静态代码编码安全审计: PHP源代码审计工具RIPS

1 PHP源代码审计工具RIPS

1.1 RIPS简介

2 RIPS的安装和使用

2.1 rips安装

2.2 rips介绍

2.3 rips扫描的过程和结果

3 典型漏洞分析

4 实验总结和感想

1 PHP源代码审计工具RIPS

1.1 RIPS简介

在安全工作中，代码审计是很重要的一项技能。在面对大规模的代码时，使用自动化工具辅助人工漏洞挖掘，可以显著提高审计工作的效率。学会利用自动化代码审计工具，是每一个代码审计人员必备的能力。

RIPS用于 PHP 脚本漏洞的静态源代码分析器.

RIPS 是最流行的静态代码分析工具，可自动检测 PHP 应用程序中的漏洞。通过对所有源代码文件进行标记和解析，RIPS 能够将 PHP 源代码转换为程序模型，并检测在程序流程中可能被用户输入（受恶意用户影响）污染的敏感接收器（可能存在漏洞的函数）。除了发现漏洞的结构化输出之外，RIPS 还提供了一个集成的代码审计框架.

使用了静态分析技术，能够自动化地挖掘PHP源代码潜在的安全漏洞如XSS ，SQL注入，敏感信息泄漏，文件包含等常见漏洞；也可以采用正则方式扫描代码发现漏洞；还能够采用自定义的语法扫描代码发现问题。渗透测试人员可以直接容易的审阅分析结果，而不用审阅整个程序代码。当然，最后去校验结果必须是我们自己去做.

RIPS 能够检测 XSS, SQL 注入, 文件泄露, Header Injection 漏洞等等，如图1.1

图1.1.1

2 RIPS的安装和使用

2.1 rips安装

进入rips官网：http://rips-scanner.sourceforge.net/，点击here后进行下载，如图2.1.1

图2.1.1

将rips解压后的文件夹移动到网站根目录下，如图2.1.2

图2.1.2

浏览器访问localhost/rips-0.55即可访问主界面，如图2.1.3

图2.1.3

也可以下载汉化版，如图2.1.4

图2.1.4

2.2 rips介绍

最上方是所有功能按钮菜单，如图2.2.1

图2.2.1

上到下，由左到右依次是要扫描的源码路径扫描级别扫描类型代码样式正则表达式

subdirs：如勾选上这个选项，会扫描所有子目录，否则只扫描一级目录，缺省为勾选。

verbosity level：选择扫描结果的详细程度，缺省为1(建议就使用1)。

vuln type：选择需要扫描的漏洞类型。支持命令注入、代码执行、SQL注入等十余种漏洞类型，缺省为全部扫描。

code style：选择扫描结果的显示风格（支持9种语法高亮）。

/regex/：使用正则表达式过滤结果。

path/file：要扫描的目录。

scan：开始扫描。

2.3 rips扫描的过程和结果

在程序的顶部"源码的绝对路径"文本框中输入你想要扫描的项目的绝对路径

(如E:\wangan\phpstudy_pro\WWW\main.php)，然后根据个人的需求来选择扫描漏洞的范围，是否扫描根目录等，最后点击扫描即可。可以看到，扫描结果以图标的形式给出，非常直观。扫描后即可查看扫描报告。如图2.3.1

图2.3.1

rips 对扫描到的课程存在漏洞的代码，不仅会给出解释，还会给去相应的利用代码。如图2.3.2

图2.3.2

扫描之后注意到右侧有四个按钮，如图2.3.3。

图2.3.3

分别点开后如图2.3.4所示

图2.3.4

我们注意到左侧有四个小按钮，如图2.3.5

图2.3.5

第一个按钮可以查看代码，定位到出现漏洞的地方，如图2.3.6

图2.3.6

第二个按钮用于缩略，如图2.3.7

图2.3.7

第三个按钮可以查看帮助（这也是最有用的），在帮助说明中会解释什么是文件包含漏洞，漏洞是如何产生的，漏洞的样例代码，还会给出poc，如图2.3.8

图2.3.8

3 典型漏洞分析

常见PHP网站安全漏洞

1、session文件漏洞

Session攻击是黑客最常用到的攻击手段之一。当一个用户访问某一个网站时，为了免客户每进人一个页面都要输人账号和密码，PHP设置了Session和Cookie用于方便用户的使用和访向。

2、SQL注入漏洞

在进行网站开发的时候，程序员由于对用户输人数据缺乏全面判断或者过滤不严导致服务器执行一些恶意信息，比如用户信息查询等。黑客可以根据恶意程序返回的结果获取相应的信息。这就是月行胃的SQL注入漏洞。

3、脚本执行漏洞

脚本执行漏洞常见的原因是由于程序员在开发网站时对用户提交的URL参数过滤较少引起的，用户提交的URL可能包含恶意代码导致跨站脚本攻击。脚本执行漏洞在以前的PHP网站中经常存在，但是随着PHP版本的升级，这些间题已经减少或者不存在了。

