SyntaxFlow 检测 SQL 注入的规则解释

1. _GET.* as $params;
   
这行代码的意图是从 PHP 的全局 $_GET 数组中获取所有参数，并将这些参数存储到一个名为 $params 的变量中。在实际的 PHP 代码中，这通常是通过遍历 $_GET 数组完成的。
2. $params --> * as $sink:
这条指令可能意味着将 $params 中的数据流向任何可能的“汇点”（sink），这里的“汇点”指的是数据可能被用于敏感操作的地方，如数据库查询。$sink 变量代表这些潜在的危险使用点。
3. $sink<dataflow(<<<CODE

这部分开始定义一个数据流查询，用来跟踪 $sink 中的数据流.<<<CODE 表示接下来是一段内嵌的代码或查询。
4. *?{opcode: call && <getCaller><name>?{have: mysqli_real_escape_string }} as $__next__
   这段查询检测任何函数调用(opcode:call)，并且特别查找调用者名称中包含 mysqli_real_escape_string 的情况。如果存在这样的函数调用，这个调用点被存储为 $__next__。
5. CODE)> as $filtered;

这表示上述代码块的结束。查询的结果，即所有经过 mysqli_real_escape_string 处理的数据点，被存储在变量 $filtered 中。
6. $sink - $filtered as $vuln
这行代码从 $sink 中排除那些已经被标记为 $filtered 的数据点。换句话说，它寻找那些潜在未经过滤直接用于敏感操作的数据点，并将这些点存储在$vuln 中。
7. alert $vuln
   最后，这行代码发出警告或报告关于 $vuln 的信息，即所有潜在的未经过滤的危险数据使用点。

这段代码是用于静态代码分析，特别是用来检测和报告潜在的 SQL 注入漏洞。它通过跟踪从用户输入到可能的敏感操作的数据流，并检查这些数据是否经过了适当的过滤（如使用 mysqli_real_escape_string），来帮助识别和预防安全风险。这种分析对于确保 Web 应用的安全性至关重要。

SyntaxFlow 的新语法：NativeCall 与 <dataflow>

SyntaxFlow 的高级关键特性之一是使用 NativeCall 函数，这些函数是预先定义的，可在语言内部提供各种实用功能。本教程将介绍 NativeCall 函数的概念，解释其用法，并提供可用函数的完整列表及其描述。

NativeCall 是预封装的函数，可调用以对代码中的值执行特定操作。这些函数用于操作、检查和转换数据结构，促进高级代码分析和转换任务。

SPEC: NativeCall 语法定义

<nativeCallName(arg1, argName="value", ...)>

• <：标记 NativeCall 的开始。
• nativeCallName：要使用的 NativeCall 函数名称。
• (...)：包含函数参数的圆括号。
• >：标记 NativeCall 的结束。

其完整的 eBNF 描述为：

nativeCall    : '<' useNativeCall '>'    ;
useNativeCall    : identifier useDefCalcParams?    ;
useDefCalcParams    : '{' nativeCallActualParams? '}'    | '(' nativeCallActualParams? ')'    ;
nativeCallActualParams    : lines? nativeCallActualParam (',' lines? nativeCallActualParam)* ','? lines?    ;
nativeCallActualParam    : (nativeCallActualParamKey (':' | '='))?  nativeCallActualParamValue    ;
nativeCallActualParamKey    : identifier    ;
nativeCallActualParamValue    : identifier | numberLiteral | '`' ~'`'* '`' | '$' identifier | hereDoc    ;

NativeCall 中的 <dataflow> 支持路径检测

<dataflow> 是一个高级的 NativeCall 函数，用于在代码中进行数据流分析。它的参数是一段专门用于检查特定变量的数据流路径的代码。这段代码帮助识别和过滤数据流路径，从而发现潜在的安全漏洞。为了确保分析的准确性，进入 <dataflow> 的变量必须至少经过 Use-Def 运算符的处理，这样可以确保变量的来源和使用都被妥善追踪和记录。

示例代码解释

_GET.* as $params;$params --> * as $sink;$sink<dataflow(<<<CODE*?{opcode: call && <getCaller><name>?{have: mysqli_real_escape_string }} as $__next__CODE)> as $filtered;$sink - $filtered as $vuln;alert $vuln;

<<<CODE 与 CODE 语法

<<<CODE 到 CODE 的语法类似于 PHP 中的HereDoc 语法。它用于定义一个多行的字符串或代码块，在 <dataflow> 的上下文中，这种语法用于编写复杂的查询逻辑。<<<CODE 标记代码块的开始，而 CODE 标记代码块的结束。这允许开发者在 NativeCall 函数中嵌入较长或较复杂的代码片段。

$__next__ 变量的作用

在 <<<CODE 块中定义的查询逻辑中，$__next__ 是一个特殊的变量，用于存储满足查询条件的代码点。在上述示例中，任何调用 mysqli_real_escape_string 函数的地方都会被捕获并赋值给 $__next__。如果 $__next__ 不为空，即存在至少一个满足条件的点，那么当前路径对应的点将会被保留。这种机制允许 <dataflow> 分析函数细致地筛选和确定哪些数据流路径是安全的，哪些可能包含潜在的安全风险。

