菜鳥學堂之PHP程式常見漏洞攻擊寶典(轉)

菜鳥學堂之PHP程式常見漏洞攻擊寶典(轉)[@more@]

　　[全域性變數]

　　PHP中的變數不需要事先宣告，它們會在第一次使用時自動建立，它們的型別也不需要指定，它們會根據上下文環境自動確定。從程式設計師的角度來看，這無疑是一種極其方便的處理方法。很顯然，這也是快速開發語言的一個很有用的特點。一旦一個變數被建立了，就可以在程式中的任何地方使用。這個特點導致的結果就是程式設計師很少初始化變數，畢竟，當它們第一次建立時，他們是空的。

　　很顯然，基於PHP的應用程式的主函式一般都是接受使用者的輸入（主要是表單變數，上載檔案和Cookie等），然後對輸入資料進行處理，然後把結果返回到客戶端瀏覽器。為了使PHP程式碼訪問使用者的輸入儘可能容易，實際上PHP是把這些輸入資料看作全域性變數來處理的。

　　例如：

　　

　　

　　

　　

　　很顯然，這會顯示一個文字框和提交按鈕。當使用者點選提交按鈕時，“test.php”會處理使用者的輸入，當“test.php”執行時，“$hello”會包含使用者在文字框輸入的資料。從這裡我們應該看出，攻擊者可以按照自己的意願建立任意的全域性變數。如果攻擊者不是透過表單輸入來呼叫“test.php”，而是直接在瀏覽器位址列輸入，那麼，不止是“$hello”被建立，“$setup”也被建立了。

　　譯者注：這兩種方法也就是我們通常說的“POST”和“GET”方法。

　　下面的使用者認證程式碼暴露了PHP的全域性變數所導致的安全問題：

　　

　　if ($pass == "hello")

　　$auth = 1;

　　...

　　if ($auth == 1)

　　echo "some important information";

　　?>

　　上面的程式碼首先檢查使用者的密碼是否為“hello”，如果匹配的話，設定“$auth”為“1”，即透過認證。之後如果“$suth”為“1”的話，就會顯示一些重要資訊。

　　表面看起來是正確的，而且我們中有相當一部分人是這樣做的，但是這段程式碼犯了想當然的錯誤，它假定“$auth”在沒有設定值的時候是空的，卻沒有想到攻擊者可以建立任何全域性變數並賦值，透過類似“”的方法，我們完全可以欺騙這段程式碼，使它相信我們是已經認證過的。

　　因此，為了提高PHP程式的安全性，我們不能相信任何沒有明確定義的變數。如果程式中的變數很多的話，這可是一項非常艱鉅的任務。

　　一種常用的保護方式就是檢查陣列HTTP_GET[]或POST_VARS[]中的變數，這依賴於我們的提交方式（GET或POST）。當PHP配置為開啟“track_vars”選項的話（這是預設值），使用者提交的變數就可以在全域性變數和上面提到的陣列中獲得。

　　但是值得說明的是，PHP有四個不同的陣列變數用來處理使用者的輸入。HTTP_GET_VARS陣列用來處理GET方式提交的變數，HTTP_POST_VARS陣列用於處理POST方式提交的變數，HTTP_COOKIE_VARS陣列用於處理作為cookie頭提交的變數，而對於HTTP_POST_FILES陣列（比較新的PHP才提供），則完全是使用者用來提交變數的一種可選方式。使用者的一個請求可以很容易的把變數存在這四個陣列中，因此一個安全的PHP程式應該檢查這四個陣列。

　　[遠端檔案]

　　PHP是一種具有豐富特性的語言，提供了大量的函式，使程式設計者實現某個功能很容易。但是從安全的角度來看，功能越多，要保證它的安全性就越難，遠端檔案就是說明這個問題的一個很好的例子：

　　

　　if (!($fd = fopen("$filename", "r"))

　　echo("Could not open file: $filename
");

　　?>

　　上面的指令碼試圖開啟檔案“$filename”，如果失敗就顯示錯誤資訊。很明顯，如果我們能夠指定“$filename”的話，就能利用這個指令碼瀏覽系統中的任何檔案。但是，這個指令碼還存在一個不太明顯的特性，那就是它可以從任何其它WEB或FTP站點讀取檔案。實際上，PHP的大多數檔案處理函式對遠端檔案的處理是透明的。

　　例如：

　　如果指定“$filename”為“%c1%1c../winnt/system32/cmd.exe?/c+dir”

　　則上面的程式碼實際上是利用主機target上的unicode漏洞，執行了dir命令。

　　這使得支援遠端檔案的include()，require()，include_once()和require_once()在上下文環境中變得更有趣。這些函式主要功能是包含指定檔案的內容，並且把它們按照PHP程式碼解釋，主要是用在庫檔案上。

　　例如：

　　

　　include($libdir . "/languages.php");

