php-filesystem-audit

Name: php-filesystem-audit
Author: 0xShe

53installs36forks

How to install php-filesystem-audit?

0xshe/php-code-audit-skill/php-filesystem-audit

$npx -y skills add 0xShe/PHP-Code-Audit-Skill --skill php-filesystem-audit

Installs into the current project.

Summary

--- name: php-filesystem-audit description: PHP 文件系统操作审计工具。聚焦 mkdir/chmod/chown/unlink/rmdir/link/symlink/readlink/touch/权限与 TOCTOU 等操作的安全风险，为路径校验绕过与写入链利用提供“可利用性增强证据”（不替代 FILE/UPLOAD/WRITE 等 sink 子审计）。 ---

Files · 1

View on GitHub

SKILL.md

1	# PHP 文件系统操作审计（php-filesystem-audit）
2
3	分析 PHP 项目中对文件系统的关键操作，特别关注这些操作如何与：
4
5	- 路径校验/归一化失败（目录遍历、basePath 缺失）
6	- 落点写入/读取/包含链路
7	- 写后触发（可执行性、可包含性）
8	- 竞争条件（TOCTOU）
9
10	发生联动，从而提升真实利用可能性。
11
12	## 覆盖范围（必做）
13	必须覆盖并输出“证据点 + 风险解释 + 可利用性判断”的点：
14
15	### 1) 创建/目录操作
16	- `mkdir($path, $mode, $recursive)`
17	- `rmdir($path)`
18	- `touch($path)`
19	- `tmpfile()` / `tempnam()`
20	- 框架封装的目录创建（如 `Storage::put`/`ensureDirectory` 的底层封装，若识别得到）
21
22	### 2) 权限/所有权变更（常用于提权链或绕过执行策略）
23	- `chmod/chown/chgrp`
24	- `umask`
25
26	### 3) 链接与重定向落点（常见 symlink/hardlink 绕过）
27	- `symlink($target, $link)`
28	- `link($target, $link)`
29	- `readlink($path)`
30
31	### 4) 删除与清理（结合 TOCTOU 或覆盖链）
32	- `unlink($path)`
33	- `unlink/rename` 变体删除
34	- `rename($src, $dest)`（用于落点变更时需特别关注 TOCTOU）
35	- `copy/move` 变体（当作为“落点准备步骤”出现）
36
37	### 5) 路径竞态与 TOCTOU（必须单独审计）
38	对“检查-使用分离”的代码模式给出判定：
39	- 是否存在 `if (realpath/canonicalize + 前缀校验)` 后又在某个分支/异常处理里重复 join/open/write（路径可能变化）
40	- 是否存在先判断可写/再写入、先检查再执行文件操作
41	- 是否存在符号链接解析/不一致解析（检查时与实际打开时 resolved path 不一致）
42
43	## 关键输出要求（强制）
44	每条发现必须包含：
45
46	1. 位置证据：文件路径与函数/调用点（尽量带行号；找不到行号则标注待定位）
47	2. 操作类型：创建/权限/链接/删除/重命名/拷贝等
48	3. 路径控制来源：路径参数来自 GET/POST/SESSION/配置还是硬编码
49	4. 跟链路的关系（必须至少选一条说明）：
50	- 与 `WRITE`/`UPLOAD` 落点可执行性或可包含性关联
51	- 与 `FILE`（读取/包含）或 `ARCHIVE`（解压落点）关联
52	- 与鉴权/资源归属关联（例如仅管理员目录有写权限但绕过）
53	- 与 TOCTOU 竞态关联（检查点 -> 使用点之间路径可能被替换）
54	5. 可利用性判断：
55	- ✅ 已确认：能证明利用链的关键前置条件由此文件系统操作提供（或与 WRITE/UPLOAD/FILE 的证据形成闭环）
56	- ⚠️ 待验证：存在风险，但缺少某个关键前置条件或 trace/解析证据不足
57	- ❌ 不可利用：有强约束（baseDir allowlist 生效、resolved path 一致性保护、权限固定且无法更改、竞态窗口被消除）
58	- 🔍 环境依赖：需依赖特定文件系统/权限/并发时序/服务端目录结构
59
60	6. 可触发性约束（强制）：
61	- 仅对“能够被具体 HTTP 路由/入口触发”的文件系统操作生成漏洞条目，并且必须能提供真实路由与完整参数用于 PoC。
62	- 若无法定位具体路由入口（如纯后台任务/定时任务/命令行工具且入口不可追踪），该 FS 风险只能在报告中标注“未能定位入口，跳过条目生成（待人工补齐触发路径）”，不得仍按漏洞条目模板强行输出不可执行 PoC。
63
64	## 报告输出
65	输出到：
66	```
67	{output_path}/vuln_audit/fs_{timestamp}.md
68	```
69
70	## 漏洞编号规范（建议：FS）
71	- 详见：`shared/SEVERITY_RATING.md`
72	- 漏洞编号：`{C/H/M/L}-FS-{序号}`
73
74	## 漏洞条目模板（强制）
