【SRC漏洞挖掘系列】第14期：代码审计实战 —— 在几万行代码里“大海捞针”

上期回顾：我们在云端用 OSS 配置错误和 Log4j 炸出了各种“裸奔”的资产。但如果我们能拿到源码，那演示就不仅是云端漫步，而是“开水煮蛤蟆”了。🐸

本期主题：代码审计（Code Review）。告别黑盒盲猜，我们直接化身人肉扫描器，在几万行代码里精准定位那个致命的 eval()！

一、 代码审计的三大“流派”

面对一坨几十兆的源码压缩包，新手通常会直接放弃。但老鸟都有自己的“独门兵器”。

1. 危险函数回溯法（正向/逆向追踪）

这是最粗暴也最有效的招式，核心逻辑就是：找输入点，追危险函数。

• PHP 篇：全局搜索 eval、assert、system、exec。

  • 骚操作：如果发现 eval("$var");，马上追溯 $var的来源。如果它最终来自 $_GET['cmd']，恭喜你，RCE（远程代码执行）到手。

• Java 篇：搜索 Runtime.getRuntime().exec、ProcessBuilder。

• Node.js 篇：盯紧 eval()和 setTimeout()里的字符串拼接。

实战场景：

你在某电商系统的源码里全局搜到了 system("convert " . $user_input)。顺藤摸瓜发现 $user_input是前端传来的图片 URL。直接构造 url=;id>/tmp/success;，服务器执行了你的命令。

2. 正则挖掘法：找逻辑缺陷的“照妖镜”

代码审计不只是找 RCE，更多时候是找业务逻辑漏洞。这时候就要靠搜关键字了。

• 弱比较陷阱：搜索 ==(PHP 的松散比较)。

  • 漏洞点：if ($input == $correct_password_hash)。在 PHP 中，"0e12345" == "0e67890"会返回 True（科学计数法都被当做 0）。如果某处校验用了 ==，你可以构造特定哈希绕过密码验证。

• 正则匹配缺陷：搜索 preg_match或 replace。

  • 漏洞点：过滤脏数据时，只替换了一次。利用 sstystemem-> 过滤掉 system-> 变成 system。

3. 第三方组件“顺藤摸瓜”法

现代开发极度依赖 Composer、NPM、Maven。引入的包往往自带漏洞。

• 操作：直接看 package.json或 composer.lock/ pom.xml。

• 找什么：知名 CVE 库里的组件版本。

  • Node.js：node-serialize(反序列化 RCE)、moment.js(正则拒绝服务)。

  • PHP：monolog/monolog低版本 RCE。

  • Java：Fastjson/ Log4j2版本号。

二、 SRC 实战推演：从 Route 到 RCE 的“通关路”

假设你拿到了一套基于 Laravel 开发的 OA 系统源码。

1. 找入口 (Route)：

   打开 routes/web.php，发现一条可疑路由：

   Route::post('/api/custom-template/render', 'TemplateController@render');

2. 跟控制器 (Controller)：

   跳转至 TemplateController.php：

   public function render(Request $request) {
       $template = $request->input('tpl');
       $compiled = $this->compile($template);
       // ... 后续返回视图
   }

3. 查危险函数 (Sink)：

   跟进 $this->compile()方法，发现底层调用了 PHP 的 preg_replace：

   // 伪代码
   $content = preg_replace('/({\$[\w]+})/e', '$this->parseVar(\'$1\')', $template);

   Bingo！​ 这里的 /e修饰符（在老版本 PHP 中）会将替换后的字符串当做 PHP 代码执行。

4. 构造 Payload：

   你不需要去黑盒瞎测了，直接在本地构建请求：

   POST /api/custom-template/render

   tpl={${system(id)}}

5. 定级报告：提交“未授权 RCE”，稳稳的 严重 (Critical)​ 评级。

三、 SRC 报告中的“代码审计”话术

代码审计类漏洞的报告，最重要的是“链路清晰”。厂商开发往往不认模糊的测试，你需要把代码调用栈甩在他们脸上。

报告话术模板：

“在审计 app/Http/Controllers/OrderController.php源码时发现，第 45 行的 $request->amount未经过严格类型转换，直接传入了 DB::raw()方法（第 52 行）。攻击者可通过构造特定的 JSON 数组闭合原 SQL 语句，造成时间盲注，进而拖取数据库管理员密码哈希。”

四、 互动与思考

💬 互动话题：

各位审计大佬，你们拿到一套陌生源码的第一步是什么？

是用脚本全自动扫（如 RIPS、Fortify），还是直接用 IDE（PHPStorm/VS Code）全局搜索危险函数，亦或是凭借经验先翻看配置文件和路由？😎

⚠️ 法律红线警示

1. 严禁将从 SRC 平台或目标企业获取的任何源代码上传至公网（如 GitHub、网盘）或泄露给第三方。

2. 严禁利用代码审计发现的漏洞，在未授权的情况下对线上生产环境进行破坏性测试（如写入 Webshell、拖库）。

3. 严禁使用自动化代码审计工具对内网非授权代码库进行大规模扫描（可能被视为网络攻击）。

4. 测试原则：

   • 仅在本地搭建的测试环境（Localhost）中验证代码执行流。

   • 对于需要数据库的漏洞（如 SQL 注入），请在本地 MySQL 中建个测试库验证。

   • 报告附件中如需贴源码，必须隐去无关业务代码，只保留漏洞触发的关键链路（且最好打码）。

     代码是程序的灵魂，请带着对知识产权的敬畏去审计，只做 bug 的猎手，不做法律的漏网之鱼。​ 🛡️

下一期，我们将迎来系列终章特别篇：“自动化武器库与 AI 赋能 —— 打造你的专属漏洞挖掘机”。想知道怎么用 Python 批量扫全网吗？敬请期待！🤖