
这部分主要分析scanner.php的逻辑,在token流重构完成后,此时ini_get是否包含auto_prepend_file或者auto_append_file

取出的文件路径将和tokens数组结合,每一个文件都为一个包含require+文件名的token数组

接着回到main.php中,此时调用scanner的parse开始解析,这里的一个设计点问题就是要扫描漏洞,此时已经需要准备好的有哪些东西
1.file_scanning:

这里实际上就代表的是将要进行扫描的文件,在这里实际上是对每个待扫描的php文件都将调用parse进行解析,files就是前端指定的目录位置,勾选subdirs就包括其子目录的php文件
![]()
2.scan_functions:

扫描的结果显示级别是根据前端verbosity来进行选择,扫描函数是根据vuln type来选择
![]()
主要分为两个大类,客户端攻击和服务端

客户端主要包括
a.xss
主要是以下函数在输出时可能存在xss,其中每种函数都对应一个数组,0代表跟踪该函数所有参数,1代表跟踪第一个,2代表第2个,

其中securing_xss为一些过滤函数,包括把字符转为实体,将左右尖括号、单双引号、&转为html实体,所以这种防御并不是百分百有效的

b.http 头部注入

c.会话固定漏洞

服务端主要包括:
a.代码执行

这里的securing_preg主要针对php5.x的e修饰符导致的代码执行,preg_quote将对正则进行转义

b.反射注入

c.文件读取

securing_file主要包括以下三种

d.文件系统操作相关和e文件包含相关也都是用的相同的securing_file

f.命令执行相关

securing_function主要关注两个命令转义函数

g.sql操作相关:

securing_function:

h.xpath注入

securing_functions

i.ldap注入


j.连接相关的函数

k.php对象注入:

l.其他一些高危函数

因此以上一共是3种客户端+12种服务端=15种预配置的漏扫类型,但是这些漏洞并没有完全涵盖比如csrf、ssrf、xxe以及无法检测一些越权漏洞等逻辑漏洞,以及反序列化也不一定是unserialize,可能是phar反序列化
上面预先配置的这些函数也是作者对php的函数都做了相关的调查,建立在对php语言与漏洞本身的理解基础上(白盒对基础的要求还是高)
3.info_functions
info类中主要包括一些辅助审计的函数检测,比如出现phpinfo,将对应phpinfo detected,以及不同数据库用到的函数如果出现,则代表当前应用使用了哪些数据库

4.source_functions

待扫描的函数初始化后,将初始化source点

source点主要包括:
a.otherinput 包括http头部一些信息,超全局数组变量等操作函数

b.从文件中提取的输入

c.从数据库中提取的输入

这些输入点全部都定义在source.php,其中还包括userinput,http server相关的一些参数,不过这两类输入在初始化时并未加入source_functions数组

info中还包含了常用的一些pop链构造需要的一些gadget方法

![]()










![[附源码+视频教程]暗黑纪元H5手游_架设搭建_畅玩三网全通西方3D世界_带GM](https://img-blog.csdnimg.cn/img_convert/bb80720776c56835002eb4f324794567.webp?x-oss-process=image/format,png)







