AI 助理
备案控制台
开发者社区 开发与运维 文章 正文

利用PHP扩展Taint找出网站的潜在安全漏洞实践

2018-08-16 1214
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 版权声明：作者：汤青松 https://blog.csdn.net/u013431141/article/details/81738042 一、背景笔者从接触计算机后就对网络安全...
版权声明：作者：汤青松 https://blog.csdn.net/u013431141/article/details/81738042

一、背景

笔者从接触计算机后就对网络安全一直比较感兴趣，在做PHP开发后对WEB安全一直比较关注，2016时无意中发现Taint这个扩展，体验之后发现确实好用；不过当时在查询相关资料时候发现关注此扩展的人数并不多；最近因为换了台电脑，需要再次安装了此扩展，发现这个扩展用的人还是比较少，于是笔者将安装的过程与测试结果记录下来，方便后续使用同时也让更多开发者来了解taint

taint扩展作者惠新宸曾经在自己的博客上有相关介绍，参考文档：PHP Taint – 一个用来检测XSS/SQL/Shell注入漏洞的扩展

二、操作概要

  1. 源码下载与编译
  2. 扩展配置与安装
  3. 功能检验与测试

三、源码下载与编译

Taint扩展PHP本身并不携带，在linux或mac系统当中笔者需要下载源码自己去编译安装

3.1 源码下载

笔者的开发环境是mac系统，所以需要去PHP的pecl扩展网站去下载源码，其中taint的地址为：

https://pecl.php.net/package/taint

在扩展网址的的尾部，可以看到有一排下载地址，如下图

image

笔者需要选择一个自己合适的版本，笔者的开发环境使用的是PHP7.1，因此选择了最新的版本，对应下载地址如下：

https://pecl.php.net/get/taint-2.0.4.tgz

使用wget下载该源码,参考命令如下：

wget https://pecl.php.net/get/taint-2.0.4.tgz

下载下来之后，笔者需要解压，解压命令参考如下：

tar -zxvf taint-2.0.4.tgz

解压之后，进入目录,参考命令如下：

cd taint-2.0.4

3.2 源码编译

现在笔者需要编译一下源码，在编译之前可以使用phpze来探测PHP的环境，参考命令如下：

phpize

返回结果如下

Configuring for:
PHP Api Version:         20160303
Zend Module Api No:      20160303
Zend Extension Api No:   320160303

生成 Makefile，为下一步的编译做准备

./configure

返回结果

checking how to hardcode library paths into programs... immediate
checking whether stripping libraries is possible... yes
checking if libtool supports shared libraries... yes
checking whether to build shared libraries... yes
checking whether to build static libraries... no

creating libtool
appending configuration tag "CXX" to libtool
configure: creating ./config.status
config.status: creating config.h

开始编译,并安装

make && make install
(cd .libs && rm -f taint.la && ln -s ../taint.la taint.la)
/bin/sh /Users/song/taint-2.0.4/libtool --mode=install cp ./taint.la /Users/song/taint-2.0.4/modules
cp ./.libs/taint.so /Users/song/taint-2.0.4/modules/taint.so
cp ./.libs/taint.lai /Users/song/taint-2.0.4/modules/taint.la
----------------------------------------------------------------------
Libraries have been installed in:
   /Users/song/taint-2.0.4/modules

If you ever happen to want to link against installed libraries
in a given directory, LIBDIR, you must either use libtool, and
specify the full pathname of the library, or use the `-LLIBDIR'
flag during linking and do at least one of the following:
   - add LIBDIR to the `DYLD_LIBRARY_PATH' environment variable
     during execution

See any operating system documentation about shared libraries for
more information, such as the ld(1) and ld.so(8) manual pages.
----------------------------------------------------------------------

Build complete.
Don't forget to run 'make test'.

