php-file-write-audit

Name: php-file-write-audit
Author: 0xShe

55installs36forks

How to install php-file-write-audit?

0xshe/php-code-audit-skill/php-file-write-audit

$npx -y skills add 0xShe/PHP-Code-Audit-Skill --skill php-file-write-audit

Installs into the current project.

Summary

--- name: php-file-write-audit description: PHP Web 源码任意文件写入审计工具。识别用户可控数据进入写入 Sink 的链路，追踪任意落点写入/路径穿越到 write，并评估写入后的可执行性（禁止省略）。 ---

Files · 1

View on GitHub

SKILL.md

1	# PHP 任意文件写入审计（php-file-write-audit）
2
3	分析 PHP 项目源码中“将数据写入磁盘文件”的实现逻辑，重点覆盖：
4
5	- 任意落点写入：写入目标路径可被攻击者控制（含路径穿越到落点）
6	- 写入内容可控：写入的文件内容来源于用户输入（为后续 RCE/覆写创造条件）
7	- 覆盖/截断模式：是否以 `w/x` 等覆盖方式写入，或会产生可利用的同名冲突覆盖
8
9	## 分级与编号
10	- 详见：`shared/SEVERITY_RATING.md`
11	- 漏洞编号：`{C/H/M/L}-WRITE-{序号}`
12
13	## WRITE Sink（必做）
14	识别并追踪以下写入/落点变更相关函数/语句（按项目实际出现情况选取）：
15
16	- 直接写入：
17	- `file_put_contents({path}, {data})`
18	- `fwrite($handle, {data})`（通常配合 `fopen($path, 'w'\|'ab'\|'x'\|...)`）
19	- `stream_write($stream, {data})` / `fputs($handle, {data})`
20	- 打开并写入（覆盖/截断）：
21	- `fopen($path, 'w'\|'x'\|'a'\|'ab'\|'wb'\|...)`
22	- `ftruncate($handle, {size})`（若路径由用户控制或与路径拼接链路相关）
23	- 重命名/复制导致的落点变更（可形成“写入落点”）：
24	- `rename($src, $dest)`
25	- `copy($src, $dest)`
26	- `move_uploaded_file($tmp, $dest)`（若不是纯 UPLOAD 场景，且核心风险是落点/路径可控）
27	- 日志落点写入（可选，但按你项目风险选择启用）：
28	- `error_log($message, 3, $destination)`（message_type=3 时 destination 为文件）
29
30	## 路径穿越到写入落点检测（必做）
31	必须分析并给出证据化判断（不能只写“可能”）：
32
33	1. 路径拼接与归一化链路
34	- base 目录（如 `$baseDir` / `$uploadDir` / `$dataDir`）如何与用户输入 join（`$base.$user` / `sprintf` / `join` / 数组路径字段拼接）
35	- 是否进行目录净化/拒绝穿越片段（`../`、`..\\`、混合分隔符、Windows 盘符、绝对路径、尾部空白等）
36	- 是否使用 `realpath/canonicalize` 以及“最终 resolved 是否仍在 base 前缀下”的前缀校验
37
38	2. 写入落点最终解析结果
39	- 写入前的目标路径字符串是否会因为 wrapper/符号链接/realpath 解析而改变最终落点
40	- 最终 `resolved target` 是否逃逸 base 约束（逃逸则倾向落点可控）