75	每条发现必须遵循以下结构（不得省略）：
76
77	```markdown
78	### [{等级前缀}-FS-{序号}] 文件系统操作链风险（权限/链接/删除/TOCTOU/路径控制）
79
80	\| 项目 \| 信息 \|
81	\|------\|------\|
82	\| 严重等级 \| {🔴/🟠/🟡/🔵} (CVSS {score}) \|
83	\| 可达性 (R) \| {0-3} - {理由} \|
84	\| 影响范围 (I) \| {0-3} - {理由} \|
85	\| 利用复杂度 (C) \| {0-3} - {理由} \|
86	\| 可利用性 \| ✅ 已确认 / ⚠️ 待验证 / ❌ 不可利用 / 🔍 环境依赖 \|
87	\| 位置 \| {file}:{line} ({Function/Class}) \|
88
89	#### 数据流链（Source → Path Control → FS Operation → Chain Influence）
90	（逐行写出：用户/上下文输入如何进入路径控制变量、是否经过 realpath/canonicalize 及前缀校验、最终如何落到 mkdir/chown/symlink/unlink/rename/等文件系统操作参数、以及该文件系统操作如何影响后续链路能力：WRITE/UPLOAD/FILE/ARCHIVE/CMD/TPL/EXPR/DESER 等）
91
92	#### 可利用前置条件
93	- 鉴权要求：{无需/需登录/需特定权限}
94	- 输入可控性：{完全可控/条件可控/不可控}
95	- 触发条件：{分支/异常路径/需要特定文件系统权限/需要竞态窗口/需要特定目录结构}
96	- 链路承接：{它如何为其它 sink 类别提供“可利用性增强”说明（写入落点/可包含性/权限提升/绕过执行策略/触发竞态）}
97
98	#### 验证 PoC（强制：可观测验证框架）
99	```http
100	{HTTP Method} {真实路由与完整参数} HTTP/1.1
101	Host: {host}
102	{必要 Header/Session/JWT/Cookie}
103
104	{Payload}
105	```
106
107	PoC 输出/观察点（必须写清楚）：
108	1. 由该 FS 操作造成的文件系统状态变化是否可观测（例如：目标路径下文件创建/权限变化/链接指向变化/删除结果/最终落点存在性）。
109	2. 若为 TOCTOU：展示“检查点与使用点 resolved path 不一致/窗口可被利用”的可观测现象（例如并发触发导致最终落点改变）。
110
111	#### 证据引用（强制：来自源码片段）
112	必须至少包含三段与定位对应的证据片段（可以直接在文本中复述关键行）：
113	1. FS 操作调用点（mkdir/chmod/chown/symlink/unlink/rename 等）及参数位置（file:line）
114	2. 路径校验/归一化逻辑（realpath/canonicalize/baseDir 前缀校验）及其与 FS 操作之间的关系（同一函数内或跨函数）
115	3. 路径控制来源（GET/POST/SESSION/配置硬编码等）及其传递链
116
117	#### 建议修复
118	- 路径校验与实际使用必须绑定到同一个 resolved target：`realpath`/canonicalize 后用同一个值进行 open/rename/write（避免 TOCTOU）
119	- 禁止对可被攻击者影响的路径进行“先校验后使用”的拆分；若必须拆分，应在同一系统调用/同一文件描述符上下文内完成
120	- 对 symlink/hardlink：在目标落点启用防链接策略（平台支持时禁用跟随符号链接，或基于 inode/文件描述符校验一致性）
121	- 权限变更必须最小化并确保不可由用户影响；避免攻击者能控制 `chmod/chown` 的路径
122
123	#### 代码搜索语句（强制）
124	```text
125	rg -n "(mkdir\\(\|rmdir\\(\|touch\\(\|tmpfile\\(\|tempnam\\(\|chmod\\(\|chown\\(\|chgrp\\(\|symlink\\(\|readlink\\(\|link\\(\|unlink\\(\|rename\\(\|copy\\(\|symlink\\()" .
126	rg -n "(realpath\\(\|canonicalize\\(\|dirname\\(\|basename\\(\|baseDir\|dest(path)?\|target(path)?)" .
127	```
128
129	## 修复建议（强制要点）
130	- 路径校验与实际使用必须绑定到同一个 resolved target：`realpath`/canonicalize 后用同一个值进行 open/rename/write（避免 TOCTOU）
131	- 禁止对可被攻击者影响的路径进行“先校验后使用”的拆分；若必须拆分，应在同一系统调用/同一文件描述符上下文内完成
132	- 对 symlink/hardlink：在目标落点上启用防链接策略（平台支持时禁用跟随符号链接，或基于 inode/文件描述符校验一致性）
133	- 权限变更必须最小化并确保不可由用户影响；避免攻击者能控制 `chmod/chown` 的路径

People who liked this also viewed

6 picks

Type

php-filesystem-audit

53installs36forks

View on GitHub

How to install php-filesystem-audit?

