备案控制台
探索云世界
开发者社区 开发与运维 文章 正文

利用PHP扩展Taint找出网站的潜在安全漏洞实践

2018-08-16 1193
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 版权声明：作者：汤青松 https://blog.csdn.net/u013431141/article/details/81738042 一、背景笔者从接触计算机后就对网络安全...
版权声明：作者：汤青松 https://blog.csdn.net/u013431141/article/details/81738042

一、背景

笔者从接触计算机后就对网络安全一直比较感兴趣，在做PHP开发后对WEB安全一直比较关注，2016时无意中发现Taint这个扩展，体验之后发现确实好用；不过当时在查询相关资料时候发现关注此扩展的人数并不多；最近因为换了台电脑，需要再次安装了此扩展，发现这个扩展用的人还是比较少，于是笔者将安装的过程与测试结果记录下来，方便后续使用同时也让更多开发者来了解taint

taint扩展作者惠新宸曾经在自己的博客上有相关介绍，参考文档：PHP Taint – 一个用来检测XSS/SQL/Shell注入漏洞的扩展

二、操作概要

  1. 源码下载与编译
  2. 扩展配置与安装
  3. 功能检验与测试

三、源码下载与编译

Taint扩展PHP本身并不携带，在linux或mac系统当中笔者需要下载源码自己去编译安装

3.1 源码下载

笔者的开发环境是mac系统，所以需要去PHP的pecl扩展网站去下载源码，其中taint的地址为：

https://pecl.php.net/package/taint

在扩展网址的的尾部，可以看到有一排下载地址，如下图

image

笔者需要选择一个自己合适的版本，笔者的开发环境使用的是PHP7.1，因此选择了最新的版本，对应下载地址如下：

https://pecl.php.net/get/taint-2.0.4.tgz

使用wget下载该源码,参考命令如下：

wget https://pecl.php.net/get/taint-2.0.4.tgz

下载下来之后，笔者需要解压，解压命令参考如下：

tar -zxvf taint-2.0.4.tgz

解压之后，进入目录,参考命令如下：

cd taint-2.0.4

3.2 源码编译

现在笔者需要编译一下源码，在编译之前可以使用phpze来探测PHP的环境，参考命令如下：

phpize

返回结果如下

Configuring for:
PHP Api Version:         20160303
Zend Module Api No:      20160303
Zend Extension Api No:   320160303

生成 Makefile，为下一步的编译做准备

./configure

返回结果

checking how to hardcode library paths into programs... immediate
checking whether stripping libraries is possible... yes
checking if libtool supports shared libraries... yes
checking whether to build shared libraries... yes
checking whether to build static libraries... no

creating libtool
appending configuration tag "CXX" to libtool
configure: creating ./config.status
config.status: creating config.h

开始编译,并安装

make && make install
(cd .libs && rm -f taint.la && ln -s ../taint.la taint.la)
/bin/sh /Users/song/taint-2.0.4/libtool --mode=install cp ./taint.la /Users/song/taint-2.0.4/modules
cp ./.libs/taint.so /Users/song/taint-2.0.4/modules/taint.so
cp ./.libs/taint.lai /Users/song/taint-2.0.4/modules/taint.la
----------------------------------------------------------------------
Libraries have been installed in:
   /Users/song/taint-2.0.4/modules

If you ever happen to want to link against installed libraries
in a given directory, LIBDIR, you must either use libtool, and
specify the full pathname of the library, or use the `-LLIBDIR'
flag during linking and do at least one of the following:
   - add LIBDIR to the `DYLD_LIBRARY_PATH' environment variable
     during execution

See any operating system documentation about shared libraries for
more information, such as the ld(1) and ld.so(8) manual pages.
----------------------------------------------------------------------

Build complete.
Don't forget to run 'make test'.

Installing shared extensions:     /usr/local/Cellar/php71/7.1.14_25/lib/php/extensions/no-debug-non-zts-20160303/

四、配置与安装

在编译扩展之后，笔者还需要把Taint放到指定位置，以及修改配置文件让其生效

4.1 配置taint

笔者首先需要知道PHP的配置文件是多少，然后通过查看配置文件的扩展路径，才能把so文件放到对应里面去，查看配置文件位置命令如下：

php --ini

返回结果如下

Configuration File (php.ini) Path: /usr/local/etc/php/7.1
Loaded Configuration File:         /usr/local/etc/php/7.1/php.ini
Scan for additional .ini files in: /usr/local/etc/php/7.1/conf.d
Additional .ini files parsed:      /usr/local/etc/php/7.1/conf.d/ext-opcache.ini

笔者可以看到php.ini放置在/usr/local/etc/php/7.1/php.ini当中

知道配置文件之后，笔者需要找到扩展文件夹位置，参考命令如下

cat /usr/local/etc/php/7.1/php.ini | grep extension_dir

命令执行结果如下，笔者可以看出扩展文件夹位置是 /usr/local/lib/php/pecl/20160303

extension_dir = "/usr/local/lib/php/pecl/20160303"
; extension_dir = "ext"
; Be sure to appropriately set the extension_dir directive.
;sqlite3.extension_dir =

4.2 安装扩展

现在笔者需要把扩展文件复制到，PHP的扩展文件位置，参考命令如下

cp /usr/local/Cellar/php71/7.1.14_25/lib/php/extensions/no-debug-non-zts-20160303/taint.so /usr/local/lib/php/pecl/20160303/

复制完成之后，笔者需要编辑配置文件，将taint的配置项复制进去

vim /usr/local/etc/php/7.1/php.ini

增加Tain的配置项到php.ini文件当中，参考配置如下：

[taint]
extension=taint.so
taint.enable=1
taint.error_level=E_WARNING

4.3 安装结果验证

保存配置文件并退出之后，则代表笔者的安装已经完成，现在需要重启一下php让其生效，参考命令如下

brew services restart php@7.1

重启完成之后，可以通过命令查看PHP当前的扩展有没有Taint，参考命令如下:

php -i | grep taint

返回结果如果出现了一下信息，基本上已经安装成功。

taint
taint support => enabled
taint.enable => On => On
taint.error_level => 2 => 2

五、功能检验与测试

完成上面的两步操作之后，笔者安装阶段已经大功告成了，现在笔者需要用taint来检验效果，检验分为三部分，首先用taint作者的demo代码进行检验，之后用渗透测试系统permeate来检验，最后以笔者平时所开发的代码进行测试。

5.1 demo文件测试

用demo文件测试的目的是检验笔者安装的taint是否真的已经生效，并确认taint有没有意义。

5.1.1 复制demo代码

在作者的GitHub上面有下面的这样一份demo代码，笔者将其复制到web目录，位置如下：

/Users/song/mycode/safe/permeate

demo代码内容如下，读者实验时可以将其拷贝：

<?php
$a = trim($_GET['a']);

$file_name = '/tmp' .  $a;
$output    = "Welcome, {$a} !!!";
$var       = "output";
$sql       = "Select *  from " . $a;
$sql      .= "ooxx";

echo $output;

print $$var;

include($file_name);

mysql_query($sql);

5.1.2 配置虚拟主机

当代码文件保存之后，笔者需要在nginx配置文件中增加一个虚拟主机，用于浏览器访问此文件，参考配置如下：

    server {
        listen       80;
        server_name  test.localhost;
        root  /Users/song/mycode/safe/permeate;
        location / {
            index index.html index.htm index.php; 
        }

        location ~ \.php$ {
            fastcgi_pass   127.0.0.1:9000;
            fastcgi_index  index.php;
            fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;
            include        fastcgi_params;
        }
    }

5.1.3 浏览器访问

接着笔者通过浏览器访问对应代码文件，URL地址如下：

http://test.localhost/taintdemo.php?a=1

浏览器访问页面之后，笔者能在页面中看到一些警告信息，内容如下：

Warning: main() [echo]: Attempt to echo a string that might be tainted in /Users/song/mycode/work/test/taintdemo.php on line 10
Welcome, 1 !!!
Warning: main() [print]: Attempt to print a string that might be tainted in /Users/song/mycode/work/test/taintdemo.php on line 12
Welcome, 1 !!!
Warning: main() [include]: File path contains data that might be tainted in /Users/song/mycode/work/test/taintdemo.php on line 14

Warning: include(/tmp1): failed to open stream: No such file or directory in /Users/song/mycode/work/test/taintdemo.php on line 14

Warning: include(): Failed opening '/tmp1' for inclusion (include_path='.:/usr/local/Cellar/php@7.1/7.1.19/share/php@7.1/pear') in /Users/song/mycode/work/test/taintdemo.php on line 14

Fatal error: Uncaught Error: Call to undefined function mysql_query() in /Users/song/mycode/work/test/taintdemo.php:16 Stack trace: #0 {main} thrown in /Users/song/mycode/work/test/taintdemo.php on line 16

从警告信息当中可以看出，笔者的taint已经生效，给出了很多警告提示，提示参数可能受到污染，因为参数并没有经过任何过滤；

5.1.4 参数过滤测试

如果不想让taint给出警告提示，可以将demo代码中的第二行代码更改或增加一下过滤规则，参考代码如下：

$a = htmlspecialchars($_GET['a']);

再次回到浏览器当中，刷新当前页面，可以看到返回的信息已经发生了变化，返回内容如下

Welcome, 1 !!!Welcome, 1 !!!
Warning: include(/tmp1): failed to open stream: No such file or directory in /Users/song/mycode/work/test/taintdemo.php on line 15

Warning: include(): Failed opening '/tmp1' for inclusion (include_path='.:/usr/local/Cellar/php@7.1/7.1.19/share/php@7.1/pear') in /Users/song/mycode/work/test/taintdemo.php on line 15

Fatal error: Uncaught Error: Call to undefined function mysql_query() in /Users/song/mycode/work/test/taintdemo.php:17 Stack trace: #0 {main} thrown in /Users/song/mycode/work/test/taintdemo.php on line 17

因为笔者在代码中增加了参数转义，此时再次刷新浏览器，会看到taint不再给发出警告提醒。

5.2 渗透测试系统验证

用demo系统验证taint扩展生效之后，现在笔者将用一个渗透测试系统来做一个实验，在这个系统中本身存在了很多安全问题，使用taint来找出这些问题，使用的渗透测试系统为 permeate渗透测试系统,地址如下

笔者之前有写过一篇文章介绍此系统，参考文档：WEB安全Permeate漏洞靶场挖掘实践

https://git.oschina.net/songboy/permeate

5.2.1 下载permeate

笔者通过git将其源码下载下来，参考命令如下

https://gitee.com/songboy/permeate.git

下载下来之后，同样创建一个虚拟主机，可以参考上面的nginx配置

5.2.2 导入数据库

因为这个系统会用到数据库，所以笔者下载之后需要新建数据库给permeate使用

image

新建完成数据库之后，笔者需要将一些数据表结构以及初始化数据导入到数据库当中，在使用git下载下来之后，在其跟目录有一个doc的文件夹，笔者打开它之后，能看到有一个sql文件，如下图所示

image

打开此文件并将其里面的内容复制，将复制的内容到管理数据库的Navicat Premium当中，然后执行这些SQL语句，如下图所示
image

5.2.3 修改配置文件

导入数据库完成之后，笔者修改数据库配置文件，让permeate能够连接次数据库，配置文件在根目录 conf/dbconfig.php,里面的配置代码如下，将其地址账户以及密码和数据库名称一一对应填写

<?php
    !defined('DB_HOST') && define('DB_HOST','127.0.0.1');
    !defined('DB_USER') && define('DB_USER','root');
    !defined('DB_PASS') && define('DB_PASS','root');
    !defined('DB_NAME') && define('DB_NAME','permeate');
    !defined('DB_CHARSET') && define('DB_CHARSET','utf8');
    $sex=array('保密','男','女');
    $edu=array('保密','小学','初中','高中/中专','大专','本科','研究生','博士','博士后');
    $admins=array('普通用户','管理员')

5.2.4 验证安装结果

设置好数据库之后，笔者安装permeate便已经完成了，此时打开首页，看到的界面应该如下图所示：
image
如果在首页当中没有看到板块以及分区等信息，很有可能是数据库没有连接成功或者数据库没有正确导入数据所致。

5.2.5 挖掘漏洞

下面开始进行测试，笔者点击第一个板块SQL注入，并点击列表下发的下一页按钮，此时看到的页面如下图所示：
image
在这个板块列表页中没看到任何问题，但是实际上taint已经给笔者发出了警告提醒。

笔者可以通过查看源代码时候来看到这些问题，如下图所示，taint提示在代码文件 /Users/song/mycode/safe/permeate/core/common.php的50行，存在参数被污染的情况。

image

5.2.5 漏洞分析

笔者找到对应的代码位置，发现代码内容如下：

function includeAction($model, $action)
{
    //判断控制器是否存在
    $filePath = "./action/$model.php";
    if (is_readable($filePath)) {
        require_once $filePath;
        $class = new $model;
        if (is_callable(array($class, $action))) {
            $class->$action();
            return true;
        }
    }

在代码中笔者看到有一个require_once函数加载了文件，里面的参数使用了变量 $model 和 $action ,通过最终变量来源，在代码文件/Users/song/mycode/safe/permeate/home/router.php发现这两个参数确实没有经过过滤，如下代码所示:

<?php
require_once "/core/common.php";
$model = !empty($_GET['m']) ? $_GET['m'] : 'index';
$action = !empty($_GET['a']) ? $_GET['a'] : 'index';

includeAction("$model","$action");

最后需要提醒大家，Taint在开发环境安装即可，不要安装到生产环境当中，否则可能会把网站的安全问题直接暴露给攻击者。

作者：汤青松

日期：2018年08月16日

微信：songboy8888

文章标签：
PHP
测试技术
索引
Web App开发
数据库
关键词：
PHP实践
PHP扩展
PHP网站
PHP安全漏洞
汤青松
目录
相关文章
游客vsgxb64qlj7cg
|
2月前
|
程序员 PHP
PHP程序员的成长之路：技术探索与实践
在当今数字化时代，PHP作为一种广泛应用的后端编程语言，对于程序员而言具有重要意义。本文从技术探索和实践的角度出发，探讨了PHP程序员在成长过程中所面临的挑战与机遇，以及如何通过持续学习与实践不断提升自身技能。
游客vsgxb64qlj7cg
21 0
GG2020gg
|
3月前
|
运维 Unix Linux
Linux系统 PHP安装expect扩展详解
Linux系统 PHP安装expect扩展详解
GG2020gg
41 5
亚丁号
|
4月前
|
JavaScript 数据可视化 IDE
分享21个广告排行、15个交友会员、25个网站导航和39个文件管理PHP源码，总有一款适合你
分享21个广告排行、15个交友会员、25个网站导航和39个文件管理PHP源码，总有一款适合你
亚丁号
42 0
分享21个广告排行、15个交友会员、25个网站导航和39个文件管理PHP源码，总有一款适合你
我不是游客20240119
|
1天前
|
存储 缓存 自然语言处理
深入PHP内核：理解OPcache的工作原理与优化实践
【5月更文挑战第6天】 在现代Web开发中，提升性能和响应速度是持续追求的目标。PHP作为一种广泛使用的服务端脚本语言，其执行效率至关重要。本文将深入探索PHP的OPcache（优化器缓存）组件，解析其如何改善PHP的性能表现。通过剖析OPcache的工作机制，我们将讨论有效的配置策略以及实践中的最佳优化方法，旨在帮助开发者充分理解并利用OPcache来提升应用性能。
我不是游客20240119
11 2
请看我回答~
|
7天前
|
编译器 API PHP
深入PHP扩展开发：打造高效自定义模块
【4月更文挑战第30天】 在追求性能优化和特定功能实现的道路上，PHP提供了一种强大机制——扩展。本文将引导读者通过编写一个简单的PHP扩展来探索扩展开发的世界。我们将涉及从环境搭建到代码实现，再到扩展的编译与加载的完整流程，确保读者能够理解并实践如何创建高效的自定义PHP模块。
请看我回答~
13 1
请看我回答~
|
7天前
|
PHP 开发者
PHP中的命名空间深入理解与实践
【4月更文挑战第30天】在现代PHP开发中，命名空间是管理代码中类名和函数名冲突的重要工具。本文将探讨PHP命名空间的核心概念、实现机制及其在实际项目中的应用场景，帮助开发者更有效地组织和维护大型项目代码。我们将通过实例分析如何利用命名空间避免常见的名称冲突问题，并提供最佳实践建议。文章旨在为有一定PHP基础的开发人员提供进阶指导，使其能够在复杂的项目结构中灵活运用命名空间。
请看我回答~
6 0
桃李春风一杯酒
|
8天前
|
设计模式 算法 搜索推荐
【PHP开发专栏】PHP设计模式解析与实践
【4月更文挑战第29天】本文介绍了设计模式在PHP开发中的应用，包括创建型（如单例、工厂模式）、结构型和行为型模式（如观察者、策略模式）。通过示例展示了如何在PHP中实现这些模式，强调了它们在提升代码可维护性和可扩展性方面的作用。设计模式是解决常见问题的最佳实践，但在使用时需避免过度设计，根据实际需求选择合适的设计模式。
桃李春风一杯酒
15 0
请看我回答~
|
8天前
|
编译器 PHP
深入理解PHP 8.0的新特性及实践应用
【4月更文挑战第29天】在这篇文章中，我们将深入探讨PHP 8.0的新特性及其在实际开发中的应用。通过对新特性的详细解析，我们将了解到PHP 8.0如何提高开发效率，优化代码质量，以及提升应用程序的性能。同时，我们还将通过实际案例，展示如何在项目中应用这些新特性，以实现更高效、更稳定的开发环境。
请看我回答~
5 0
我不是游客20240119
|
13天前
|
缓存 安全 JavaScript
PHP 7.4新特性解析与实践
【4月更文挑战第24天】 在这篇文章中，我们将深入探讨PHP 7.4版本的新特性，并通过实际示例代码展示如何将这些新特性应用于日常开发工作中。我们将重点介绍预加载优化、类型化属性、箭头函数等重要更新，并分析这些新特性对性能和编码习惯的影响。通过本文，读者将获得对PHP 7.4新特性的全面理解，以及如何有效地利用这些新工具来提升代码质量和开发效率。
我不是游客20240119
18 0
于飞云计算
|
15天前
|
存储 SQL 缓存
记录如何用php做一个网站访问计数器的方法
创建简单网站访问计数器，可通过存储访问次数的文件或数据库。首先，创建`counter.txt`存储计数，然后在`counter.php`中编写PHP代码以读取、增加并显示计数，使用`flock`锁定文件避免并发问题。网页通过包含`counter.php`展示计数。对于高流量网站，推荐使用数据库确保原子性和并发处理能力，或利用缓存提升性能。注意，实际生产环境可能需更复杂技术防止作弊。
于飞云计算
24 0