41
42	## 写入内容可控性与覆盖策略（必做）
43	必须追踪并输出（链路逐步写出）：
44
45	1. 写入内容来源
46	- `{data}/{content}` 参数是否来自用户可控输入（GET/POST/JSON/COOKIE/上传字段等）
47	- 是否存在 decode/拼接/模板化/编码步骤后仍可控
48
49	2. 覆盖/截断模式
50	- 写入模式是否为覆盖（`fopen(...,'w'\|'x')` 等）或明确允许覆盖同名文件
51	- 是否存在基于模式的条件分支（某些分支才覆盖、某些分支只追加等）
52
53	## 写入后的可执行性/可触达性评估（必做）
54	由于文件写入常直接导致 RCE，本 skill 必须输出“写完之后能不能被执行/访问”的可证据判断（禁止省略）：
55
56	- 若写入的是 PHP/可执行脚本：检查扩展名/解析路径（如最终落点以 `.php` 结尾，或写入的内容被包含/解析）
57	- 若落点位于 Web 根目录或应用可包含目录：输出静态映射证据（例如 dest 指向 `public/`、`www/` 或框架模板/配置目录）
58	- 若存在“执行禁用策略”（例如目录不执行 PHP、或服务端配置禁止执行）：输出对应证据与缺失提示
59
60	## tracer 证据引用（强制：来自 php-route-tracer）
61	每条 WRITE 疑似漏洞必须逐项引用 trace 输出中 `## 9) Sink Evidence Type Checklist` 的 WRITE 行对应证据要点（允许状态为待验证，但证据引用必须存在）：
62
63	1. `EVID_WRITE_WRITE_CALLSITE`：写入/落点变更的调用点位置证据（file_put_contents/fwrite/fopen('w')/rename/copy 等）
64	2. `EVID_WRITE_DESTPATH_JOIN_AND_NORMALIZATION`：目的路径拼接与归一化证据（base join、净化/拒绝穿越片段、realpath 前缀校验等）
65	3. `EVID_WRITE_DESTPATH_RESOLVED_TARGET`：最终解析落点（resolved target）证据（是否逃逸 base）
66	4. `EVID_WRITE_CONTENT_SOURCE_INTO_WRITE`：写入内容参数与用户可控输入的映射证据
67	5. `EVID_WRITE_TRUNCATE_OR_OVERWRITE_MODE`：覆盖/截断/追加模式证据（写入模式或覆盖策略）
68	6. `EVID_WRITE_EXECUTION_ACCESSIBILITY_PROOF`：写完后的可执行性/可触达性证据（web 根/可包含目录/执行禁用策略等）
69
70	## tracer 证据缺失处理（强制）
71	- 若 trace 的 `## 9) Sink Evidence Type Checklist`（WRITE 行）中任一关键证据要点缺失或无法对应到本条漏洞：该条漏洞状态只能标记为 `⚠️待验证`（不得直接给出 `✅已确认可利用`）。
72
73	## tracer 触发条件（必做）
74	至少满足其一，且必须依赖 trace 验证 sink 存在：
75
76	- 写入目标路径经过多层函数/对象属性/JSON 字段传递后到达写入函数
77	- 写入内容（data/content）经过 decode/拼接后仍可控
78	- 存在分支逻辑导致仅部分情况下会覆盖/截断/落到可写可控目录
79
80	## 报告输出
81	输出到：
82	```
83	{output_path}/vuln_audit/write_{timestamp}.md
84	```
85
86	## 漏洞条目模板（强制）
87	每条漏洞必须遵循以下结构（不得省略）：
88
89	```markdown
90	### [{等级前缀}-WRITE-{序号}] 任意文件写入（路径穿越到落点/写入链）风险
91
92	\| 项目 \| 信息 \|
93	\|------\|------\|
94	\| 严重等级 \| {🔴/🟠/🟡/🔵} (CVSS {score}) \|
