某CMS漏洞审计记录与教学文档

一、审计目标与环境准备

1. 目标选择：选择一个旧版本开源CMS作为审计对象，因其代码简单、对新人友好且包含经典漏洞
2. 审计目的：学习漏洞审计思路，记录审计过程，适合代码审计入门
3. 环境准备：
   • 搭建本地测试环境
   • 准备代码审计工具（如PHPStorm、RIPS、Seay源代码审计系统等）
   • 安装调试工具（Xdebug等）

二、审计方法论

1. 敏感函数追踪法：查找危险函数调用点

   • 文件操作类：fopen, file_put_contents, copy, unlink等
   • 命令执行类：exec, system, passthru, shell_exec等
   • 数据库操作类：SQL查询拼接点
   • 反序列化：unserialize
   • 文件包含：include, require, include_once, require_once

2. 功能点分析法：

   • 文件上传功能
   • 登录认证模块
   • 数据库操作模块
   • 模板解析功能
   • 缓存处理机制

3. 参数传递追踪：

   • 从用户输入点到最终执行点的完整数据流分析
   • 关注$_GET, $_POST, $_REQUEST, $_COOKIE等超全局变量

三、漏洞发现与分析

1. SQL注入漏洞

发现过程：

• 定位数据库操作函数，查找未过滤的用户输入
• 发现某处SQL语句直接拼接用户输入的$_GET['id']参数

漏洞代码示例：

$id = $_GET['id'];
$sql = "SELECT * FROM articles WHERE id = ".$id;
$result = mysql_query($sql);

修复建议：

• 使用预处理语句（PDO或mysqli）
• 至少使用intval()等类型转换函数
• 添加输入过滤

2. 文件上传漏洞

发现过程：

• 检查文件上传处理逻辑
• 发现仅检查了$_FILES['file']['type']而未验证文件内容
• 未严格限制上传文件扩展名

漏洞代码示例：

if($_FILES['file']['type'] == 'image/jpeg'){
    move_uploaded_file($_FILES['file']['tmp_name'], 'uploads/'.$_FILES['file']['name']);
}

修复建议：

• 使用白名单验证文件扩展名
• 重命名上传文件（避免目录穿越）
• 检查文件内容而非仅MIME类型
• 设置合适的文件权限

3. XSS跨站脚本漏洞

发现过程：

• 查找用户输入直接输出到页面的位置
• 发现某处用户评论内容未经处理直接输出

漏洞代码示例：

echo '<div class="comment">'.$_POST['content'].'</div>';

修复建议：

• 使用htmlspecialchars()等函数进行输出编码
• 设置Content Security Policy (CSP)
• 对富文本内容使用安全的HTML过滤器

4. 文件包含漏洞

发现过程：

• 查找include/require等函数调用
• 发现某处使用用户可控变量作为包含路径

漏洞代码示例：

$page = $_GET['page'];
include('pages/'.$page.'.php');

修复建议：

• 使用白名单限制包含文件
• 避免使用用户输入直接作为包含路径
• 使用绝对路径而非相对路径

5. 命令注入漏洞

发现过程：

• 查找exec(), system()等函数调用
• 发现某处使用用户输入拼接系统命令

漏洞代码示例：

$ip = $_GET['ip'];
system('ping -c 4 '.$ip);

修复建议：

• 避免使用用户输入拼接命令
• 使用escapeshellarg()等函数过滤
• 考虑使用更安全的替代方案

四、漏洞利用与验证

1. SQL注入验证：

   • 构造id=1 union select 1,2,3,4,5等测试payload
   • 使用sqlmap工具自动化验证

2. 文件上传验证：

   • 尝试上传.php文件，修改Content-Type为image/jpeg
   • 尝试路径穿越（如../../../shell.php）

3. XSS验证：

   • 提交<script>alert(1)</script>测试脚本
   • 检查是否被正确过滤或编码

4. 文件包含验证：

   • 尝试包含系统文件（如../../../../etc/passwd）
   • 尝试远程文件包含（需allow_url_include开启）

五、修复方案与安全建议

1. 输入验证：

   • 所有用户输入都应视为不可信的
   • 实施白名单而非黑名单验证
   • 在数据处理的各层进行验证

2. 输出编码：

   • 根据输出上下文（HTML, JS, URL等）进行适当编码
   • 使用框架提供的安全输出函数

3. 安全配置：

   • 关闭不必要的PHP危险函数（如exec, system）
   • 设置open_basedir限制文件访问范围
   • 关闭register_globals和allow_url_include

4. 防御深度：

   • 实施多层防御机制
   • 使用Web应用防火墙(WAF)作为补充保护
   • 定期安全审计和渗透测试

六、审计工具与技巧

1. 静态分析工具：

   • RIPS：专用于PHP代码审计
   • SonarQube：通用代码质量分析
   • PHPStan：PHP静态分析工具

2. 动态分析工具：

   • Burp Suite：拦截和修改HTTP请求
   • OWASP ZAP：自动化漏洞扫描
   • sqlmap：自动化SQL注入测试

3. 调试技巧：

   • 使用Xdebug进行步进调试
   • 记录完整请求日志
   • 使用var_dump()/print_r()输出中间变量

七、总结与进阶

1. 审计经验总结：

   • 从简单CMS入手，逐步深入
   • 建立系统化的审计方法论
   • 保持对危险函数的敏感性

2. 进阶学习方向：

   • 研究现代PHP框架的安全机制
   • 学习OWASP Top 10漏洞原理
   • 参与开源项目安全审计

3. 持续学习资源：

   • OWASP官方文档
   • PHP安全最佳实践
   • CVE漏洞数据库分析

通过本次审计，我们系统性地学习了从环境搭建、漏洞挖掘到修复建议的完整流程，掌握了PHP应用常见漏洞的审计方法，为后续更复杂的代码审计工作打下了坚实基础。