|
|
翻譯：analysist（分析家）
來(lái)源：http://www.china4lert.org
如何對(duì)php程序中的常見(jiàn)漏洞進(jìn)行攻擊（下）
原著：Shaun Clowes <http://www.securereality.com.au/>
翻譯：analysist <http://www.nsfocus.com/>
[庫(kù)文件]
正如我們前面討論的那樣，include()和require()主要是為了支持代碼庫(kù)，因?yàn)槲覀円话闶前岩恍┙?jīng)常使用的函數(shù)放到一個(gè)獨(dú)立的文件中，這個(gè)獨(dú)立的文件就是代碼庫(kù)，當(dāng)需要使用其中的函數(shù)時(shí)，我們只要把這個(gè)代碼庫(kù)包含到當(dāng)前的文件中就可以了。
最初，人們開(kāi)發(fā)和發(fā)布php程序的時(shí)候，為了區(qū)別代碼庫(kù)和主程序代碼，一般是為代碼庫(kù)文件設(shè)置一個(gè)“.inc”的擴(kuò)展名，但是他們很快發(fā)現(xiàn)這是一個(gè)錯(cuò)誤，因?yàn)檫@樣的文件無(wú)法被php解釋器正確解析為php代碼。如果我們直接請(qǐng)求服務(wù)器上的這種文件時(shí)，我們就會(huì)得到該文件的源代碼，這是因?yàn)楫?dāng)把php作為Apache的模塊使用時(shí)，php解釋器是根據(jù)文件的擴(kuò)展名來(lái)決定是否解析為php代碼的。擴(kuò)展名是站點(diǎn)管理員指定的，一般是“.php”， “.php3”和“.php4”。如果重要的配置數(shù)據(jù)被包含在沒(méi)有合適的擴(kuò)展名的php文件中，那么遠(yuǎn)程攻擊者很容易得到這些信息。
最簡(jiǎn)單的解決方法就是給每個(gè)文件都指定一個(gè)php文件的擴(kuò)展名，這樣可以很好的防止泄露源代碼的問(wèn)題，但是又產(chǎn)生了新的問(wèn)題，通過(guò)請(qǐng)求這個(gè)文件，攻擊者可能使本該在上下文環(huán)境中運(yùn)行的代碼獨(dú)立運(yùn)行，這可能導(dǎo)致前面討論的全部攻擊。
下面是一個(gè)很明顯的例子：
In main.php:
<?php
$libDir = "/libdir";
$langDir = "$libdir/languages";
...
include("$libdir/loadlanguage.php":
?>
In libdir/loadlanguage.php:
<?php
...
include("$langDir/$userLang");
?>
當(dāng)“l(fā)ibdir/loadlanguage.php”被“main.php”調(diào)用時(shí)是相當(dāng)安全的，但是因?yàn)椤發(fā)ibdir/loadlanguage”具有“.php”的擴(kuò)展名，因此遠(yuǎn)程攻擊者可以直接請(qǐng)求這個(gè)文件，并且可以任意指定“$langDir”和“$userLang”的值。
[Session文件]
php 4或更新的版本提供了對(duì)sessions的支持，它的主要作用是在php程序中保存頁(yè)與頁(yè)之間的狀態(tài)信息。例如，當(dāng)一個(gè)用戶登陸進(jìn)入網(wǎng)站，他登陸了這個(gè)事實(shí)以及誰(shuí)登陸進(jìn)入這個(gè)網(wǎng)站都被保存在session中，當(dāng)他在網(wǎng)站中到處瀏覽時(shí)，所有的php代碼都可以獲得這些狀態(tài)信息。
事實(shí)上，當(dāng)一個(gè)session啟動(dòng)時(shí)（實(shí)際上是在配置文件中設(shè)置為在第一次請(qǐng)求時(shí)自動(dòng)啟動(dòng)），就會(huì)生成一個(gè)隨機(jī)的“session id”，如果遠(yuǎn)程瀏覽器總是在發(fā)送請(qǐng)求時(shí)提交這個(gè)“session id”的話，session就會(huì)一直保持。這通過(guò)Cookie很容易實(shí)現(xiàn)，也可以通過(guò)在每頁(yè)提交一個(gè)表單變量（包含“session id”）來(lái)實(shí)現(xiàn)。php程序可以用session注冊(cè)一個(gè)特殊的變量，它的值會(huì)在每個(gè)php腳本結(jié)束后存在session文件中，也會(huì)在每個(gè)php腳本開(kāi)始前加載到變量中。下面是一個(gè)簡(jiǎn)單的例子：
<?php
session_destroy(); // Kill any data currently in the session