0xshe/php-code-audit-skill/php-filesystem-audit

$npx -y skills add 0xShe/PHP-Code-Audit-Skill --skill php-filesystem-audit

Installs into the current project.

Summary

Files · 1

View on GitHub

SKILL.md

1	# PHP 文件系统操作审计（php-filesystem-audit）
2
3	分析 PHP 项目中对文件系统的关键操作，特别关注这些操作如何与：
4
5	- 路径校验/归一化失败（目录遍历、basePath 缺失）
6	- 落点写入/读取/包含链路
7	- 写后触发（可执行性、可包含性）
8	- 竞争条件（TOCTOU）
9
10	发生联动，从而提升真实利用可能性。
11
12	## 覆盖范围（必做）
13	必须覆盖并输出“证据点 + 风险解释 + 可利用性判断”的点：
14
15	### 1) 创建/目录操作
16	- `mkdir($path, $mode, $recursive)`
17	- `rmdir($path)`
18	- `touch($path)`
19	- `tmpfile()` / `tempnam()`
20	- 框架封装的目录创建（如 `Storage::put`/`ensureDirectory` 的底层封装，若识别得到）
21
22	### 2) 权限/所有权变更（常用于提权链或绕过执行策略）
23	- `chmod/chown/chgrp`
24	- `umask`
25
26	### 3) 链接与重定向落点（常见 symlink/hardlink 绕过）
27	- `symlink($target, $link)`
28	- `link($target, $link)`
29	- `readlink($path)`
30
31	### 4) 删除与清理（结合 TOCTOU 或覆盖链）
32	- `unlink($path)`
33	- `unlink/rename` 变体删除
34	- `rename($src, $dest)`（用于落点变更时需特别关注 TOCTOU）
35	- `copy/move` 变体（当作为“落点准备步骤”出现）
36
37	### 5) 路径竞态与 TOCTOU（必须单独审计）
38	对“检查-使用分离”的代码模式给出判定：
39	- 是否存在 `if (realpath/canonicalize + 前缀校验)` 后又在某个分支/异常处理里重复 join/open/write（路径可能变化）
40	- 是否存在先判断可写/再写入、先检查再执行文件操作
41	- 是否存在符号链接解析/不一致解析（检查时与实际打开时 resolved path 不一致）
42
43	## 关键输出要求（强制）
44	每条发现必须包含：
45
46	1. 位置证据：文件路径与函数/调用点（尽量带行号；找不到行号则标注待定位）
47	2. 操作类型：创建/权限/链接/删除/重命名/拷贝等
48	3. 路径控制来源：路径参数来自 GET/POST/SESSION/配置还是硬编码
49	4. 跟链路的关系（必须至少选一条说明）：
50	- 与 `WRITE`/`UPLOAD` 落点可执行性或可包含性关联
51	- 与 `FILE`（读取/包含）或 `ARCHIVE`（解压落点）关联
52	- 与鉴权/资源归属关联（例如仅管理员目录有写权限但绕过）
53	- 与 TOCTOU 竞态关联（检查点 -> 使用点之间路径可能被替换）
54	5. 可利用性判断：
55	- ✅ 已确认：能证明利用链的关键前置条件由此文件系统操作提供（或与 WRITE/UPLOAD/FILE 的证据形成闭环）
56	- ⚠️ 待验证：存在风险，但缺少某个关键前置条件或 trace/解析证据不足
57	- ❌ 不可利用：有强约束（baseDir allowlist 生效、resolved path 一致性保护、权限固定且无法更改、竞态窗口被消除）
58	- 🔍 环境依赖：需依赖特定文件系统/权限/并发时序/服务端目录结构
59
60	6. 可触发性约束（强制）：
61	- 仅对“能够被具体 HTTP 路由/入口触发”的文件系统操作生成漏洞条目，并且必须能提供真实路由与完整参数用于 PoC。
62	- 若无法定位具体路由入口（如纯后台任务/定时任务/命令行工具且入口不可追踪），该 FS 风险只能在报告中标注“未能定位入口，跳过条目生成（待人工补齐触发路径）”，不得仍按漏洞条目模板强行输出不可执行 PoC。
63
64	## 报告输出
65	输出到：
66	```
67	{output_path}/vuln_audit/fs_{timestamp}.md
68	```
69
70	## 漏洞编号规范（建议：FS）
71	- 详见：`shared/SEVERITY_RATING.md`
72	- 漏洞编号：`{C/H/M/L}-FS-{序号}`
73
74	## 漏洞条目模板（强制）
75	每条发现必须遵循以下结构（不得省略）：
76
77	```markdown
78	### [{等级前缀}-FS-{序号}] 文件系统操作链风险（权限/链接/删除/TOCTOU/路径控制）
79
80	\| 项目 \| 信息 \|
