pikachu靶场的代码审计，和一些危险函数

lun-netsafe / 2024-09-18 / 原文

对pikachu靶场进行代码审计，审计分析文件上传、命令执行漏洞，越权漏洞，sql注入，xxe漏洞

文件上传

client：

并未对后缀进行判断，只对大小做了验证

后端并未进行文件的类型校验，仅仅是生成了一个目录去保存上传的文件

同时对文件的保存路径暴露

MIME Type

只对mime进行了验证，很容易绕过，没使用白名单机制，过滤的不够严谨

getimagesize

对文件的类型和mime都进行了校验，但是还是可以执行，php的代码，可以上传图片马，使用文件包含一起梭哈。主要问题还是回显了upload的保存路径，这样前面生成的随机数毫无意义！

命令执行漏洞

ping远程执行漏洞

包含了header文件

header文件，并未有啥过滤，就是获取访问者的头信息等

判断是否有输入，并将传输进来的参数赋值给ip变量，判断当前电脑是什么类型，直接shell_exec执行了命令

未对$ip进行验证，就直接将变量拼接，不安全，同时调用shell_exec等函数也有极大的风险

eval远程代码执行漏洞

对用户的输入没有校验，而且使用了eval函数，攻击者可以直接使用system执行系统命令。因对用户的输入进行检查，同时少使用或者不使用eval函数。

越权漏洞

水平越权

先看login界面，使用了escape函数转义查询语句很安全，然后使用了session确定登录的人是谁。

看信息页面，第一个判断是否登录，第二个直接判断了username是否为空，但是此处并未使用session来确定用户的输入，导致了水平越权的漏洞。

垂直越权

和上面相同使用了，escape函数转义防sql注入，然后链接数据库判断是否有该用户，判断返回的level，进行登录

看admin登录界面，有对level的判断，要同时满足登录和level等于1才能进入，没有问题

看修改用户信息的页面,此处只判断了用户是否处于登录的界面，但是并没有判断用户的level是否等于1，造成垂直越权的漏洞。

同时我们还需要注意exit，如果对exit进行注释，即使有header的跳转但是程序并不会完结会继续执行

注意：此时我是未登录的状态，但是我依然会执行后面的if判断，此处需要注意，header只能跳转并不能结束代码执行。

sql注入

宽字节注入

先看一下escape函数，使用了mysqli_real_escape_string转义,转义规则如下

' 会被转义为 \'
" 会被转义为 \"
\ 会被转义为 \\

此处刚好可以使用gbk的编码方式绕过，主要的漏洞就是上图箭头，在转义后给客户端设置了gbk编码

其余的sql注入

剩下的都是直接拼接产生的漏洞，所使用的只是不同的闭合方式，此处就不在赘述

xxe漏洞

使用了simplexml_load_string函数，将 XML 字符串转换为 SimpleXMLElement 对象的函数。造成了外部xml的注入。可以使用libxml_disable_entity_loader(ture)禁止从外部加载xml实体

梳理php语言中 owasp top 10 安全漏洞常见的危险函数并记录函数的常见用法

命令执行危险函数

system 执⾏命令并输出结果
shell_exec
passthru 和system一样
exec 执⾏命令只可获取最后⼀⾏结果
popen 执⾏命令并建⽴管道返回⼀个指针使⽤fread等函数操作指针进⾏读写
proc_open 同 popen
pcnti_exec 执⾏命令只返回是否发⽣错误
mail linux底层的sendmail发送信息，通过 -X 指定log文件记录邮件流量，实际可以达到写文件的效果
例子

$to = 'Alice@example.com';
$subject = 'Hello Alice!';
$message=‘<?php phhpinfo(); ?>’；
$headers = "CC: somebodyelse@example.com";
$options = '-OQueueDirectory=/tmp -X/var/www/html/rce.php';
mail($to, $subject, $message, $headers, $options);