php-auth-config-audit

---
name: php-auth-config-audit
description: |
  PHP 源码认证、配置与逻辑类漏洞审计。当在 PHP 白盒审计中需要检测认证绕过、
  权限控制、安全配置、密码学误用或业务逻辑漏洞时触发。
  覆盖 5 类风险: 认证绕过(硬编码凭据/弱比较/JWT 缺陷)、授权失控(IDOR/水平越权)、
  安全配置(CORS/错误暴露/调试模式)、密码学误用(弱哈希/ECB/硬编码密钥)、业务逻辑(竞争条件/支付篡改)。
metadata:
  tags: authentication, authorization, idor, config, cors, debug mode, cryptography, weak hash, business logic, 认证绕过, 授权, 越权, 配置审计, 密码学, 业务逻辑
  category: code-audit
---

# PHP 认证配置与逻辑类漏洞源码审计
本 skill 聚焦源码层面的认证、授权、配置、密码学和业务逻辑缺陷。运行时利用（如 JWT 伪造、条件竞争脚本）属于对应黑盒 exploit skill 范畴。

## 深入参考

- 5 类风险的危险模式 / 安全模式代码对比 / 检测方法 → [references/auth-config-patterns.md](references/auth-config-patterns.md)

---

## 5 类风险速查表

| 类型 | 典型模式 | 危险信号 | 严重度 |
|------|----------|----------|--------|
| 认证绕过 | 硬编码凭据、`==` 弱比较、JWT algorithm none | 登录/令牌验证逻辑 | Critical-High |
| 授权失控 | IDOR 直接引用、缺少 ownership 检查、中间件跳过 | 资源访问无权限校验 | High-Critical |
| 安全配置 | `display_errors=On`、CORS `*`、调试模式残留 | 信息泄露/跨域滥用 | Medium-High |
| 密码学误用 | `md5($pass)`、ECB 模式、硬编码密钥 | 密码存储/加解密逻辑 | High-Critical |
| 业务逻辑 | 竞争条件、支付金额可控、状态机跳步 | 交易/库存/状态流转 | High-Critical |

## 认证审计要点

- **硬编码密码/API Key**: 搜索 `password`/`secret`/`api_key`/`token` 赋值为字面量字符串的位置
- **弱比较**: `==` 对比密码/token 导致类型混淆（`"0e123" == "0e456"` 为 true），必须使用 `===` 或 `hash_equals`
- **JWT 缺陷**: algorithm confusion（RS256→HS256）、签名未验证、`alg:none` 接受、密钥泄露、`kid` 参数注入
- **Remember Me**: token 是否可预测（`md5(username.time())`）、是否绑定用户/设备
- **密码重置**: token 可预测性、token 是否绑定目标用户、是否有过期机制

## 授权审计要点

- **IDOR**: `$_GET['id']` 直接查询无 `WHERE user_id=` 归属检查，对象引用可水平篡改
- **路由级 vs 函数级权限**: 中间件挂载范围是否完整覆盖、是否存在未保护的路由
- **中间件跳过**: 路由分组遗漏、`withoutMiddleware` 滥用、OPTIONS 预检绕过
- **水平越权 vs 垂直越权**: 水平 — 同角色访问他人资源；垂直 — 低权限访问高权限功能

## 配置审计要点

- **错误暴露**: `display_errors=On` + `error_reporting=E_ALL` 泄露路径/SQL/栈信息
- **CORS**: `Access-Control-Allow-Origin: *` 配合 `Allow-Credentials: true` 允许任意源携带凭据
- **调试模式**: Laravel `APP_DEBUG=true`、ThinkPHP `app_debug`、自定义 `DEBUG` 常量残留
- **安全头缺失**: `X-Frame-Options`、`Content-Security-Policy`、`X-Content-Type-Options` 未设置

## 密码学审计要点

- **弱哈希**: `md5($pass)` / `sha1($pass)` 用于密码存储，应使用 `password_hash(PASSWORD_BCRYPT)`
- **ECB 模式**: 确定性加密，相同明文产生相同密文，可分析推断内容
- **硬编码密钥**: `KEY`/`IV`/`SECRET` 写死在源码中，搜索 `openssl_encrypt`/`mcrypt_*` 调用的密钥来源
- **弱随机数**: `mt_rand`/`rand`/`uniqid` 用于生成安全令牌，应使用 `random_bytes`/`random_int`

## 逻辑审计要点

- **竞争条件**: 余额/库存先查后减无事务/无锁（SELECT→UPDATE 无 `FOR UPDATE`）
- **支付金额篡改**: 金额从客户端传入而非服务端计算、缺少签名验证
- **状态机跳步**: 订单状态从"待支付"直接跳到"已发货"，缺少状态转换合法性校验
- **批量操作无限制**: 无频率限制/无数量上限，可被滥用进行批量操作

## 检测清单

- [ ] 硬编码凭据搜索已完成（password/secret/key/token/api_key）
- [ ] 所有 `==` 比较密码/token 的位置已标记
- [ ] JWT 签名验证逻辑已审查（algorithm、密钥来源、kid）
- [ ] IDOR 风险点已检查 ownership 校验
- [ ] 路由权限覆盖完整性已验证
- [ ] php.ini / 框架配置安全基线已对照
- [ ] 密码存储方式已确认（password_hash vs md5/sha1）
- [ ] 加密密钥管理方式已审查（硬编码 vs 环境变量/密钥管理）
- [ ] 竞争条件敏感操作已检查事务/锁机制
- [ ] 支付/交易流程的金额来源和签名验证已确认