PHP代码审计（初级篇）

一、常见的PHP框架

1、zendframwork: (ZF)是Zend公司推出的一套PHP开发框架

　　功能非常的强大，是一个重量级的框架，ZF 用 100%面向对象编码实现。 ZF 的组件结构独一无二，每个组件几乎不依靠其他组件。这样的松耦合结构可以让开发者独立使用组件。我们常称此为 “use-at-will”设计。

2、Yii由国人开发的重量级的框架

这个框架把代码的可重用性发挥到极致。Yii是一个高性能的PHP5的web应用程序开发框架。通过一个简单的命令行工具 yiic 可以快速创建一个web应用程序的代码框架，开发者可以在生成的代码框架基础上添加业务逻辑，以快速完成应用程序的开发。

3、CakePHP是国外的框架

　　CakePHP是一个运用了诸如ActiveRecord、Association DataMapping、Front Controller和MVC等着名设计模式的快速开发框架。

　　该项目主要目标是提供一个可以让各种层次的PHP开发人员快速地开发出健壮的Web应用，而又不失灵活性

4.Symfony，是一套国外的PHP开源框架

　　简单的模板功能symfony是一个开源的PHP Web框架。基于最佳Web开发实践，已经有多个网站完全采用此框架开发，symfony的目的是加速Web应用的创建与维护。它的特点如下：缓存管理、自定义URLs、搭建了一些基础模块、多语言与I18N支持、采用对象模型与MVC分离、Ajax支持、适用于企业应用开发。

5、CodeIgniter（CI）轻量级框架，运行速度快

　　CodeIgniter 是一个简单快速的PHP MVC 框架。

　　它为组织提供了足够的自由支持，允许开发人员更迅速地工作。使用 CodeIgniter 时，您不必以某种方式命名数据库表，也不必根据表命名模型。这使 CodeIgniter 成为重构遗留 PHP 应用程序的理想选择，在此类遗留应用程序中，可能存在需要移植的所有奇怪的结构。

6、CanPHP框架是一个简洁，实用，高效，遵循apache协议的php开源框架

　　它既可以完美的支持MVC模式，又可以不受限制的支持传统编程模式。它是一个轻量级的php框架，同时也是一个实用的php工具包。以面向应用为主，不纠结于OOP，不纠结于MVC，不纠结于设计模式，不拘一格，力求简单快速优质的完成项目开发，是中小型项目开发首选。

7、Laravel 是一个简单优雅的 PHP web 开发框架

　　在Laravel中已经具有了一套高级的PHP ActiveRecord实现 -- Eloquent ORM。它能方便的将“约束（constraints）”应用到关系的双方，这样你就具有了对数据的完全控制，而且享受到ActiveRecord的所有便利。Eloquent原生支持Fluent中查询构造器（query-builder）的所有方法。

8、SlimFramework是一个简单的 PHP5 框架用来创建 RESTful 的 Web 应用

　　可以帮助你快速编写简单功能强大的 RESTful 风格的web应用程序和APIs。Slim很简单，可以让新手和专业人士使用。

9、ThinkPHP是一个快速、简单、面向对象的轻量级PHP开发框架

　　遵循Apache2开源协议发布，从Struts结构移植过来并做了改进和完善，同时也借鉴了国外很多优秀的框架和模式，使用面向对象的开发结构和MVC模式，融合了Struts的思想和TagLib（标签库）、RoR的ORM映射和ActiveRecord模式。

10、PHPUnit是一个轻量级的PHP测试框架

　　它是在PHP5下面对JUnit3系列版本的完整移植。这个工具也可以被Xdebug扩展用来生成代码覆盖率报告，并且可以与phing集成来自动测试，最后它还可以和Selenium整合来完成大型的自动化集成测试。

11、KYPHP支持多数据库，多语言，多模版，多app,多缓存，多编码格式，模板布局，自定义类，自动加载公共类库

　　KYPHP已应用于许多大项目中，在同一程式中可同时管理多个数据库源，管理多个缓存，并支持复杂的目录结构。从2.1开始kyphp又极大的增强了安全性，可有效防止sql注入，xss等常见安全问题。

12、initPHP是一款轻量级的php开发框架

　　采用分层体系架构，适合大中型网站架构。提供丰富的library类库，以及简单的框架扩展机制，InitPHP还提供详细的开发文档，可以让您在使用该框架的时候更加简单实用。 InitPHP实现了抽象DB层、分层体系架构、缓存无缝切换机制、简单模板机制、多模型部署机制、强大的安全体系，是快速开发php应用的利器。