95	\| 可达性 (R) \| {0-3} - {理由} \|
96	\| 影响范围 (I) \| {0-3} - {理由} \|
97	\| 利用复杂度 (C) \| {0-3} - {理由} \|
98	\| 可利用性 \| ✅ 已确认 / ⚠️ 待验证 / ❌ 不可利用 / 🔍 环境依赖 \|
99	\| 位置 \| {file}:{line} ({Function/Class}) \|
100
101	#### 数据流链（Source -> Path Transform -> Content Transform -> Sink）
102	（逐行写出：用户输入进入 destination/path 的链路、归一化/净化/realpath 约束检查 -> 最终 resolved target -> 用户输入进入写入内容 data 的链路 -> 进入写入函数参数位置 -> 是否覆盖/截断 -> 写入调用点）
103
104	#### 可利用前置条件
105	- 鉴权要求：{无需/需登录/需特定权限}
106	- 输入可控性：{完全可控/条件可控/不可控}
107	- 触发条件：{分支/异常路径/需要特定服务器文件权限/需要落到可执行目录}
108
109	#### 证据引用（强制：来自 php-route-tracer）
110	必须逐项引用：
111	- `EVID_WRITE_WRITE_CALLSITE`：{证据点简述（包括 file:line）}
112	- `EVID_WRITE_DESTPATH_JOIN_AND_NORMALIZATION`：{证据点简述}
113	- `EVID_WRITE_DESTPATH_RESOLVED_TARGET`：{证据点简述}
114	- `EVID_WRITE_CONTENT_SOURCE_INTO_WRITE`：{证据点简述}
115	- `EVID_WRITE_TRUNCATE_OR_OVERWRITE_MODE`：{证据点简述}
116	- `EVID_WRITE_EXECUTION_ACCESSIBILITY_PROOF`：{证据点简述}
117
118	#### 验证 PoC（强制：可执行或可观测验证框架）
119	```http
120	{HTTP Method} {真实路由与完整参数} HTTP/1.1
121	Host: {host}
122	{必要 Header/Session/JWT/Cookie}
123
124	{Payload}
125	```
126
127	PoC 输出/观察点（必须写清楚）：
128	- 写入目标文件是否在 Web 可访问位置出现（或是否可通过后续业务逻辑包含/读取到）
129	- 若写入的是 PHP：观察是否可触发代码执行（或至少观察文件内容回显/下载成功）
130
131	#### 建议修复
132	- 以“最终 resolved target 是否在允许 base 目录内”为准，强制 `realpath + 前缀校验`
133	- 严格限制可写目录（allowlist），并避免把用户输入直接拼到文件路径
134	- 对写入内容做类型约束：禁止写入可执行脚本到可执行目录；对内容进行不可执行化（如仅允许序列化数据格式）
135	- 覆盖策略上避免以 `'w'/'x'` 直接覆盖敏感文件；对同名冲突做安全拒绝
136	- 给出代码搜索语句（`rg`）：定位所有写入 API 与路径 join 点
137	```
138
139	## PoC/修复建议搜索语句（强制提供参考）
140	- 写入 API：
141	- `rg -n "file_put_contents\\(\|fwrite\\(\|fopen\\(\|stream_write\\(\|rename\\(\|copy\\(\|ftruncate\\(\|error_log\\(" .`
142	- 路径拼接/归一化（常见变量名仅作提示，最终以项目为准）：
143	- `rg -n "realpath\\(\|canonicalize\\(\|\\.\\.\\/\|\\.\\.\\\\\|allowlist\|baseDir\|dest(path)?\|target(path)?\|mkdir\\(" .`

