如何對PHP程序中的常見漏洞進行攻擊(上)

原著:Shaun Clowes 翻譯:analysist 之所以翻譯這篇文章,是因為目前關於CGI安全性的文章都是拿Perl作為例子,而專門介紹ASP,PHP或者JSP安全性的文章則很少。Shaun Clowes的這篇文章比較全面地介紹瞭PHP的安全問題,原文可以在https://www.securereality.com.au/studyinscarlet.txt找到。 由於原文比較長,而且有相當一部分是介紹文章的背景或PHP的基礎知識,沒有涉及到PHP安全方面的內容,因此我沒有翻譯。如果你想瞭解這方面的知識,請參考原文。 文章主要從全局變量,遠程文件,文件上載,庫文件,Session文件,數據類型和容易出錯的函數這幾個方面分析瞭PHP的安全性,並且對如何增強PHP的安全性提出瞭一些有用的建議。 好瞭,廢話少說,我們言歸正傳! [全局變量] PHP中的變量不需要事先聲明,它們會在第一次使用時自動創建,它們的類型也不需要指定,它們會根據上下文環境自動確定。從程序員的角度來看,這無疑是一種極其方便的處理方法。很顯然,這也是快速開發語言的一個很有用的特點。一旦一個變量被創建瞭,就可以在程序中的任何地方使用。這個特點導致的結果就是程序員很少初始化變量,畢竟,當它們第一次創建時,他們是空的。 很顯然,基於PHP的應用程序的主函數一般都是接受用戶的輸入(主要是表單變量,上載文件和Cookie等),然後對輸入數據進行處理,然後把結果返回到客戶端瀏覽器。為瞭使PHP代碼訪問用戶的輸入盡可能容易,實際上PHP是把這些輸入數據看作全局變量來處理的。 例如: 很顯然,這會顯示一個文本框和提交按鈕。當用戶點擊提交按鈕時,“test.php”會處理用戶的輸入,當“test.php”運行時,“$hello”會包含用戶在文本框輸入的數據。從這裡我們應該看出,攻擊者可以按照自己的意願創建任意的全局變量。如果攻擊者不是通過表單輸入來調用“test.php”,而是直接在瀏覽器地址欄輸入https://server/test.php?hello=hi&setup=no,那麼,不止是“$hello”被創建,“$setup”也被創建瞭。 譯者註:這兩種方法也就是我們通常說的“POST”和“GET”方法。 下面的用戶認證代碼暴露瞭PHP的全局變量所導致的安全問題: 上面的代碼首先檢查用戶的密碼是否為“hello”,如果匹配的話,設置“$auth”為“1”,即通過認證。之後如果“$suth”為“1”的話,就會顯示一些重要信息。 表面看起來是正確的,而且我們中有相當一部分人是這樣做的,但是這段代碼犯瞭想當然的錯誤,它假定“$auth”在沒有設置值的時候是空的,卻沒有想到攻擊者可以創建任何全局變量並賦值,通過類似“https://server/test.php?auth=1”的方法,我們完全可以欺騙這段代碼,使它相信我們是已經認證過的。 因此,為瞭提高PHP程序的安全性,我們不能相信任何沒有明確定義的變量。如果程序中的變量很多的話,這可是一項非常艱巨的任務。 一種常用的保護方式就是檢查數組HTTP_GET[]或POST_VARS[]中的變量,這依賴於我們的提交方式(GET或POST)。當PHP配置為打開“track_vars”選項的話(這是缺省值),用戶提交的變量就可以在全局變量和上面提到的數組中獲得。 但是值得說明的是,PHP有四個不同的數組變量用來處理用戶的輸入。HTTP_GET_VARS數組用來處理GET方式提交的變量,HTTP_POST_VARS數組用於處理POST方式提交的變量,HTTP_COOKIE_VARS數組用於處理作為cookie頭提交的變量,而對於HTTP_POST_FILES數組(比較新的PHP才提供),則完全是用戶用來提交變量的一種可選方式。用戶的一個請求可以很容易的把變量存在這四個數組中,因此一個安全的PHP程序應該檢查這四個數組。 [遠程文件] PHP是一種具有豐富特性的語言,提供瞭大量的函數,使編程者實現某個功能很容易。但是從安全的角度來看,功能越多,要保證它的安全性就越難,遠程文件就是說明這個問題的一個很好的例子: <?php if (!($fd = fopen("$filename", "r")) echo("Could not open file: $filename