13、SpeedPHP是一款全功能的国产PHP应用框架系统

　　SpeedPHP框架是从实际运行的商业系统中取其精华而成的，在稳定性和运行速度上都非常出色；同时有着清晰的架构，更有利于提高团队开发效率，教程众多，入门容易，号称最适合初学者的PHP框架，快速带你进入PHP高手的行列。

二、审计思路

0x01.通读全文

1. 函数集文件

网站目录结构：主目录、模块目录、插件目录、上传目录、模版目录、数据目录、配置目录

2. 配置文件

3. 安全过滤文件

公共函数文件、安全过滤文件

4. Index(入口)文件

0x02.敏感关键字回溯参数（常用）

优点：可以快速高效的挖掘出想要的漏洞，最常用的方法；判断敏感触发点的位置以及上下文，追踪参数源头。

缺点：覆盖不到逻辑漏洞的挖掘；不能了解整个程序的基本框架。

0x03.查找可控变量

0x04.功能点定向审计（推荐）

针对目标网站的功能点进行有针对性的代码审计，可以利用思维导图捋清目标站点的大概功能点及其位置，如：

程序安装
文件上传
文件管理
登陆验证
备份恢复
找回密码

三、php.ini安全配置

0x01.语法

大小写敏感

运算符

空值的表达式

0x02.安全模式

禁用函数

为了更安全的运行PHP，可以用此指令来禁止一些敏感函数的使用，当你想用本指令禁止一些危险函数时，切忌把dll()函数也加到禁止列表，攻击者可以利用dll()函数加载自定义的php扩展来突破disable_function。

com组件

0x03.远程文件

是否允许包含远程文件

该配置为On的情况下，可以直接包含远程文件，若包含的变量为可控的情况下，可以直接控制变量来执行PHP代码

是否允许打开远程文件

允许本地PHP文件通过调用URL重写来打开和关闭写权限，默认的封装协议提供的ftp和http协议来访问文件。

0x04.目录权限

HTTP头部版本信息

防止通过http头部泄露的php版本信息

能控制PHP脚本只能访问指定的目录，这样能避免PHP脚本访问。

0x05.错误信息

内部错误选项

表明显示PHP脚本的内部错误，网站调试的时候通常把php错误显示打开，在网站发布后，建议关闭PHP的错误回显。

错误报告级别

四、审计过程中涉及的超全局变量

PHP中有9个超全局变量：

0x01.$GLOBALS

global

作用：定义全局变量，只应用于当前网页（包括include和require的所有文件）而不是整个网站。

$GLOBALS

作用：用于在PHP脚本中的任意位置访问全局变量（从函数或方法中均可）。

// 代码1:

<?php

$name = 123;

function test(){

    global $name;	//实现参数传递

    $name = 456;

}

test();

echo $name;

// 代码2:

<?php

$name = 123;

function test(){

    $GLOBALS['name'] = 4567;        //变量的作用域设置为全局

}

test();

echo $name;

// 代码3:

<?php

$var1 = 1;

$var2 = 2;

function test(){

    global $var1,$var2;

    $var1 = $var2;

}

test();

echo $var1;

// 代码4:

<?php

$var1 = 3;

$var2 = 4;

function test(){

    $GLOBALS['var1'] = $GLOBALS['var2'];	//注意这里中括号内只引用变量名，不带$

}

test();

echo $var1;

0x02. $_POST和$_GET

$_POST(隐藏传参)

$_POST向服务器传送数据。将表单内各个字段与其内容放置在HTML HEADER内一起传送到ACTION属性所指的URL地址。用户看不到这个过程。

$_GET(URL传参)

$_GET从服务器上获取数据。把参数数据队列加到提交表单的ACTION属性所指的URL中，值和表单内各个字段一一对应，在URL中可以看到。

0x03.$_REQUEST

php中$_REQUEST可以获取以POST方法和GET方法提交的数据，但处理速度比较慢

尽量不要使用$_REQUEST，应该从$_GET, $_POST, $COOKIE, $_ENV, $_SERVER等变量中取出需要的值。

0x04.$_FILES

$_FILES['file']['name']        //显示客户端文件的原名称

$_FILES['file']['type']        //文件的 MIME 类型，例如"image/gif"