Installing shared extensions:     /usr/local/Cellar/php71/7.1.14_25/lib/php/extensions/no-debug-non-zts-20160303/

四、配置与安装

在编译扩展之后，笔者还需要把Taint放到指定位置，以及修改配置文件让其生效

4.1 配置taint

笔者首先需要知道PHP的配置文件是多少，然后通过查看配置文件的扩展路径，才能把so文件放到对应里面去，查看配置文件位置命令如下：

php --ini

返回结果如下

Configuration File (php.ini) Path: /usr/local/etc/php/7.1
Loaded Configuration File:         /usr/local/etc/php/7.1/php.ini
Scan for additional .ini files in: /usr/local/etc/php/7.1/conf.d
Additional .ini files parsed:      /usr/local/etc/php/7.1/conf.d/ext-opcache.ini

笔者可以看到php.ini放置在/usr/local/etc/php/7.1/php.ini当中

知道配置文件之后，笔者需要找到扩展文件夹位置，参考命令如下

cat /usr/local/etc/php/7.1/php.ini | grep extension_dir

命令执行结果如下，笔者可以看出扩展文件夹位置是 /usr/local/lib/php/pecl/20160303

extension_dir = "/usr/local/lib/php/pecl/20160303"
; extension_dir = "ext"
; Be sure to appropriately set the extension_dir directive.
;sqlite3.extension_dir =

4.2 安装扩展

现在笔者需要把扩展文件复制到，PHP的扩展文件位置，参考命令如下

cp /usr/local/Cellar/php71/7.1.14_25/lib/php/extensions/no-debug-non-zts-20160303/taint.so /usr/local/lib/php/pecl/20160303/

复制完成之后，笔者需要编辑配置文件，将taint的配置项复制进去

vim /usr/local/etc/php/7.1/php.ini

增加Tain的配置项到php.ini文件当中，参考配置如下：

[taint]
extension=taint.so
taint.enable=1
taint.error_level=E_WARNING

4.3 安装结果验证

保存配置文件并退出之后，则代表笔者的安装已经完成，现在需要重启一下php让其生效，参考命令如下

brew services restart php@7.1

重启完成之后，可以通过命令查看PHP当前的扩展有没有Taint，参考命令如下:

php -i | grep taint

返回结果如果出现了一下信息，基本上已经安装成功。

taint
taint support => enabled
taint.enable => On => On
taint.error_level => 2 => 2

五、功能检验与测试

完成上面的两步操作之后，笔者安装阶段已经大功告成了，现在笔者需要用taint来检验效果，检验分为三部分，首先用taint作者的demo代码进行检验，之后用渗透测试系统permeate来检验，最后以笔者平时所开发的代码进行测试。

5.1 demo文件测试

用demo文件测试的目的是检验笔者安装的taint是否真的已经生效，并确认taint有没有意义。

5.1.1 复制demo代码

在作者的GitHub上面有下面的这样一份demo代码，笔者将其复制到web目录，位置如下：

/Users/song/mycode/safe/permeate

demo代码内容如下，读者实验时可以将其拷贝：

<?php
$a = trim($_GET['a']);

$file_name = '/tmp' .  $a;
$output    = "Welcome, {$a} !!!";
$var       = "output";
$sql       = "Select *  from " . $a;
$sql      .= "ooxx";

echo $output;

print $$var;

include($file_name);

mysql_query($sql);

5.1.2 配置虚拟主机

当代码文件保存之后，笔者需要在nginx配置文件中增加一个虚拟主机，用于浏览器访问此文件，参考配置如下：

    server {
        listen       80;
        server_name  test.localhost;
        root  /Users/song/mycode/safe/permeate;
        location / {
            index index.html index.htm index.php; 
        }

        location ~ \.php$ {
            fastcgi_pass   127.0.0.1:9000;
            fastcgi_index  index.php;
            fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;
            include        fastcgi_params;
        }
    }

