代码审计之phpweb测试

1.什么是代码审计

检查源代码中的安全缺陷，检查程序源代码是否存在安全隐患，或者有编码不规范的地方，通过自动化工具或者人工审查的方式，对程序源代码逐条进行检查和分析，发现这些源代码缺陷引发的安全漏洞，并提供代码修订措施和建议。

2.环境搭建

System:windows sever 2003

Code:phpweb

Tools:HP_Fortify

2.1新建数据库

 

 

 

 

 

 

 

 

 2.2下载安装phpstudy2016或phpstudy2018

 

 

 2.3选择php的版本为5.2+

 

 

 2.4将站点源代码放入www目录下面

 

 

 2.5检查端口,安装部署phpweb站点

 

 

 

 

 

 2.6运行安装环境检查

 

2.7设置数据库参数

 

 

 2.8自动将数据库文件导入到我们前两步创建好的库里面

 

 2.9初始后台登录

 

 2.10安装完成

 

 2.11登录后台

 

 

 2.12访问首页

 

 phpweb环境搭建完成

3.启动HP_Fortify代码审计工具

 

3.1 运行此目录下的(.cmd)启动入口

 

 3.2选择高级扫描

 

 3.3选择要扫描的环境(phpweb)

 

 3.4忽略升级规则

 

 3.5点击Next,查看扫描时的各个选项

 

 

 

 

 

 

 

 

 

 3.6扫描结束,点击完成

 

 3.7查看扫描结果

 

 以上是本次扫描的结果

3.8查看漏洞分布

 

 4.sql注入审计

 

4.1 借助burpsuite抓包,验证sql注入漏洞

 抓取页面为index.php的求包，将它保存在1.txt文本，用sqlmap来检测sql注入点，因为扫描软件自身的原因，有些漏洞属于误报，sqlmap不一定能检测出来。

4.2burpsuite抓取index3.php页面请求页面，验证sql注入点

 

4.3XSS漏洞

 

 打开登录页面，输入管理员账号密码进行登录

 

 登录成功，再来到"advs_duilian_modi.php"页面

 

 目前这个页面有多个填写参数的地方，并不知道groupname参数是哪一个，这个时候可以利用burpsuite来抓包分析，先将页面所有可填的信息填入

 

 burpsuite抓取显示请求数据包，发现groupname为第一个填入的检测代码段

 

 此时，上一步填入的检测代码成功弹出，说明此漏洞存在，并且验证成功

 

继续利用burpsuite抓取请求数据包，手工测试注入漏洞