People who liked this also viewed

6 picks

Type

php-file-write-audit

55installs36forks

View on GitHub

How to install php-file-write-audit?

0xshe/php-code-audit-skill/php-file-write-audit

$npx -y skills add 0xShe/PHP-Code-Audit-Skill --skill php-file-write-audit

Installs into the current project.

Summary

Files · 1

View on GitHub

SKILL.md

1	# PHP 任意文件写入审计（php-file-write-audit）
2
3	分析 PHP 项目源码中“将数据写入磁盘文件”的实现逻辑，重点覆盖：
4
5	- 任意落点写入：写入目标路径可被攻击者控制（含路径穿越到落点）
6	- 写入内容可控：写入的文件内容来源于用户输入（为后续 RCE/覆写创造条件）
7	- 覆盖/截断模式：是否以 `w/x` 等覆盖方式写入，或会产生可利用的同名冲突覆盖
8
9	## 分级与编号
10	- 详见：`shared/SEVERITY_RATING.md`
11	- 漏洞编号：`{C/H/M/L}-WRITE-{序号}`
12
13	## WRITE Sink（必做）
14	识别并追踪以下写入/落点变更相关函数/语句（按项目实际出现情况选取）：
15
16	- 直接写入：
17	- `file_put_contents({path}, {data})`
18	- `fwrite($handle, {data})`（通常配合 `fopen($path, 'w'\|'ab'\|'x'\|...)`）
19	- `stream_write($stream, {data})` / `fputs($handle, {data})`
20	- 打开并写入（覆盖/截断）：
21	- `fopen($path, 'w'\|'x'\|'a'\|'ab'\|'wb'\|...)`
22	- `ftruncate($handle, {size})`（若路径由用户控制或与路径拼接链路相关）
23	- 重命名/复制导致的落点变更（可形成“写入落点”）：
24	- `rename($src, $dest)`
25	- `copy($src, $dest)`
26	- `move_uploaded_file($tmp, $dest)`（若不是纯 UPLOAD 场景，且核心风险是落点/路径可控）
27	- 日志落点写入（可选，但按你项目风险选择启用）：
28	- `error_log($message, 3, $destination)`（message_type=3 时 destination 为文件）
29
30	## 路径穿越到写入落点检测（必做）
31	必须分析并给出证据化判断（不能只写“可能”）：
32
33	1. 路径拼接与归一化链路
34	- base 目录（如 `$baseDir` / `$uploadDir` / `$dataDir`）如何与用户输入 join（`$base.$user` / `sprintf` / `join` / 数组路径字段拼接）
35	- 是否进行目录净化/拒绝穿越片段（`../`、`..\\`、混合分隔符、Windows 盘符、绝对路径、尾部空白等）
36	- 是否使用 `realpath/canonicalize` 以及“最终 resolved 是否仍在 base 前缀下”的前缀校验
37
38	2. 写入落点最终解析结果
39	- 写入前的目标路径字符串是否会因为 wrapper/符号链接/realpath 解析而改变最终落点
40	- 最终 `resolved target` 是否逃逸 base 约束（逃逸则倾向落点可控）
41
42	## 写入内容可控性与覆盖策略（必做）
43	必须追踪并输出（链路逐步写出）：
44
45	1. 写入内容来源
46	- `{data}/{content}` 参数是否来自用户可控输入（GET/POST/JSON/COOKIE/上传字段等）
47	- 是否存在 decode/拼接/模板化/编码步骤后仍可控
48
49	2. 覆盖/截断模式
50	- 写入模式是否为覆盖（`fopen(...,'w'\|'x')` 等）或明确允许覆盖同名文件
51	- 是否存在基于模式的条件分支（某些分支才覆盖、某些分支只追加等）
52
53	## 写入后的可执行性/可触达性评估（必做）
54	由于文件写入常直接导致 RCE，本 skill 必须输出“写完之后能不能被执行/访问”的可证据判断（禁止省略）：
55
56	- 若写入的是 PHP/可执行脚本：检查扩展名/解析路径（如最终落点以 `.php` 结尾，或写入的内容被包含/解析）
57	- 若落点位于 Web 根目录或应用可包含目录：输出静态映射证据（例如 dest 指向 `public/`、`www/` 或框架模板/配置目录）
58	- 若存在“执行禁用策略”（例如目录不执行 PHP、或服务端配置禁止执行）：输出对应证据与缺失提示
59
60	## tracer 证据引用（强制：来自 php-route-tracer）
61	每条 WRITE 疑似漏洞必须逐项引用 trace 输出中 `## 9) Sink Evidence Type Checklist` 的 WRITE 行对应证据要点（允许状态为待验证，但证据引用必须存在）：
62
63	1. `EVID_WRITE_WRITE_CALLSITE`：写入/落点变更的调用点位置证据（file_put_contents/fwrite/fopen('w')/rename/copy 等）
64	2. `EVID_WRITE_DESTPATH_JOIN_AND_NORMALIZATION`：目的路径拼接与归一化证据（base join、净化/拒绝穿越片段、realpath 前缀校验等）
65	3. `EVID_WRITE_DESTPATH_RESOLVED_TARGET`：最终解析落点（resolved target）证据（是否逃逸 base）