5.1.3 浏览器访问

接着笔者通过浏览器访问对应代码文件，URL地址如下：

http://test.localhost/taintdemo.php?a=1

浏览器访问页面之后，笔者能在页面中看到一些警告信息，内容如下：

Warning: main() [echo]: Attempt to echo a string that might be tainted in /Users/song/mycode/work/test/taintdemo.php on line 10
Welcome, 1 !!!
Warning: main() [print]: Attempt to print a string that might be tainted in /Users/song/mycode/work/test/taintdemo.php on line 12
Welcome, 1 !!!
Warning: main() [include]: File path contains data that might be tainted in /Users/song/mycode/work/test/taintdemo.php on line 14

Warning: include(/tmp1): failed to open stream: No such file or directory in /Users/song/mycode/work/test/taintdemo.php on line 14

Warning: include(): Failed opening '/tmp1' for inclusion (include_path='.:/usr/local/Cellar/php@7.1/7.1.19/share/php@7.1/pear') in /Users/song/mycode/work/test/taintdemo.php on line 14

Fatal error: Uncaught Error: Call to undefined function mysql_query() in /Users/song/mycode/work/test/taintdemo.php:16 Stack trace: #0 {main} thrown in /Users/song/mycode/work/test/taintdemo.php on line 16

从警告信息当中可以看出，笔者的taint已经生效，给出了很多警告提示，提示参数可能受到污染，因为参数并没有经过任何过滤；

5.1.4 参数过滤测试

如果不想让taint给出警告提示，可以将demo代码中的第二行代码更改或增加一下过滤规则，参考代码如下：

$a = htmlspecialchars($_GET['a']);

再次回到浏览器当中，刷新当前页面，可以看到返回的信息已经发生了变化，返回内容如下

Welcome, 1 !!!Welcome, 1 !!!
Warning: include(/tmp1): failed to open stream: No such file or directory in /Users/song/mycode/work/test/taintdemo.php on line 15

Warning: include(): Failed opening '/tmp1' for inclusion (include_path='.:/usr/local/Cellar/php@7.1/7.1.19/share/php@7.1/pear') in /Users/song/mycode/work/test/taintdemo.php on line 15

Fatal error: Uncaught Error: Call to undefined function mysql_query() in /Users/song/mycode/work/test/taintdemo.php:17 Stack trace: #0 {main} thrown in /Users/song/mycode/work/test/taintdemo.php on line 17

因为笔者在代码中增加了参数转义，此时再次刷新浏览器，会看到taint不再给发出警告提醒。

5.2 渗透测试系统验证

用demo系统验证taint扩展生效之后，现在笔者将用一个渗透测试系统来做一个实验，在这个系统中本身存在了很多安全问题，使用taint来找出这些问题，使用的渗透测试系统为 permeate渗透测试系统,地址如下

笔者之前有写过一篇文章介绍此系统，参考文档：WEB安全Permeate漏洞靶场挖掘实践

https://git.oschina.net/songboy/permeate

5.2.1 下载permeate

笔者通过git将其源码下载下来，参考命令如下

https://gitee.com/songboy/permeate.git

下载下来之后，同样创建一个虚拟主机，可以参考上面的nginx配置

5.2.2 导入数据库

因为这个系统会用到数据库，所以笔者下载之后需要新建数据库给permeate使用

image

新建完成数据库之后，笔者需要将一些数据表结构以及初始化数据导入到数据库当中，在使用git下载下来之后，在其跟目录有一个doc的文件夹，笔者打开它之后，能看到有一个sql文件，如下图所示

image

打开此文件并将其里面的内容复制，将复制的内容到管理数据库的Navicat Premium当中，然后执行这些SQL语句，如下图所示
image

5.2.3 修改配置文件

导入数据库完成之后，笔者修改数据库配置文件，让permeate能够连接次数据库，配置文件在根目录 conf/dbconfig.php,里面的配置代码如下，将其地址账户以及密码和数据库名称一一对应填写