　　?>

　　上例中“$libdir”一般是一個在執行程式碼前已經設定好的路徑，如果攻擊者能夠使得“$libdir”沒有被設定的話，那麼他就可以改變這個路徑。但是攻擊者並不能做任何事情，因為他們只能在他們指定的路徑中訪問檔案languages.php（perl中的“Poison

　　null

　　byte”攻擊對PHP沒有作用）。但是由於有了對遠端檔案的支援，攻擊者就可以做任何事情。例如，攻擊者可以在某臺伺服器上放一個檔案languages.php，包含如下內容：

　　

　　passthru("/bin/ls /etc");

　　?>

　　然後把“$libdir”設定為“”，這樣我們就可以在目標主機上執行上面的攻擊程式碼，“/etc”目錄的內容作為結果返回到客戶的瀏覽器中。

　　需要注意的是，攻擊伺服器（也就是evilhost）應該不能執行PHP程式碼，否則攻擊程式碼會在攻擊伺服器，而不是目標伺服器執行，如果你想了解具體的技術細節，請參考：http://www.securereality.com.au/sradv00006.txt

　　[檔案上載]

　　PHP自動支援基於RFC 1867的檔案上載，我們看下面的例子：

　　

　　

　　

　　

　　

　　上面的程式碼讓使用者從本地機器選擇一個檔案，當點選提交後，檔案就會被上載到伺服器。這顯然是很有用的功能，但是PHP的響應方式使這項功能變的不安全。當PHP第一次接到這種請求，甚至在它開始解析被呼叫的PHP程式碼之前，它會先接受遠端使用者的檔案，檢查檔案的長度是否超過“$MAX_FILE_SIZE variable”定義的值，如果透過這些測試的話，檔案就會被存在本地的一個臨時目錄中。

　　因此，攻擊者可以傳送任意檔案給執行PHP的主機，在PHP程式還沒有決定是否接受檔案上載時，檔案已經被存在伺服器上了。

　　這裡我就不討論利用檔案上載來對伺服器進行DOS攻擊的可能性了。

　　讓我們考慮一下處理檔案上載的PHP程式，正如我們上面說的，檔案被接收並且存在伺服器上（位置是在配置檔案中指定的，一般是/tmp），副檔名一般是隨機的，類似“phpxXuoXG”的形式。PHP程式需要上載檔案的資訊以便處理它，這可以透過兩種方式，一種方式是在PHP3中已經使用的，另一種是在我們對以前的方法提出安全公告後引入的。

　　但是，我們可以肯定的說，問題還是存在的，大多數PHP程式還是使用老的方式來處理上載檔案。PHP設定了四個全域性變數來描述上載檔案，比如說上面的例子：

　　$hello = Filename on local machine (e.g "/tmp/phpxXuoXG")

　　$hello_size = Size in bytes of file (e.g 1024)

　　$hello_name = The original name of the file on the remote

　　system (e.g

　　"c: emphello.txt")

　　$hello_type = Mime type of uploaded file (e.g "text/plain")

　　然後PHP程式開始處理根據“$hello”指定的檔案，問題在於“$hello”不一定是一個PHP設定的變數，任何遠端使用者都可以指定它。如果我們使用下面的方式：

　　

　　就導致了下面的PHP全域性變數（當然POST方式也可以（甚至是Cookie））：

　　$hello = "/etc/passwd"

　　$hello_size = 10240

　　$hello_type = "text/plain"

　　$hello_name = "hello.txt"

　　上面的表單資料正好滿足了PHP程式所期望的變數，但是這時PHP程式不再處理上載的檔案，而是處理“/etc/passwd”（通常會導致內容暴露）。這種攻擊可以用於暴露任何敏感檔案的內容。

　　我在前面已經說了，新版本的PHP使用HTTP_POST_FILES[]來決定上載檔案，同時也提供了很多函式來解決這個問題，例如有一個函式用來判斷某個檔案是不是實際上載的檔案。這些函式很好的解決了這個問題，但是實際上肯定有很多PHP程式仍然使用舊的方法，很容易受到這種攻擊。

　　作為檔案上載的攻擊方法的一個變種，我們看一下下面的一段程式碼：

　　

　　if (file_exists($theme)) // Checks the file exists on the

　　local system

　　(no remote files)

　　include("$theme");

　　?>

　　如果攻擊者可以控制“$theme”的話，很顯然它可以利用“$theme”來讀取遠端系統上的任何檔案。攻擊者的最終目標是在遠端伺服器上執行任意指令，但是他無法使用遠端檔案，因此，他必須得在遠端伺服器上建立一個PHP檔案。這乍看起來好象是不可能的，但是檔案上載幫了我們這個忙，如果攻擊者先在本地機器上建立一個包含PHP程式碼的檔案，然後建立一個包含名為“theme”的檔案域的表單，最後用這個表單透過檔案上載把建立的包含PHP程式碼的檔案提交給上面的程式碼，PHP就會把攻擊者提交的檔案儲存起來，並把“$theme”的值設定為攻擊者提交的檔案，這樣file_exists()函式會

　　

·上一篇：

·下一篇：

最新更新
	· · · · · · · · · · · · · · · · · · · · · · · · · · · · · ·