66	4. `EVID_WRITE_CONTENT_SOURCE_INTO_WRITE`：写入内容参数与用户可控输入的映射证据
67	5. `EVID_WRITE_TRUNCATE_OR_OVERWRITE_MODE`：覆盖/截断/追加模式证据（写入模式或覆盖策略）
68	6. `EVID_WRITE_EXECUTION_ACCESSIBILITY_PROOF`：写完后的可执行性/可触达性证据（web 根/可包含目录/执行禁用策略等）
69
70	## tracer 证据缺失处理（强制）
71	- 若 trace 的 `## 9) Sink Evidence Type Checklist`（WRITE 行）中任一关键证据要点缺失或无法对应到本条漏洞：该条漏洞状态只能标记为 `⚠️待验证`（不得直接给出 `✅已确认可利用`）。
72
73	## tracer 触发条件（必做）
74	至少满足其一，且必须依赖 trace 验证 sink 存在：
75
76	- 写入目标路径经过多层函数/对象属性/JSON 字段传递后到达写入函数
77	- 写入内容（data/content）经过 decode/拼接后仍可控
78	- 存在分支逻辑导致仅部分情况下会覆盖/截断/落到可写可控目录
79
80	## 报告输出
81	输出到：
82	```
83	{output_path}/vuln_audit/write_{timestamp}.md
84	```
85
86	## 漏洞条目模板（强制）
87	每条漏洞必须遵循以下结构（不得省略）：
88
89	```markdown
90	### [{等级前缀}-WRITE-{序号}] 任意文件写入（路径穿越到落点/写入链）风险
91
92	\| 项目 \| 信息 \|
93	\|------\|------\|
94	\| 严重等级 \| {🔴/🟠/🟡/🔵} (CVSS {score}) \|
95	\| 可达性 (R) \| {0-3} - {理由} \|
96	\| 影响范围 (I) \| {0-3} - {理由} \|
97	\| 利用复杂度 (C) \| {0-3} - {理由} \|
98	\| 可利用性 \| ✅ 已确认 / ⚠️ 待验证 / ❌ 不可利用 / 🔍 环境依赖 \|
99	\| 位置 \| {file}:{line} ({Function/Class}) \|
100
101	#### 数据流链（Source -> Path Transform -> Content Transform -> Sink）
102	（逐行写出：用户输入进入 destination/path 的链路、归一化/净化/realpath 约束检查 -> 最终 resolved target -> 用户输入进入写入内容 data 的链路 -> 进入写入函数参数位置 -> 是否覆盖/截断 -> 写入调用点）
103
104	#### 可利用前置条件
105	- 鉴权要求：{无需/需登录/需特定权限}
106	- 输入可控性：{完全可控/条件可控/不可控}
107	- 触发条件：{分支/异常路径/需要特定服务器文件权限/需要落到可执行目录}
108
109	#### 证据引用（强制：来自 php-route-tracer）
110	必须逐项引用：
111	- `EVID_WRITE_WRITE_CALLSITE`：{证据点简述（包括 file:line）}
112	- `EVID_WRITE_DESTPATH_JOIN_AND_NORMALIZATION`：{证据点简述}
113	- `EVID_WRITE_DESTPATH_RESOLVED_TARGET`：{证据点简述}
114	- `EVID_WRITE_CONTENT_SOURCE_INTO_WRITE`：{证据点简述}
115	- `EVID_WRITE_TRUNCATE_OR_OVERWRITE_MODE`：{证据点简述}
116	- `EVID_WRITE_EXECUTION_ACCESSIBILITY_PROOF`：{证据点简述}
117
118	#### 验证 PoC（强制：可执行或可观测验证框架）
119	```http
120	{HTTP Method} {真实路由与完整参数} HTTP/1.1
121	Host: {host}
122	{必要 Header/Session/JWT/Cookie}
123
124	{Payload}
125	```
126
127	PoC 输出/观察点（必须写清楚）：
128	- 写入目标文件是否在 Web 可访问位置出现（或是否可通过后续业务逻辑包含/读取到）
129	- 若写入的是 PHP：观察是否可触发代码执行（或至少观察文件内容回显/下载成功）
130
131	#### 建议修复
132	- 以“最终 resolved target 是否在允许 base 目录内”为准，强制 `realpath + 前缀校验`
133	- 严格限制可写目录（allowlist），并避免把用户输入直接拼到文件路径
134	- 对写入内容做类型约束：禁止写入可执行脚本到可执行目录；对内容进行不可执行化（如仅允许序列化数据格式）
135	- 覆盖策略上避免以 `'w'/'x'` 直接覆盖敏感文件；对同名冲突做安全拒绝
136	- 给出代码搜索语句（`rg`）：定位所有写入 API 与路径 join 点
137	```
138
139	## PoC/修复建议搜索语句（强制提供参考）
140	- 写入 API：
141	- `rg -n "file_put_contents\\(\|fwrite\\(\|fopen\\(\|stream_write\\(\|rename\\(\|copy\\(\|ftruncate\\(\|error_log\\(" .`
142	- 路径拼接/归一化（常见变量名仅作提示，最终以项目为准）：
143	- `rg -n "realpath\\(\|canonicalize\\(\|\\.\\.\\/\|\\.\\.\\\\\|allowlist\|baseDir\|dest(path)?\|target(path)?\|mkdir\\(" .`

People who liked this also viewed

6 picks

Type