<?php
    !defined('DB_HOST') && define('DB_HOST','127.0.0.1');
    !defined('DB_USER') && define('DB_USER','root');
    !defined('DB_PASS') && define('DB_PASS','root');
    !defined('DB_NAME') && define('DB_NAME','permeate');
    !defined('DB_CHARSET') && define('DB_CHARSET','utf8');
    $sex=array('保密','男','女');
    $edu=array('保密','小学','初中','高中/中专','大专','本科','研究生','博士','博士后');
    $admins=array('普通用户','管理员')

5.2.4 验证安装结果

设置好数据库之后，笔者安装permeate便已经完成了，此时打开首页，看到的界面应该如下图所示：
image
如果在首页当中没有看到板块以及分区等信息，很有可能是数据库没有连接成功或者数据库没有正确导入数据所致。

5.2.5 挖掘漏洞

下面开始进行测试，笔者点击第一个板块SQL注入，并点击列表下发的下一页按钮，此时看到的页面如下图所示：
image
在这个板块列表页中没看到任何问题，但是实际上taint已经给笔者发出了警告提醒。

笔者可以通过查看源代码时候来看到这些问题，如下图所示，taint提示在代码文件 /Users/song/mycode/safe/permeate/core/common.php的50行，存在参数被污染的情况。

image

5.2.5 漏洞分析

笔者找到对应的代码位置，发现代码内容如下：

function includeAction($model, $action)
{
    //判断控制器是否存在
    $filePath = "./action/$model.php";
    if (is_readable($filePath)) {
        require_once $filePath;
        $class = new $model;
        if (is_callable(array($class, $action))) {
            $class->$action();
            return true;
        }
    }

在代码中笔者看到有一个require_once函数加载了文件，里面的参数使用了变量 $model 和 $action ,通过最终变量来源，在代码文件/Users/song/mycode/safe/permeate/home/router.php发现这两个参数确实没有经过过滤，如下代码所示:

<?php
require_once "/core/common.php";
$model = !empty($_GET['m']) ? $_GET['m'] : 'index';
$action = !empty($_GET['a']) ? $_GET['a'] : 'index';

includeAction("$model","$action");