$_FILES['file']['size']        //已上传文件的大小，单位为字节

$_FILES['file']['tmp_name']        //储存的临时文件名，一般是系统默认

$_FILES['file']['error']        //该文件上传相关的错误代码

首先，先打印变量$_FILES的内容，为空

然后访问upload.html文件，上传文件

0x05.$_SERVER

这种超全局变量保存关于报头、路径和脚本位置的信息等。

0x06.$_SESSION

在Web编程中Session代表服务器与客户端之间的“会话”，意思是服务器与客户端在不断的交流。

在PHP中，使用$_SESSION[]可以存储特定用户的Session信息。并且每个用户的Session信息都是不同的。

当用户请求网站中任意一个页面时，若用户未建立Session对象，则服务器会自动为用户创建一个Session对象，它包含唯一的SessionID和其他Session变量，并保存在服务器内存中，不同用户的Session对象存着各自指定的信息。

Session信息的存储与读取

session_start(); 	//开启Session功能

session_id();		 //获取用户Session ID值，如需修改在括号中传值即可

利用Session变量存储信息：

$_SESSION["Session名称"]=变量或字符串信息;

读取Session变量信息（可赋值给一个变量或者直接输出）：

变量=$_SESSION["Session名称"];

说明：

（1）使用Session前都需要在页面开头用session_start()方法开启Session功能。

（2）session_start()函数前不能有任何代码输出到浏览器，最好加在页面头部，或者先用ob_start()函数打开输出缓冲区。

（3）对于一个不存在的Session变量赋值，将自动创建该变量；给一个已经存在的Session变量赋值，将修改其中的值。

（4）如果新打开一个浏览器，则无法获取之前保存的Session信息。因为新打开一个浏览器相当于一个新的用户在访问。

（5）只要创建了Session变量，该Session变量就能被网站中所有页面访问。

（6）最好不要把大量的信息存入Session变量中，或者创建很大Session变量。如果Session变量保存的信息太多，同时访问网站的用户又很多会非常占用服务器资源。

实例代码：

//session.php

<?php

	session_start();

	$_SESSION['name']="admin";

	$_SESSION['password']=123456;

	echo "所在文件：".$_SERVER["PHP_SELF"]."<br/>";

	echo "用户名：{$_SESSION['name']} <br/>密码：{$_SESSION['password']}";

?>

//c_session.php

<?php

	session_start();

	echo "所在文件：".$_SERVER["PHP_SELF"]."<br/>";

	echo "用户名：{$_SESSION['name']} <br/>密码：{$_SESSION['password']}";

?>

Session的生命期

Session对象的生命期：是从用户在Session有效期内第一次访问网站直到不再访问网站为止的这段时间。

设置Session有效期：

ini_set('session_save_path','/tmp/');	//设置保存路径

ini_set('session.gc_maxlifetime',60);	//保存1分钟

setcookie(session_name(),session_id(),time()+6,"/");	//设置会话cookie的过期时间

说明：

（1）关闭浏览器不会使一个Session结束，但会使这个Session永远无法访问。因为当用户打开新的浏览器窗口又会产生一个新的Session。

（2）Session对象不是一直有效，默认有效期为24分钟。

（3）增加Session的有效期会导致Web服务器保存用户Session的信息的时间增长，如果访问的用户很多，会加重服务器负担。

（4）不能单独对某个用户的Session设置有效期。

删除和销毁Session

删除Session常用来实现用户注销的功能，使得用户能够安全退出网站。

session_unset();//删除$_SESSION中所有session变量

session_destroy();//清除Session ID

说明：

（1）session_unset函数只能删除$_SESSION[]中的所有元素，不能删除对应的Session ID，也不能删除保存Session ID的文件。

（2）session_destroy函数只能删除Session ID，并销毁Session文件，但是不能删除$_SESSION[]中的所有元素。

（3）unset()方法也可以删除单个Session变量。

示例：利用Session限制未登入用户访问

//login.php

<html>

	<head>

		<title>登入</title>

	</head>

	<body>

		<?php

			session_start();

			if(!isset($_POST["login"])){

				echo '

				<form action="#" method="post">

					<p>帐号：<input type="text" name="name"/></p>

					<p>密码：<input type="password" name="pw"/></p>

					<p><input type="submit" name="login" value="登入"/>

				</form> ';

			}

			else{

				$name=$_POST["name"];

				$pw=$_POST["pw"];

				if($name=="admin"&&$pw==123456)

				{

					$_SESSION["name"]=$name;

					$_SESSION["pw"]=$pw;

					echo '登入成功，<a href="user.php">查看个人信息</a>';

				}

				else{

					echo '帐号或密码错误！<a href="JavaScript:history.back()">返回登入</a>';

				}

			}

		?>

	</body>

</html>

//user.php

<?php

	session_start();

	if(isset($_SESSION['name'])){

		echo "帐户信息：<br/>";

		echo "用户名：".$_SESSION["name"]."<br/>";

		echo "密码：".$_SESSION["pw"]."<br/>";

		echo '<a href="logout.php?action=logout">注销</a>';

