通過程式碼審計找出網站中的 XSS 漏洞實戰 (三)

daxia發表於2018-10-10
網站

一、背景

筆者此前錄製了一套XSS的視訊教程，在漏洞案例一節中講解手工挖掘、工具挖掘、程式碼審計三部分內容,準備將內容用文章的形式再次寫一此,前兩篇已經寫完，內容有一些關聯性，其中手工XSS挖掘篇地址為快速找出網站中可能存在的XSS漏洞實踐(一)https://segmentfault.com/a/1190000016095198

本文主要記錄通過程式碼審計的方式進行XSS漏洞挖掘，分為了找出關鍵位置，正向審計，反向審計三個部分，審計的系統為permeate滲透測試系統，測試系統的搭建可以參考筆者的第一篇文章。

二、操作概要

  1. 找出關鍵位置
  2. 正向審計
  3. 反向審計

三、找出關鍵位置

打蛇打七寸，說明在關鍵位置做事效率會更高，程式碼審計找出漏洞也是同理，因此筆者需要找出XSS關鍵的位置;對於目前的大多數Web應用來說，MVC模式是非常主流的一種形式，因此筆者這裡將找到對應的控制器和模板，在這一節當中主要講解找出位置的思路

3.1 找出控制器

找出控制器的方式通常是通過主入口檔案與URL地址兩塊去分析，現在筆者開啟首頁，發現URL地址為

http://permeate.songboy.net/home/index.php

當點選板塊後，URL地址變成了如下地址

http://permeate.songboy.net/home/index.php?m=tiezi&a=index&bk=6

從URL地址中可以看到不管首頁還是板塊頁面，都經過URL地址home/index.php,因此筆者接下來便可以通過開啟home/index.php檔案來檢視控制器所存放的位置,開啟後程式碼如下所示

<?php
require_once "../core/common.php";
include "./public/header.php";
includeAction("$model","$action");
include "./public/footer.php";

再次開啟../core/common.php檔案，程式碼如下所示

function includeAction($model, $action)
{
    //判斷控制器是否存在
    $filePath = "./action/$model.php";
    if (is_readable($filePath)) {
        require_once $filePath;
        $class = new $model;
        if (is_callable(array($class, $action))) {
            $class->$action();
            return true;
        }
    }

    //如果沒有找到對應的控制器，直接呼叫模板檔案
    $tplFilePath = "./tpl/$model/$action.php";
    if (is_readable($tplFilePath)) {
        require_once $tplFilePath;
        return true;
    }

    echo '控制器或模板檔案' . $filePath . '不存在!';
    die;
}

從程式碼中可以看出，其控制器檔案存放在home/action/下，此時筆者開啟此資料夾，可以看到幾個php檔案，如下圖所示

image

回想剛才筆者所看到的URL地址如下

http://permeate.songboy.net/home/index.php?m=tiezi&a=index&bk=6

聯想起來其控制器檔案為tiezi.php,將其開啟一看

<?php

class tiezi
{
    function __construct()
    {

    }

    public function index()
    {
        .....
        $data['count'] = $count;
        $data['page_size'] = $page_size;
        $data['page_count'] = $page_count;
        $data['page_num'] = $page_num;
        displayTpl('tiezi/index', $data);
    }

果然發現了index方法

3.2 找出模板

得到控制器之後，筆者還需要找到模板存放的位置，通常模板與控制器是息息相關，因此可以控制其中找到蛛絲馬跡，比如上面的程式碼當中，最後一行程式碼為displayTpl函式，從字面意思上可以理解為顯示模板，因此筆者通過PHPStorm的跳轉功能直接跳過去檢視該函式的具體流程，找到程式碼如下所示

/**
 * 載入模板檔案
 * @param $tplPath
 */
function displayTpl($tplPath, $data = [])
{
    $filePath = "./tpl/$tplPath.php";
    if (!is_readable($filePath)) {
        echo '模板檔案' . $filePath . '不存在!';
        die;
    }

    foreach ($data as $key => $val) {
        $$key = $val;
    }

    require_once $filePath;

}

在上面程式碼當中可以看出模板存放於home/tpl目錄下，通過資料夾開啟檢視，如下圖所示

image

3.3 驗證位置

通過上面的操作流程已經基本確定控制器與模板的位置，但為了防止意外，還是準確驗證一下，在控制器中輸出一個字串1111111，在模板中輸出字串222222222，如果按照筆者之前所預想的，那麼這兩組字串都會被輸出，參考程式碼如下

