php-archive-extract-audit

用途

php-archive-extract-audit 是一款针对 PHP Web 归档解压路径穿越（Zip Slip）问题的审计工具。它分析 PHP 项目中“解压/提取归档文件到磁盘目录”的实现逻辑，重点审计攻击者能否通过精心构造归档条目名（entry name/path）使最终写入落点逃逸目标目录。

主要能力

识别并追踪归档提取调用点，至少包括：
- ZipArchive->extractTo($destination, {value})
- ZipArchive->extract($destination, {value})（若项目使用封装）
- PharData->extractTo($destination, {value})
- Archive_Tar->extractTo($destination, {value})（若项目使用 PEAR/等价封装）
- Archive_Tar->extract($destination, {value})（若项目使用封装）
- 自定义解压封装：最终仍对每个 entry name 做“拼接到 destination 目录并落盘”
强制检查证据点（trace 契约对齐），每条疑似漏洞必须逐项引用 php-route-tracer trace 输出中 ## 9) Sink Evidence Type Checklist 的 ARCHIVE 行对应证据要点（允许状态为待验证，但证据引用必须存在）：
- EVID_ARCHIVE_EXTRACT_CALLSITE：归档解压/提取调用点证据
- EVID_ARCHIVE_ENTRY_NAME_SOURCE：entry name/path 来源证据
- EVID_ARCHIVE_ENTRY_SANITIZATION：条目路径净化/归一化证据
- EVID_ARCHIVE_EXTRACT_BASE_DIR：解压基目录证据
- EVID_ARCHIVE_FINAL_TARGET：最终解析落点证据
判断漏洞成立条件：entry name/path 是否可被攻击者控制；基目录约束是否真正执行到“最终路径解析之后”（如 realpath + 前缀校验，而非仅字符串替换）；是否存在双重编码、混合分隔符、Windows 盘符、绝对路径、尾部/空白/控制字符、Unicode 同形字符等绕过；写入是否真的发生在目标目录之外。
输出可利用性分级、可观测 PoC 与修复建议。

使用方式

漏洞编号格式：{C/H/M/L}-ARCHIVE-{序号}，分级详见 shared/SEVERITY_RATING.md。
报告输出到：{output_path}/vuln_audit/archive_{timestamp}.md。
当满足任一条件时必须依赖 php-route-tracer：destination/base directory 或 entry name 经过多层函数/对象封装后才进入 extractTo；entry name 列表或解压路径存在分支逻辑（某些 entry 才被过滤/某些分支未过滤）。
漏洞条目模板（强制，不得省略）：

### [{等级前缀}-ARCHIVE-{序号}] 归档解压路径穿越（Zip Slip）风险

| 项目 | 信息 |
|------|------|
| 严重等级 | {🔴/🟠/🟡/🔵} (CVSS {score}) |
| 可达性 (R) | {0-3} - {理由} |
| 影响范围 (I) | {0-3} - {理由} |
| 利用复杂度 (C) | {0-3} - {理由} |
| 可利用性 | ✅ 已确认 / ⚠️ 待验证 / ❌ 不可利用 / 🔍 环境依赖 |
| 位置 | {file}:{line} ({Function/Class}) |

数据流链需逐行写出：归档 entry name/path 进入 -> 净化/归一化 -> base destination join -> resolved final target -> 是否逃逸 base 约束 -> 实际写入/提取调用点。
可利用前置条件需写明：鉴权要求、输入可控性、触发条件。
证据引用必须逐项引用上述五个 EVID 证据点。
验证 PoC 需给出可观测验证框架，包括 HTTP 请求示例、制作恶意归档（如包含 ../../../../var/www/html/pwn.php 或 Windows 路径变体）、触发解压路由、观察目标目录之外是否出现文件及能否访问落点。
建议修复：以“最终解析落点”为准，对 entry name 做规范化后执行 realpath + base 前缀校验；禁止 absolute path/盘符/反斜杠分隔/目录上跳；对 entry name 列表做统一净化并强制一致的 base 约束；给出代码搜索语句（rg 定位所有 extractTo/extract/归档解压封装入口与 destination 拼接逻辑）。
tracer 证据缺失处理（强制）：若 trace 中任一关键证据点缺失或无法对应到本条漏洞，该条漏洞状态只能标记为 ⚠️待验证，不得直接给出 ✅已确认可利用。

适用场景

适用于对 PHP Web 项目进行安全审计，尤其是涉及归档上传、解压、提取到磁盘目录的功能模块，用于发现和验证 Zip Slip 类路径穿越漏洞。

限制

依赖 php-route-tracer 提供 trace 证据；关键证据点缺失时无法确认漏洞可利用性。
具体支持的归档格式、运行环境、安装方式等暂未提供。

技能介绍

用途

主要能力

使用方式

适用场景

限制