	}else{

		echo '未登入用户不允许访问，<a href="login.php">请登入</a>';

	}

?>

//logout.php

<?php

	if($_GET['action']=="logout"){

		header('Refresh:3; url="login.php"');

		session_start();

		setcookie("cookiename", NULL);

		session_unset();

		session_destroy();

		echo "三秒后返回登入页面";

	}

?>

0x07.$_COOKIE

Cookie实际上是一个很小的文本文件，网站通过向用户硬盘中写入一个Cookie文件来标识用户。当用户下次再访问该网站时，浏览器会将Cookie信息发送给网站服务器，服务器通过读取以前写入的Cookie文件中的信息，就能识别该用户。

Cookie的两种形式：

（1）会话Cookie。临时性的，只在浏览器打开时存在，主要用来实现Session技术。

（2）永久Cookie。永久性的，保存在用户硬盘上并在有效期内一直可用。

创建和修改Cookie

在PHP中，利用setcookie()函数可以创建和修改Cookie，以及设置Cookie的有效期；而使用$_COOKIE[]数组可以读取Cookie变量的值。

setcookie(name,value[,exprie,path,domain,secure]);		//创建Cookie

参数：

name：Cookie的变量名

value：Cookie的变量值

expire：Cookie的有效期

path：Cookie的服务器路径

domain：Cookie的有效域名

secure:是否采用HTTPS来传输Cookie

说明：

（1）除了name和value是必需参数外，其他参数都是可选的。

（2）没有设置有效期的Cookie为会话Cookie。

（3）修改永久Cookie时若没设置有效期，该Cookie将被修改为会话Cookie。

（4）在使用setcookie()函数前，不要有任何HTML内容输出到浏览器，否则setcookie()创建Cookie将失败。因为Cookie也是作为HTTP协议头的一部分。

（5）Cookie变量的值总时字符串数据类型。

使用header设置Cookie：

header('Set-Cookie:name=value;expires=".gmstrftime("%A,%d-%b-%Y %H:%M:%S GMT",time()+10)');

删除Cookie的方法：

（1）将Cookie的变量值设置为空，并且不设置有效期，不设置有效期将删除Cookie文件中的Cookie变量。

（2）将Cookie的有效期设置为过去的某个时刻。

无论哪种方法，浏览器收到这样的Cookie响应头信息后，将自动删除用户硬盘中的Cookie文件和内存中的Cookie信息。

示例：使用setcookie()函数创建及删除Cookie数组

//test1.php

<?php

	setcookie("user[name]","admin",time()+600);

	setcookie("user[pw]","123456",time()+600);

	setcookie("user[city]","china",time()+600);

	echo '创建Cookie信息成功，<a href="test2.php">点击查看Cookie信息</a>';

?>

//test2.php

<?php

	echo "Cookie信息：<br/>";

	if(isset($_COOKIE['user'])){

		foreach($_COOKIE['user'] as $key=>$value){

			echo $key."=>".$value."<br/>";

		}

		echo '<a href="test3.php">删除Cookie信息</a>';

	}

	else{

		var_dump($_COOKIE);

	}

?>

//test3.php

<?php

	setcookie('user[name]',"");

	setcookie('user[pw]',"123456",time()-1);

	setcookie('user[city]',"china",time()-1);

	echo '已清空Cooike信息，<a href="test2.php">返回查看Cookie信息</a>';

?>

注意：cookie & session的联系与区别

联系：

session是通过cookie来工作的。
session和cookie之间是通过$_COOKIE['PHPSESSID']来联系的。
通过$_COOKIE['PHPSESSID']可以知道session的id，从而获取到其他的信息。

区别：

cookie数据存储在浏览器客户端上，session数据存放在服务器上。
cookie中只能存储ASCII字符串，并需要通过编码方式存储为Unicode字符或者二进制数据，而session中能够存储任何类型的数据，包括且不限于string，integer，list，map等。
cookie不是很安全，黑客可以分析存放在本地的COOKIE并进行COOKIE欺骗，从安全性出发应当使用session。
session会在一定时间内保存在服务器上。当访问增多，会占用服务器的性能，考虑到优化服务器性能方面，应当使用COOKIE。
单个cookie保存的数据不能超过4K，很多浏览器都限制一个站点最多保存20个cookie。
cookie支持跨域名访问，而session不支持。

0x08.$_ENV

$_ENV包含服务器端的环境变量数组，可在PHP程序的任何地方直接访问
$_ENV只是被动的接受服务器端的环境变量转换为数组元素