在控制器中加入的測試程式碼如下

public function index()
{

    echo '11111111111';

在模板檔案中加入的測試程式碼如下

222222222222222
<?php
$get = $_GET;
?>
<section class="section">

現在會到瀏覽器，在當前頁面單擊滑鼠右鍵，選中檢視原始碼，如下圖所示

image

在原始碼當中，搜尋字串11111,果然搜尋到字串，如下圖所示

image

四、正向審計

在找到關鍵位置之後，筆者便可以針對性的去進行程式碼審計，XSS的程式碼審計主要有兩種方式，正向程式碼審計，反向程式碼審計；正向程式碼審計的意思是從引數的接收到引數最後的使用這個流程進行檢查，而反向審計則是相反從變數使用的位置上推到引數接收

4.1 接收引數位置

首先通過正向方式來進行程式碼審計，正向程式碼審計是從接收引數進行排查，因此找到控制器當中，通過編輯器的搜尋功能，筆者在控制器檔案當中搜尋了關鍵字 $_GET 找到了tiezi.php控制器中的index方法，程式碼如下所示

    public function index()
    {
        $id = $_GET['bk'];
        $bk = &$id;

        //開始分頁大小
        $page_size = 15;

        //獲取當前頁碼
        $page_num = empty($_GET['page']) ? 1 : $_GET['page'];

        //中間程式碼.................省略

        $data['bk'] = $bk;
        $data['count'] = $count;
        $data['page_size'] = $page_size;
        $data['page_count'] = $page_count;
        $data['page_num'] = $page_num;
        displayTpl('tiezi/index', $data);
    }

4.2 模板位置是否過濾

從上面程式碼當中可以看出引數bk並沒有進行任何過濾，便直接放到了模板當中，這便留下安全隱患，如果在模板當中也沒用進行安全過濾，那麼就存在著反射型XSS漏洞，開啟模板檔案並搜尋關鍵詞bk，程式碼如下所示

<div class="post-list-controller">
    <div style="float: right">
        <a class="btn btn-primary" href="fatie.php?bk=<?php echo $bk ?>">發帖</a>
    </div>

可以看出，模板中確實沒有進行安全過濾

4.3 漏洞驗證

http://permeate.songboy.net/home/index.php?m=tiezi&a=index&bk=6%22%3E%3Cscript%3Ealert(123)%3C/script%3E

如下圖所示

image

五、反向審計

反向審計則從模板中找出使用了那些變數，並反推變數的來源，以及是否進行了安全過濾

5.1 找出模板中的變數

通過PHPStrom編輯器的正規表示式功能匹配變數，正規表示式如下

echo \$([a-z]*)

這個正規表示式是匹配輸出變數,比如匹配字元echo $zhangsan，用PHPStorm匹配到的結果如下圖所示

image

雙擊滑鼠左鍵開啟對應程式碼檔案/home/search.php，程式碼如下所示

image

在程式碼中可以看出變數直接放在模板當中，如果在控制器當中也沒有轉義此變數的來源，那麼很有可能會存在XSS問題。

5.2 查詢變數來源

追蹤變數$keyword,找到變數來源

<?php
include "public/header.php";
include "../core/common.php";

$keywords = $_REQUEST['keywords'];
if (!empty($keywords)) {
    $where = " where title like '%$keywords%' ";

從上面的程式碼當中可以看出變數$keywords並沒有進行任何過濾，因此可以篤定此處也存在這XSS漏洞問題

5.3 漏洞驗證

從程式碼的位置發現與前面的唯一入口不同，此程式碼檔案並不是類檔案，因此嘗試直接訪問，構造出URL地址如下

http://permeate.songboy.net/home/search.php?keywords=%E6%B5%8B%E8%AF%95%3Cscript%3Ealert(123)%3C/script%3E

通過火狐瀏覽器訪問此URL地址之後，出現結果如下圖所示

image

在提示框當中果然彈出了123的提示

六、新書推薦

如果對筆者的Web安全文章較為感興趣，可以關注筆者更多文章內容，新書《PHP Web安全開發實戰》，現已在各大平臺銷售，封面如下圖所示

image

作者：湯青松

微信：songboy8888

日期：2018-10-09

相關文章