81	\|------\|------\|
82	\| 严重等级 \| {🔴/🟠/🟡/🔵} (CVSS {score}) \|
83	\| 可达性 (R) \| {0-3} - {理由} \|
84	\| 影响范围 (I) \| {0-3} - {理由} \|
85	\| 利用复杂度 (C) \| {0-3} - {理由} \|
86	\| 可利用性 \| ✅ 已确认 / ⚠️ 待验证 / ❌ 不可利用 / 🔍 环境依赖 \|
87	\| 位置 \| {file}:{line} ({Function/Class}) \|
88
89	#### 数据流链（Source → Path Control → FS Operation → Chain Influence）
90	（逐行写出：用户/上下文输入如何进入路径控制变量、是否经过 realpath/canonicalize 及前缀校验、最终如何落到 mkdir/chown/symlink/unlink/rename/等文件系统操作参数、以及该文件系统操作如何影响后续链路能力：WRITE/UPLOAD/FILE/ARCHIVE/CMD/TPL/EXPR/DESER 等）
91
92	#### 可利用前置条件
93	- 鉴权要求：{无需/需登录/需特定权限}
94	- 输入可控性：{完全可控/条件可控/不可控}
95	- 触发条件：{分支/异常路径/需要特定文件系统权限/需要竞态窗口/需要特定目录结构}
96	- 链路承接：{它如何为其它 sink 类别提供“可利用性增强”说明（写入落点/可包含性/权限提升/绕过执行策略/触发竞态）}
97
98	#### 验证 PoC（强制：可观测验证框架）
99	```http
100	{HTTP Method} {真实路由与完整参数} HTTP/1.1
101	Host: {host}
102	{必要 Header/Session/JWT/Cookie}
103
104	{Payload}
105	```
106
107	PoC 输出/观察点（必须写清楚）：
108	1. 由该 FS 操作造成的文件系统状态变化是否可观测（例如：目标路径下文件创建/权限变化/链接指向变化/删除结果/最终落点存在性）。
109	2. 若为 TOCTOU：展示“检查点与使用点 resolved path 不一致/窗口可被利用”的可观测现象（例如并发触发导致最终落点改变）。
110
111	#### 证据引用（强制：来自源码片段）
112	必须至少包含三段与定位对应的证据片段（可以直接在文本中复述关键行）：
113	1. FS 操作调用点（mkdir/chmod/chown/symlink/unlink/rename 等）及参数位置（file:line）
114	2. 路径校验/归一化逻辑（realpath/canonicalize/baseDir 前缀校验）及其与 FS 操作之间的关系（同一函数内或跨函数）
115	3. 路径控制来源（GET/POST/SESSION/配置硬编码等）及其传递链
116
117	#### 建议修复
118	- 路径校验与实际使用必须绑定到同一个 resolved target：`realpath`/canonicalize 后用同一个值进行 open/rename/write（避免 TOCTOU）
119	- 禁止对可被攻击者影响的路径进行“先校验后使用”的拆分；若必须拆分，应在同一系统调用/同一文件描述符上下文内完成
120	- 对 symlink/hardlink：在目标落点启用防链接策略（平台支持时禁用跟随符号链接，或基于 inode/文件描述符校验一致性）
121	- 权限变更必须最小化并确保不可由用户影响；避免攻击者能控制 `chmod/chown` 的路径
122
123	#### 代码搜索语句（强制）
124	```text
125	rg -n "(mkdir\\(\|rmdir\\(\|touch\\(\|tmpfile\\(\|tempnam\\(\|chmod\\(\|chown\\(\|chgrp\\(\|symlink\\(\|readlink\\(\|link\\(\|unlink\\(\|rename\\(\|copy\\(\|symlink\\()" .
126	rg -n "(realpath\\(\|canonicalize\\(\|dirname\\(\|basename\\(\|baseDir\|dest(path)?\|target(path)?)" .
127	```
128
129	## 修复建议（强制要点）
130	- 路径校验与实际使用必须绑定到同一个 resolved target：`realpath`/canonicalize 后用同一个值进行 open/rename/write（避免 TOCTOU）
131	- 禁止对可被攻击者影响的路径进行“先校验后使用”的拆分；若必须拆分，应在同一系统调用/同一文件描述符上下文内完成
132	- 对 symlink/hardlink：在目标落点上启用防链接策略（平台支持时禁用跟随符号链接，或基于 inode/文件描述符校验一致性）
133	- 权限变更必须最小化并确保不可由用户影响；避免攻击者能控制 `chmod/chown` 的路径

People who liked this also viewed

6 picks

Type