最后需要提醒大家，Taint在开发环境安装即可，不要安装到生产环境当中，否则可能会把网站的安全问题直接暴露给攻击者。

作者：汤青松

日期：2018年08月16日

微信：songboy8888

文章标签：
PHP
测试技术
索引
Web App开发
数据库
关键词：
PHP实践
PHP扩展
PHP网站
PHP安全漏洞
汤青松
目录
相关文章
我不是游客20240119
|
20天前
|
安全 关系型数据库 MySQL
PHP与MySQL交互：从入门到实践
【9月更文挑战第20天】在数字时代的浪潮中，掌握PHP与MySQL的互动成为了开发动态网站和应用程序的关键。本文将通过简明的语言和实例，引导你理解PHP如何与MySQL数据库进行对话，开启你的编程之旅。我们将从连接数据库开始，逐步深入到执行查询、处理结果，以及应对常见的挑战。无论你是初学者还是希望提升技能的开发者，这篇文章都将为你提供实用的知识和技巧。让我们一起探索PHP与MySQL交互的世界，解锁数据的力量！
我不是游客20240119
58 6
游客762btuqu5wybw666
|
12天前
|
设计模式 算法 测试技术
PHP中的设计模式：策略模式的应用与实践
在软件开发的浩瀚海洋中，设计模式如同灯塔，指引着开发者们避开重复造轮子的暗礁，驶向高效、可维护的代码彼岸。今天，我们将聚焦于PHP领域中的一种重要设计模式——策略模式，探讨其原理、应用及最佳实践，揭示如何通过策略模式赋予PHP应用灵活多变的业务逻辑处理能力，让代码之美在策略的变换中熠熠生辉。
游客762btuqu5wybw666
25 3
1592440288735793
|
16天前
|
设计模式 算法 数据库连接
PHP中的设计模式：提高代码的可维护性与扩展性本文旨在探讨PHP中常见的设计模式及其应用，帮助开发者编写出更加灵活、可维护和易于扩展的代码。通过深入浅出的解释和实例演示，我们将了解如何使用设计模式解决实际开发中的问题，并提升代码质量。
在软件开发过程中，设计模式是一套经过验证的解决方案模板，用于处理常见的软件设计问题。PHP作为流行的服务器端脚本语言，也有其特定的设计模式应用。本文将重点介绍几种PHP中常用的设计模式，包括单例模式、工厂模式和策略模式，并通过实际代码示例展示它们的具体用法。同时，我们还将讨论如何在实际项目中合理选择和应用这些设计模式，以提升代码的可维护性和扩展性。
1592440288735793
41 4
ShaFaChuang-36210
|
3天前
|
设计模式 算法 PHP
PHP中的设计模式：策略模式的深入解析与实践
策略模式是一种行为型设计模式，用于定义一系列算法，将每种算法都封装起来，并使它们可以互换。本文将探讨如何在PHP中实现策略模式，以及如何利用它来提高代码的灵活性和可维护性。通过具体示例，我们将看到策略模式在处理复杂业务逻辑时的优势，从而帮助开发者编写出更加清晰、易于扩展的代码。
ShaFaChuang-36210
14 5
ShaFaChuang-36210
|
2天前
|
设计模式 SQL 安全
PHP中的设计模式：单例模式的深入探索与实践在PHP开发领域，设计模式是解决常见问题的高效方案集合。它们不是具体的代码，而是一种编码和设计经验的总结。单例模式作为设计模式中的一种，确保了一个类仅有一个实例，并提供一个全局访问点。本文将深入探讨单例模式的基本概念、实现方式及其在PHP中的应用。
单例模式在PHP中的应用广泛，尤其在处理数据库连接、日志记录等场景时，能显著提高资源利用率和执行效率。本文从单例模式的定义出发，详细解释了其在PHP中的不同实现方法，并探讨了使用单例模式的优势与注意事项。通过对示例代码的分析，读者将能够理解如何在PHP项目中有效应用单例模式。
ShaFaChuang-36210
11 2
萝卜带泥
|
2天前
|
设计模式 算法 PHP
PHP中的设计模式：策略模式的深入解析与实践
在软件开发的广袤领域中，PHP以其灵活性和广泛的应用场景占据了一席之地。本文聚焦于PHP中的一个核心概念——设计模式，特别是策略模式。策略模式作为一种行为型设计模式，允许在运行时选择算法或操作的具体实现，为软件设计带来了极大的灵活性。本文将深入探讨策略模式的基本原理、应用场景以及在PHP中的具体实现方式，旨在帮助开发者更好地理解和运用这一设计模式，提升代码的可维护性和扩展性。
萝卜带泥
7 2
游客sjjs6jgz4gp7m1
|
2天前
|
设计模式 存储 数据库连接
PHP中的设计模式：单例模式的深入探讨与实践
在PHP开发领域，设计模式是提升代码可读性、可维护性和扩展性的重要工具。本文聚焦于单例模式——一种确保类只有一个实例，并提供全局访问点的设计模式。我们将从定义、实现方式、应用场景以及在PHP框架中的运用等方面进行详细探讨，旨在帮助PHP开发者更好地理解和运用单例模式。
游客sjjs6jgz4gp7m1
7 1
游客moiomvrp3vyac2
|
13天前
|
PHP 开发者
PHP编程中的面向对象基础与实践
【9月更文挑战第27天】在PHP的海洋里，面向对象编程（OOP）是一艘强大的船，它不仅能让代码组织得更加优雅，还能提高开发效率。本文将带你领略OOP的魅力，从基础概念到实际应用，让你轻松驾驭这艘船，开启高效编程之旅。
游客moiomvrp3vyac2
17 6
游客5fdji2pvmf8888
|
13天前
|
设计模式 算法 PHP
PHP中的设计模式：策略模式的深入探索与实践在软件开发的广袤天地中，PHP以其独特的魅力和强大的功能，成为无数开发者手中的得力工具。而在这条充满挑战与机遇的征途上，设计模式犹如一盏明灯，指引着我们穿越代码的迷雾，编写出更加高效、灵活且易于维护的程序。今天，就让我们聚焦于设计模式中的璀璨明珠——策略模式，深入探讨其在PHP中的实现方法及其实际应用价值。
策略模式，这一设计模式的核心在于它为软件设计带来了一种全新的视角和方法。它允许我们在运行时根据不同情况选择最适合的解决方案，从而极大地提高了程序的灵活性和可扩展性。在PHP这门广泛应用的编程语言中，策略模式同样大放异彩，为开发者们提供了丰富的创作空间。本文将从策略模式的基本概念入手，逐步深入到PHP中的实现细节，并通过一个具体的实例来展示其在实际项目中的应用效果。我们还将探讨策略模式的优势以及在实际应用中可能遇到的挑战和解决方案，为PHP开发者提供一份宝贵的参考。
游客5fdji2pvmf8888
29 5
游客762btuqu5wybw666
|
15天前
|
设计模式 PHP 开发者
深入探索PHP中的面向对象编程：从基础到实践
本文旨在通过深入浅出的方式，引领读者走进PHP面向对象编程的世界。我们将从最基础的概念入手，逐步揭开OOP的神秘面纱，让初学者能够感受到其魅力所在。同时，我们也会探讨一些在实际项目中应用OOP的技巧和策略，帮助开发者提升代码质量与维护性。
游客762btuqu5wybw666
28 4