“); ?> 上面的腳本試圖打開文件“$filename”,如果失敗就顯示錯誤信息。很明顯,如果我們能夠指定“$filename”的話,就能利用這個腳本瀏覽系統中的任何文件。但是,這個腳本還存在一個不太明顯的特性,那就是它可以從任何其它WEB或FTP站點讀取文件。實際上,PHP的大多數文件處理函數對遠程文件的處理是透明的。 例如: 如果指定“$filename”為“https://target/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir” 則上面的代碼實際上是利用主機target上的unicode漏洞,執行瞭dir命令。 這使得支持遠程文件的include(),require(),include_once()和require_once()在上下文環境中變得更有趣。這些函數主要功能是包含指定文件的內容,並且把它們按照PHP代碼解釋,主要是用在庫文件上。 例如: 上例中“$libdir”一般是一個在執行代碼前已經設置好的路徑,如果攻擊者能夠使得“$libdir”沒有被設置的話,那麼他就可以改變這個路徑。但是攻擊者並不能做任何事情,因為他們隻能在他們指定的路徑中訪問文件languages.php(perl中的“Poison null byte”攻擊對PHP沒有作用)。但是由於有瞭對遠程文件的支持,攻擊者就可以做任何事情。例如,攻擊者可以在某臺服務器上放一個文件languages.php,包含如下內容: 然後把“$libdir”設置為“https:///”,這樣我們就可以在目標主機上執行上面的攻擊代碼,“/etc”目錄的內容作為結果返回到客戶的瀏覽器中。 需要註意的是,攻擊服務器(也就是evilhost)應該不能執行PHP代碼,否則攻擊代碼會在攻擊服務器,而不是目標服務器執行,如果你想瞭解具體的技術細節,請參考:https://www.securereality.com.au/sradv00006.txt [文件上載] PHP自動支持基於RFC 1867的文件上載,我們看下面的例子: 上面的代碼讓用戶從本地機器選擇一個文件,當點擊提交後,文件就會被上載到服務器。這顯然是很有用的功能,但是PHP的響應方式使這項功能變的不安全。當PHP第一次接到這種請求,甚至在它開始解析被調用的PHP代碼之前,它會先接受遠程用戶的文件,檢查文件的長度是否超過“$MAX_FILE_SIZE variable”定義的值,如果通過這些測試的話,文件就會被存在本地的一個臨時目錄中。 因此,攻擊者可以發送任意文件給運行PHP的主機,在PHP程序還沒有決定是否接受文件上載時,文件已經被存在服務器上瞭。 這裡我就不討論利用文件上載來對服務器進行DOS攻擊的可能性瞭。 讓我們考慮一下處理文件上載的PHP程序,正如我們上面說的,文件被接收並且存在服務器上(位置是在配置文件中指定的,一般是/tmp),擴展名一般是隨機的,類似“phpxXuoXG”的形式。PHP程序需要上載文件的信息以便處理它,這可以通過兩種方式,一種方式是在PHP 3中已經使用的,另一種是在我們對以前的方法提出安全公告後引入的。 但是,我們可以肯定的說,問題還是存在的,大多數PHP程序還是使用老的方式來處理上載文件。PHP設置瞭四個全局變量來描述上載文件,比如說上面的例子: $hello = Filename on local machine (e.g “/tmp/phpxXuoXG”) $hello_size = Size in bytes of file (e.g 1024) $hello_name = The original name of the file on the remote system (e.g “c:\temp\hello.txt”) $hello_type = Mime type of uploaded file (e.g “text/plain”) 然後PHP程序開始處理根據“$hello”指定的文件,問題在於“$hello”不一定是一個PHP設置的變量,任何遠程用戶都可以指定它。如果我們使用下面的方式: https://vulnhost/vuln.php?hello=/etc/passwd&hello_size=10240&hello_type=text/plain&hello_name=hello.txt 就導致瞭下面的PHP全局變量(當然POST方式也可以(甚至是Cookie)): $hello = “/etc/passwd” $hello_size = 10240 $hello_type = “text/plain” $hello_name = “hello.txt” 上面的表單數據正好滿足瞭PHP程序所期望的變量,但是這時PHP程序不再處理上載的文件,而是處理“/etc/passwd”(通常會導致內容暴露)。這種攻擊可以用於暴露任何敏感文件的內容。 我在前面已經說瞭,新版本的PHP使用HTTP_POST_FILES[]來決定上載文件,同時也提供瞭很多函數來解決這個問題,例如有一個函數用來判斷某個文件是不是實際上載的文件。這些函數很好的解決瞭這個問題,但是實際上肯定有很多PHP程序仍然使用舊的方法,很容易受到這種攻擊。 作為文件上載的攻擊方法的一個變種,我們看一下下面的一段代碼: 如果攻擊者可以控制“$theme”的話,很顯然它可以利用“$theme”來讀取遠程系統上的任何文件。攻擊者的最終目標是在遠程服務器上執行任意指令,但是他無法使用遠程文件,因此,他必須得在遠程服務器上創建一個PHP文件。這乍看起來好象是不可能的,但是文件上載幫瞭我們這個忙,如果攻擊者先在本地機器上創建一個包含PHP代碼的文件,然後創建一個包含名為“theme”的文件域的表單,最後用這個表單通過文件上載把創建的包含PHP代碼的文件提交給上面的代碼,PHP就會把攻擊者提交的文件保存起來,並把“$theme”的值設置為攻擊者提交的文件,這樣file_exists()函數會檢查通過,攻擊者的代碼也將執行。 獲得執行任意指令的能力之後,攻擊者顯然想提升權限或者是擴大戰果,而這又需要一些服務器上沒有的工具集,而文件上載又一次幫瞭我們這個忙。攻擊者可以使用文件上載功能上載工具,把她們存在服務器上,然後利用他們執行指令的能力,使用chmod()改變文件的權限,然後執行。例如:攻擊者可以繞過防火墻或IDS上載一個本地root攻擊程序,然後執行,這樣就獲得瞭root權限。

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *