PHP代码审计

作者:文档制作:()..............................................................82.mt_srand()和mt_rand()................................................87.特殊字符和多字节编码........................................................81.多字节编码...........................................................88.PHP危险函数...............................................................81.缓冲区溢出...........................................................82.session_destroy()删除文件漏洞..........................................93.unset()-zend_hash_del_key_or_index漏洞.................................99.信息泄露.................................................................10作者:文档制作:概述代码审核，是对应用程序源代码进行系统性检查的工作。它的目的是为了找到并且修复应用程序在开发阶段存在的一些漏洞或者程序逻辑错误，避免程序漏洞被非法利用给企业带来不必要的风险。代码审核不是简单的检查代码，审核代码的原因是确保代码能安全的做到对信息和资源进行足够的保护，所以熟悉整个应用程序的业务流程对于控制潜在的风险是非常重要的。审核人员可以使用类似下面的问题对开发者进行访谈，来收集应用程序信息。应用程序中包含什么类型的敏感信息，应用程序怎么保护这些信息的？应用程序是对内提供服务，还是对外？哪些人会使用，他们都是可信用户么？应用程序部署在哪里？应用程序对于企业的重要性？最好的方式是做一个checklist，让开发人员填写。Checklist能比较直观的反映应用程序的信息和开发人员所做的编码安全，它应该涵盖可能存在严重漏洞的模块，例如：数据验证、身份认证、会话管理、授权、加密、错误处理、日志、安全配置、网络架构。2.输入验证和输出显示大多数漏洞的形成原因主要都是未对输入数据进行安全验证或对输出数据未经过安全处理，比较严格的数据验证方式为：1.对数据进行精确匹配2.接受白名单的数据3.拒绝黑名单的数据作者:文档制作:中可由用户输入的变量列表如下：$_SERVER$_GET$_POST$_COOKIE$_REQUEST$_FILES$_ENV$_HTTP_COOKIE_VARS$_HTTP_ENV_VARS$_HTTP_GET_VARS$_HTTP_POST_FILES$_HTTP_POST_VARS$_HTTP_SERVER_VARS我们应该对这些输入变量进行检查1.命令注入PHP执行系统命令可以使用以下几个函数：system、exec、passthru、“、shell_exec、popen、proc_open、pcntl_exec我们通过在全部程序文件中搜索这些函数，确定函数的参数是否会因为外部提交而改变，检查这些参数是否有经过安全处理。防范方法：1.使用自定义函数或函数库来替代外部命令的功能2.使用escapeshellarg函数来处理命令参数3.使用safe_mode_exec_dir指定可执行文件的路径2.跨站脚本反射型跨站常常出现在用户提交的变量接受以后经过处理，直接输出显示给客户端；存储型跨站常常出现在用户提交的变量接受过经过处理后，存储在数据库里，然后又从数据库中读取到此信息输出到客户端。输出函数经常使用：echo、print、printf、vprintf、%=$test%对于反射型跨站，因为是立即输出显示给客户端，所以应该在当前的php页面检查变量被客户提交之后有无立即显示，在这个过程中变量是否有经过安全检查。对于存储型跨站，检查变量在输入后入库，又输出显示的这个过程中，变量是否有经过安全检查。防范方法：1.如果输入数据只包含字母和数字，那么任何特殊字符都应当阻止2.对输入的数据经行严格匹配，比如邮件格式，用户名只包含英文或者中文、下划线、连字符3.对输出进行HTML编码，编码规范<