUoAffZ4FJY%3D" style="width: 50%; margin-bottom: 20px;"></div>
4）跟进至paresUrl中。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/6ce9f3cb21c4403b8e0c654d841b17b5~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=1RzrX3JgUzQyt5rQfA7%2FgeWayT4%3D" style="width: 50%; margin-bottom: 20px;"></div>
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/b44c688c46394d97b1cf9428c3bff3c7~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=MMZgQQzUIHyGx%2B9Rj1YS92%2B%2B360%3D" style="width: 50%; margin-bottom: 20px;"></div>
5）array_shift()取出第1个模块名，而后用一样的手法给掌控器取出来并且赋值给$controller，再用一样的手法给$action赋值，最后他会把已然拆分的东西打包存放到这个route其中。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p26-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/d50a2c05219b41e1ba56b4296317d59e~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=3QcYaHwAYm3THvJXGHzkSnktm3U%3D" style="width: 50%; margin-bottom: 20px;"></div>
6）后续把这一个route的内容返回到init中的$result中去。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/dce6cad4b0964bc5a2bb0f930952c845~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=cmHQZNrAyLwApRrXq9a9RgfKQpg%3D" style="width: 50%; margin-bottom: 20px;"></div>
7）接下来他会去new一个module类,然则这个module中没构造办法,因此他会调用一次父类的无参构造,而后再调用module下的初始化办法init。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/1533cfc06293487ab73280ac5b9e3c6c~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=%2FNEsdMvmf%2BeRTMzPawDjwc8atAc%3D" style="width: 50%; margin-bottom: 20px;"></div>
8）在进入这个初始化办法后他会用parent::init();再调用一次父类的初始化办法。
3. 开启debug后
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/b22525c1d6f04750a6a2492ad6f5cba2~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=GQ8YM3i1tU260TMFRyvkw%2BOJc54%3D" style="width: 50%; margin-bottom: 20px;"></div>
1）倘若开启了debug,他就会对路由的信息进行记录。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/89536324d5d5449eb10656a3ae399b1b~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=GOz9BxmA3kLsjebUN6r3iTVIn1c%3D" style="width: 50%; margin-bottom: 20px;"></div>
2）这边会把请求的参数和URL位置进行参数合并,这边他会调用一次解析过滤器,然则这个过滤器他什么都没写, 因此相当于无任何过滤。
<div style="color: black; text-align: left; margin-bottom: 10px;"><img src="https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/db5d2ff42c1548e397eb27c467e525cc~noop.image?_iz=58558&from=article.pc_detail&lk3s=953192f4&x-expires=1729839292&x-signature=fjKEakcm4HQRTrbCtH2cdTAjLWs%3D" style="width: 50%; margin-bottom: 20px;"></div>
3）刚才的一部分已先获取了一个字符串
/admin/index/hello
而后把上面的字符串处理成为了以下的形式
admin/index/hello
最后他会把去掉/的字符串亦便是路径会拆分赋值,如下：
$module = admin -->模块
$controller = index -->掌控器
$action = hello -->办法
下期，咱们将就“路由动态测试”、“思路总结”两大部分与大众继续探讨，并附上小星在科研过程中的意外发掘，请大众继续支持！

页: [1]

天涯论坛's Archiver

php框架代码审计思路