对VAuditDemo的一次审计

拿到代码，首先先观察index.php入口文件。

<?php 
require_once('sys/config.php');
require_once('header.php');
?>
<div class="row">
    <?php
    /* Include */
    if (isset($_GET['module'])){
        include($_GET['module'].'.inc');
    }else{
    ?>
    <div class="jumbotron" style="text-align: center;">
        <h1><b>VAuditDemo</b></h1>
        <p>一个简单的Web漏洞演练平台</p><br />
    </div>
    <div class="col-lg-12">
        <h2>用於演示講解PHP基本漏洞</h2>
        <p></p>
    </div>
    <?php
    }
    ?>
</div>
        
<?php
require_once('footer.php');
?>

if (isset($_GET['module'])){
         include($_GET['module'].'.inc');
 }

首先这段代码是判断是否设置了变量module，如果设置了改变量就去包含$module.ini

因此去构造payload：

 127.0.0.1/index.php?module=1.txt);#

按道理应该会变成：

include(1.txt);# . '.inc');

  #后面的全部会被注释,但是并没有成功的去包含1.txt文件。（感觉此处的确存在漏洞但是没有利用成功！）

紧接着发现文件包含了两个文件

sys/config.php   header.php

 剩下的是一些html源码

Header发现全部都是html的源码直接跳过。

去观察sys/config.php这个配置文件，毕竟配置文件比较敏感！

<?php

error_reporting(0);

if (!file_exists($_SERVER["DOCUMENT_ROOT"].'/sys/install.lock')){
    header("Location: /install/install.php");
    exit;
}

include_once($_SERVER["DOCUMENT_ROOT"].'/sys/lib.php');

$host="localhost"; 
$username="root"; 
$password="root"; 
$database="vauditdemo"; 

$conn = mysql_connect($host,$username,$password);
mysql_query('set names utf8',$conn);
mysql_select_db($database, $conn) or die(mysql_error());
if (!$conn)
{
    die('Could not connect: ' . mysql_error());
    exit;
}

session_start();

?>

首先设置了一个关闭错误显示

 error_reporting(0);

一般的话，需要白盒审计的时候需要把错误回显打开，易与观察函数错误提示，易于调试漏洞！   

方法：error_reporting(E_ALL);

<?php

date_default_timezone_set('UTC');   #首先先定义了时区

if( !get_magic_quotes_gpc() ) {     #判断是是否开启了魔术引号转义，若果没有就调用自己定义的sec()去转义。
    $_GET = sec ( $_GET );
    $_POST = sec ( $_POST );
    $_COOKIE = sec ( $_COOKIE ); 
}
$_SERVER = sec ( $_SERVER );        #所有调用server的全局数据进行sec()转义

function sec( &$array ) {
    if ( is_array( $array ) ) {      #用is_array()判断接受的$array是否为数组，如果是就循环遍历数组中的值，直到array中的值变成字符串或者数字
        foreach ( $array as $k => $v ) {
            $array [$k] = sec ( $v );
        }
    } else if ( is_string( $array ) ) {  #判断是否为字符串，如果是字符串就执行addslashes（）函数进行转义
        $array = addslashes( $array );
    } else if ( is_numeric( $array ) ) { #判断是否为数字,如果位数字就用intval转为整形。
        $array = intval( $array );
    }
    return $array;
}

function sqlwaf( $str ) {                #自己定义的waaf字符串替换函数，此处有可能去绕过！但是str_ireplace()不区分大小写，所以大小写的方法无法绕过。可以考虑其他方法
    $str = str_ireplace( "and", "sqlwaf", $str );
    $str = str_ireplace( "or", "sqlwaf", $str );
    $str = str_ireplace( "from", "sqlwaf", $str );
    $str = str_ireplace( "execute", "sqlwaf", $str );
    $str = str_ireplace( "update", "sqlwaf", $str );
    $str = str_ireplace( "count", "sqlwaf", $str );
    $str = str_ireplace( "chr", "sqlwaf", $str );
    $str = str_ireplace( "mid", "sqlwaf", $str );
    $str = str_ireplace( "char", "sqlwaf", $str );
    $str = str_ireplace( "union", "sqlwaf", $str );
    $str = str_ireplace( "select", "sqlwaf", $str );
    $str = str_ireplace( "delete", "sqlwaf", $str );
    $str = str_ireplace( "insert", "sqlwaf", $str );
    $str = str_ireplace( "limit", "sqlwaf", $str );
    $str = str_ireplace( "concat", "sqlwaf", $str );
    $str = str_ireplace( "\", "\\", $str );
    $str = str_ireplace( "&&", "", $str );
    $str = str_ireplace( "||", "", $str );
    $str = str_ireplace( "'", "", $str );
    $str = str_ireplace( "%", "\%", $str );
    $str = str_ireplace( "_", "\_", $str );
    return $str;
}

function get_client_ip(){             #获取了客户的ip  来源等信息,因此可以尝试去http注入
    if ($_SERVER["HTTP_CLIENT_IP"] && strcasecmp($_SERVER["HTTP_CLIENT_IP"], "unknown")){
        $ip = $_SERVER["HTTP_CLIENT_IP"];
    }else if ($_SERVER["HTTP_X_FORWARDED_FOR"] && strcasecmp($_SERVER["HTTP_X_FORWARDED_FOR"], "unknown")){
        $ip = $_SERVER["HTTP_X_FORWARDED_FOR"];
    }else if ($_SERVER["REMOTE_ADDR"] && strcasecmp($_SERVER["REMOTE_ADDR"], "unknown")){
        $ip = $_SERVER["REMOTE_ADDR"];
    }else if (isset($_SERVER['REMOTE_ADDR']) && $_SERVER['REMOTE_ADDR'] && strcasecmp($_SERVER['REMOTE_ADDR'], "unknown")){
        $ip = $_SERVER['REMOTE_ADDR'];
    }else{
        $ip = "unknown";
    }
    return($ip);
}

function clean_input( $dirty ) {
    return mysql_real_escape_string( stripslashes( $dirty ) );
}                                                    #mysql_real_escape_string()对sql语句进行的过滤   对x00 '  "    等字符转义
                                                     #stripslashes()  用来删除addslashes（）函数对其添加的反斜杠
function is_pic( $file_name ) {
    $extend =explode( "." , $file_name );            #将字符串按 "."来分割成数组
    $va=count( $extend )-1;                          #判断文件名的后缀来限制上传。    可以尝试 1.asp%00.jpg截断上传   1.asp;.jpg文件解析漏洞 来尝试绕过
    if ( $extend[$va]=='jpg' || $extend[$va]=='jpeg' || $extend[$va]=='png' ) {
        return 1;
    }
    else
        return 0;
}

function not_find( $page ) {
    echo "<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN"><html><head><title>404 Not Found</title></head><body><h1>Not Found</h1>
        <p>The requested URL ".$page." was not found on this server.</p></body></html>";
}
?>