4、全局变量漏洞

PHP中的变量在使用的时候不像其他开发语言那样需要事先声明，PHP中的变量可以不经声明就直接使用，使用的时候系统自动创建，而且也不需要对变量类型进行说明，系统会自动根据上下文环境自动确定变量类型。这种方式可以大大减少程序员编程中出错的概率，使用起来非常的方便。

5、文件漏洞

文件漏洞通常是由于网站开发者在进行网站设计时对外部提供的数据缺乏充分的过滤导致黑客利用其中的漏洞在Web进程上执行相应的命令。假如在 lsm.php中包含这样一段代码:include($b.”/aaa.php”.)，这对黑客来说，可以通过变量$b来实现远程攻击，可以是黑客自已的代码，用来实现对网站的攻击。可以向服务器提交a.php include=http://lZ7.0.0. 1/b.php,然后执行b.php的指令。

常见漏洞的防范措施

1、对于Session漏洞的防范

从前面的分析可以知道，Session攻击最常见的就是会话劫持，也就是黑客通过各种攻击手段获取用户的Session ID，然后利用被攻击用户的身份来登录相应网站。为此，这里可以用以下几种方法进行防范:一是定期更换Session ID，更换Session ID可以用PHP自带函数来实现;二是更换Session名称，通常情况下Session的默认名称是PHPSESSID，这个变量一般是在cookie 中保存的，如果更改了它的名称，就可以阻档黑客的部分攻击;三是对透明化的Session ID进行关闭处理，所谓透明化也就是指在http请求没有使用cookies来制定Session id时，Sessioin id使用链接来传递.关闭透明化Session ID可以通过操作PHP.ini文件来实现;四是通过URL传递隐藏参数，这样可以确保即使黑客获取了session数据，但是由于相关参数是隐藏的，它也很难获得Session ID变量值。

2、对SQL注入漏洞的防范

黑客进行SQL注入手段很多，而且灵活多变，但是SQL注人的共同点就是利用输入过滤漏洞。因此，要想从根本上防止SQL注入，根本解决措施就是加强对请求命令尤其是查询请求命令的过滤。具体来说，包括以下几点:一是把过滤性语句进行参数化处理，也就是通过参数化语句实现用户信息的输入而不是直接把用户输入嵌入到语句中。二是在网站开发的时候尽可能少用解释性程序，黑客经常通过这种手段来执行非法命令;三是在网站开发时尽可能避免网站出现bug，否则黑客可能利用这些信息来攻击网站;仅仅通过防御SQL注入还是不够的，另外还要经常使用专业的漏洞扫描工具对网站进行漏洞扫描。

3、对脚本执行漏洞的防范

黑客利用脚本执行漏洞进行攻击的手段是多种多样的，而且是灵活多变的，对此，必须要采用多种防范方法综合的手段，才能有效防止黑客对脚本执行漏洞进行攻击。这里常用的方法方法有以下四种。一是对可执行文件的路径进行预先设定。可以通过safe_moade_exec_dir来实现;二是对命令参数进行处理，一般用escapeshellarg函数实现;三是用系统自带的函数库来代替外部命令;四是在操作的时候进可能减少使用外部命令。

4、对全局变量漏洞防范

对于PHP全局变量的漏洞问题，以前的PHP版本存在这样的问题，但是随着PHP版本升级到5.5以后，可以通过对php.ini的设置来实现，设置ruquest_order为GPC。另外在php.ini配置文件中，可以通过对Magic_quotes_runtime 进行布尔值设置是否对外部引人的数据中的溢出字符加反斜线。为了确保网站程序在服务器的任何设置状态下都能运行。可以在整个程序开始的时候用 get_magic_quotes_runtime检测设置状态决定是否要手工处理，或者在开始(或不需要自动转义的时候)用 set_magic_quotes_runtime(0)关掉。

5、对文件漏洞的防范

对于PHP文件漏桐可以通过对服务器进行设置和配置来达到防范目的。这里具体的操作如下:一是把PHP代码中的错误提示关闭，这样可以避免黑客通过错误提示获取数据库信息和网页文件物理路径;二是对open_basedir尽心设置，也就是对目录外的文件操作进行禁止处理;这样可以对本地文件或者远程文件起到保护作用，防止它们被攻击，这里还要注意防范Session文件和上载文件的攻击;三是把safe-made设置为开启状态，从而对将要执行的命令进行规范，通过禁止文件上传，可以有效的提高PHP网站的安全系数。

4 实验总结和感想

通过这个实验了解到代码审计工具可以作为辅助，大大提高漏洞分析和代码挖掘的效率。在源代码的静态安全审计中，使用自动化工具辅助人工漏洞挖掘，可以显著提高审计工作的效率。但工具到头来只是帮助提高效率，它们从来不是可以提高基础知识与技术的捷径，真正的审计还得靠我们一步一步的学习与经验的积累而来的。