热门文章

最新文章

  • 1
    【PHP】PHP生成全年日历
  • 2
    使用PHP实现动态代理IP的功能
  • 3
    深入解析PHP的命名空间和自动加载机制
  • 4
    web简易开发——通过php与HTML+css+mysql实现用户的登录，注册
  • 5
    深入理解PHP中的命名空间和自动加载机制
  • 6
    PHP在线加密系统网站源码
  • 7
    记录如何用php做一个网站访问计数器的方法
  • 8
    【攻防世界】php_rce （ThinkPHP5）
  • 9
    php代码加密 php-screw-plus
  • 10
    PHP 7.4新特性深度解析
  • 1
    在PHP中使用AES进行加密和解密
    46
  • 2
    PHP脚本：实现实时监控电脑屏幕并生成网页截图
    146
  • 3
    深入PHP内核：探索高性能异步编程
    19
  • 4
    阿里云OpenAPI RocketMQ 5.0的PHP收发消息文档
    43
  • 5
    PHP爬虫技术：利用simple_html_dom库分析汽车之家电动车参数
    30
  • 6
    深入理解PHP的命名空间和自动加载机制
    15
  • 7
    深入理解PHP中的命名空间和自动加载机制
    28
  • 8
    深入理解PHP的命名空间和自动加载机制
    30
  • 9
    PHP运算符
    19
  • 10
    PHP变量类型
    18

    • 相关课程

    更多
  • PHP进阶教程 - 由浅入深掌握面向对象开发 - 第二阶段
  • PHP完全自学手册文档教程
  • 互联网安全-移动APP漏洞风险与解决方案

    • 相关电子书

    更多
  • PHP安全开发:从白帽角度做安全
  • PHP 2017.北京 全球开发者大会——高可用的PHP
  • 复杂PHP系统性能瓶颈排查及优化

    • 相关实验场景

    更多
  • 1分钟SAE部署PHP商城小程序
  • 10分钟Serverless部署PHP商城
  • 1分钟代码漏洞自动检测
    • 下一篇
    将Stable Diffusion模型文件转存到FC环境的NAS