当前位置：首页 > PHP

php污点分析实现

2026-02-16 09:37:20PHP

污点分析的基本概念

污点分析是一种追踪程序中不安全数据流动的技术，通过标记外部输入为"污点"，分析其在程序中的传播路径，判断是否到达敏感操作点（如SQL查询、系统命令执行等）。

PHP污点分析的实现方法

污点源识别

定义可能引入不安全数据的入口点：

$_GET、$_POST、$_COOKIE等超全局变量
file_get_contents()等文件读取函数
数据库查询结果中不可信的部分

// 标记污点源的示例
function markTainted($data) {
    $data['_tainted'] = true;
    return $data;
}

$taintedInput = markTainted($_GET['user_input']);

污点传播分析

跟踪污点数据在程序中的流动：

变量赋值传播
字符串拼接传播
函数调用传播

// 传播检测示例
function propagateTaint($value) {
    if (is_array($value) && isset($value['_tainted'])) {
        return ['_tainted' => true];
    }
    return $value;
}

$concatenated = $taintedInput . 'suffix'; // 应标记为污点

敏感点检测

定义需要检查污点数据的关键操作：

eval()
system()/exec()
mysql_query()
include/require

// 敏感点检查示例
function checkSink($value) {
    if (is_array($value) && isset($value['_tainted'])) {
        throw new SecurityException("Tainted data reached sensitive operation");
    }
    return $value;
}

$sql = "SELECT * FROM users WHERE id = " . $taintedInput;
checkSink($sql); // 应触发异常

实现技术选择

静态分析方法

使用PHP-Parser等工具进行代码静态分析：

构建抽象语法树(AST)
数据流分析
控制流分析

动态分析方法

通过运行时插装实现：

重写函数调用
变量访问监控
运行时污点标记

// 动态分析示例
runkit_function_redefine('mysql_query', 
    function($query) {
        if (isset($GLOBALS['_TAINT_TRACKER'][$query])) {
            log_attack("SQL injection attempt");
        }
        return call_user_func_array('mysql_query', func_get_args());
    }
);