热门文章

最新文章

  • 1
    自己写的php数据库类
  • 2
    PHP的bbs实现之三
  • 3
    PHP设计模式——组合器模式
  • 4
    设置 msyql php-fpm 开机自动启动脚本
  • 5
    mysql+php
  • 6
    PHP文件乱码(gb2312保存，但输入utf-8)
  • 7
    PHP程序‘猿’必备的七种武器
  • 8
    PHP解决中文乱码问题
  • 9
    [转]php中使用ignore_user_abort()函数后，如何停止后台运行的程序？
  • 10
    CentOS 5.6 - php53-common conflicts with php-common
  • 1
    深入理解PHP的命名空间与自动加载机制
    34
  • 2
    IJ中PHP环境的搭建和使用教程
    76
  • 3
    PHP医院安全（不良）事件报告系统源码 vue2+element支持11大类不良事件上报、审核处理、分析改进
    51
  • 4
    深入PHP内核：理解Zend Engine和PHP生命周期
    119
  • 5
    PHP-ereg()函数
    53
  • 6
    web简易开发(二){html5+php实现文件上传及通过关键字搜索已上传图片)}
    58
  • 7
    php如何实现检测nginx配置的正确性
    112
  • 8
    深入PHP内核：探索Opcode缓存机制
    63
  • 9
    深入理解PHP的命名空间和自动加载机制
    31
  • 10
    深入PHP扩展开发：打造高效自定义模块
    85

    • 相关课程

    更多
  • PHP进阶教程 - 由浅入深掌握面向对象开发 - 第二阶段
  • PHP完全自学手册文档教程
  • 互联网安全-移动APP漏洞风险与解决方案

    • 相关电子书

    更多
  • PHP 2017.北京 全球开发者大会——高可用的PHP
  • PHP安全开发:从白帽角度做安全
  • 复杂PHP系统性能瓶颈排查及优化

    • 相关实验场景

    更多
  • 1分钟SAE部署PHP商城小程序
  • 10分钟Serverless部署PHP商城
  • 1分钟代码漏洞自动检测
    • 下一篇
    阿里云对象存储OSS怎么收费？包年包月和按量付费价格表