我们通过数据流路径敏感技术分析了 SQL 注入漏洞的检测，并介绍了高级的 SyntaxFlow 规则。虽然我们探索了基础的数据流分析方法，这些方法有效地帮助我们识别和防范常见的安全漏洞如 SQL 注入，然而我们所展示的仅是冰山一角，SyntaxFlow 的能力远超这些基础示例，它能够应对更加复杂和隐蔽的代码场景。

为了激发读者对学习更多高级 SyntaxFlow 规则的兴趣，我们提供了一个更为复杂的规则示例，这个示例使用 SyntaxFlow 内置的输入点识别并且可以检测常见的 php 过滤函数，可以直接按不同级别找到不同风险的 SQL 注入漏洞，可以在一条规则中识别多种模式的 SQL 注入情况：

desc(    title: "mysql inject",    type: audit,    level: low,)<include('php-param')> as $params;<include('php-filter-function')> as $filter;
mysql_query(* as $query);$query #{    until: `* & $params`,}-> as $root;$root?{!<dataflow(<<<CODE*?{opcode: call} as $__next__;CODE)>} as $result;alert $result for {    title: "Direct mysql injection",    title_zh: "直接的mysql注入不经过任何过滤",    type: 'vuln',    level: 'high',};
$root?{<dataflow(<<<CODE*?{opcode: call && <self> & $filter} as $__next__;
CODE)>} as $filter_result;
alert $filter_result for {    title: 'Filtered sql injection, filter function detected',    title_zh: '经过过滤的sql注入，检测到过滤函数',    type: 'low',    level: 'low'};
$root?{<dataflow(<<<CODE*?{opcode: call && !<self> & $filter} as $__next__;CODE)>} as $seem_filter;
alert $seem_filter for {    title: 'Filtered sql injection, but no filter function detected',    title_zh: '经过过滤的sql注入，但未检测到过滤函数',    type: 'mid',    level: 'mid'};

这段 SyntaxFlow 规则的精妙之处在于其能够通过高级的数据流分析技术，综合利用路径敏感性、函数调用分析和条件判断，来识别和区分不同级别的 SQL 注入风险。以下是对这些规则的详细解释，帮助用户和读者更好地理解其工作原理和应用场景：

1. 参数识别与过滤函数检测

<include('php-param')> as $params; 

和 

<include('php-filter-function')> as $filter; 

这两行代码分别用于引入 PHP 参数和过滤函数的定义。这意味着规则可以自动识别 PHP 代码中的输入参数和常见的过滤函数，如 mysqli_real_escape_string。

2. 基本 SQL 注入检测

mysql_query(* as $query); 

这行代码标记了对 mysql_query 函数的调用点，这是执行 SQL 语句的关键位置。

$query #{ until: * & $params, }-> as $root; 

这行代码定义了一个从 SQL 查询中追溯到参数输入的数据流路径。这里的 until 关键字用于限定追踪到包含参数的点为止，确保数据流的起点是用户输入。

3. 直接 SQL 注入检测

$root?{!<dataflow(<<<CODE *?{opcode: call} as $__next__; CODE)>} as $result; 

这段代码检测是否有直接从用户输入到 SQL 查询的数据流，而中间没有任何函数调用。如果存在这样的数据流，即认为存在高风险的直接 SQL 注入。

4. 过滤函数检测

$root?{<dataflow(<<<CODE *?{opcode: call && <self> & $filter} as $__next__; CODE)>} as $filter_result; 

这段代码用于检测数据流中是否存在过滤函数的调用。如果数据流中包含了过滤函数，那么认为 SQL 注入的风险较低。

5. 过滤函数未检测到的情况

$root?{<dataflow(<<<CODE *?{opcode: call && !<self> & $filter} as $__next__; CODE)>} as $seem_filter; 

这段代码检测数据流中是否虽然有函数调用，但并非是已知的过滤函数。如果是这种情况，那么将其认为是中等风险的 SQL 注入。

通过这样的规则设置，SyntaxFlow 能够在单一的规则文件中，根据数据流的不同特点，区分出不同级别的 SQL 注入风险。这种细致的风险分级有助于开发者更精确地定位潜在的安全问题，并采取相应的防护措施。这不仅提高了代码的安全性，也优化了安全审计的效率。

我们深入探讨了静态代码分析的关键概念和数据流分析的实践应用，特别是通过 SyntaxFlow 工具展示了如何有效地检测和评估安全漏洞。通过结合理论与实践，以及使用直观的 PHP 示例，我们旨在使开发者更容易理解和采用这些高级技术，从而提升代码的安全性和质量。希望这些讨论能够激发更多开发者的兴趣，推动静态代码分析技术的普及和发展。