$session_auth = "shaun";
session_register("session_auth"); // Register $session_auth as a session variable
?>
新版本的php都會(huì)自動(dòng)把“$session_auth”的值設(shè)置為“shaun”，如果它們被修改的話，以后的腳本都會(huì)自動(dòng)接受修改后的值，這對(duì)無(wú)狀態(tài)的Web來(lái)說(shuō)的確是種很不錯(cuò)的工具，但是我們也應(yīng)該小心。
一個(gè)很明顯的問(wèn)題就是確保變量的確來(lái)自session，例如，給定上面的代碼，如果后續(xù)的腳本是下面這樣的話：
<?php
if (!empty($session_auth))
// Grant access to site here
?>
上面的代碼假定如果“$session_auth”被置位的話，就是從session，而不是從用戶輸入來(lái)置位的，如果攻擊者通過(guò)表單輸入來(lái)置位的話，他就可以獲得對(duì)站點(diǎn)的訪問(wèn)權(quán)。注意攻擊者必須在session注冊(cè)該變量之前使用這種攻擊方法，一旦變量被放進(jìn)了session，就會(huì)覆蓋任何表單輸入。
Session數(shù)據(jù)一般是保存在文件中（位置是可配置的，一般是“/tmp”），文件名一般是類似“sess_<session id>”的形式，這個(gè)文件包含變量名稱，變量類型，變量值和一些其它的數(shù)據(jù)。在多主機(jī)系統(tǒng)中，因?yàn)槲募且赃\(yùn)行Web服務(wù)器的用戶身份（一般是nobody）保存的，因此惡意的站點(diǎn)擁有者就可以通過(guò)創(chuàng)建一個(gè)session文件來(lái)獲得對(duì)其它站點(diǎn)的訪問(wèn)，甚至可以檢查session文件中的敏感信息。
Session機(jī)制也為攻擊者把自己的輸入保存在遠(yuǎn)程系統(tǒng)的文件中提供了另一個(gè)方便的地方，對(duì)于上面的例子來(lái)說(shuō)，攻擊者需要在遠(yuǎn)程系統(tǒng)放置一個(gè)包含php代碼的文件，如果不能利用文件上載做到的話，他通常會(huì)利用session為一個(gè)變量按照自己的意愿賦一個(gè)值，然后猜測(cè)session文件的位置，而他知道文件名是“php<session id>”，所以只需猜測(cè)目錄，而目錄一般就是“/tmp”。
另外，攻擊者可以任意指定“session id”（例如“hello”），然后用這個(gè)“session id”創(chuàng)建一個(gè)session文件（例如“/tmp/sess_hello”），但是“session id”只能是字母和數(shù)字組合。
[數(shù)據(jù)類型]
php具有比較松散的數(shù)據(jù)類型，變量的類型依賴于它們所處的上下文環(huán)境。例如：“$hello”開(kāi)始是字符串變量，值為“”，但是在求值時(shí)，就變成了整形變量“0”，這有時(shí)可能會(huì)導(dǎo)致一些意想不到的結(jié)果。如果“$hello”的值為“000”還是為“0”是不同的，empty()返回的結(jié)果也不會(huì)為真。
php中的數(shù)組是關(guān)聯(lián)數(shù)組，也就是說(shuō)，數(shù)組的索引是字符串型的。這意味著“$hello["000"]”和“$hello[0]”也是不同的。
開(kāi)發(fā)程序的時(shí)候應(yīng)該仔細(xì)地考慮上面的問(wèn)題，例如，我們不應(yīng)該在一個(gè)地方測(cè)試某個(gè)變量是否為“0”，而在另外的地方使用empty()來(lái)驗(yàn)證。
[容易出錯(cuò)的函數(shù)]
我們?cè)诜治?a href=/itjie/phpjishu/ target=_blank class=infotextkey>php程序中的漏洞時(shí)，如果能夠拿到源代碼的話，那么一份容易出錯(cuò)的函數(shù)列表則是我們非常需要的。如果我們能夠遠(yuǎn)程改變這些函數(shù)的參數(shù)的話，那么我們就很可能發(fā)現(xiàn)其中的漏洞。下面是一份比較詳細(xì)的容易出錯(cuò)的函數(shù)列表：
<php代碼執(zhí)行>
require()：讀取指定文件的內(nèi)容并且作為php代碼解釋
include()：同上
eval()：把給定的字符串作為php代碼執(zhí)行
preg_replace()：當(dāng)與“/e”開(kāi)關(guān)一起使用時(shí)，替換字符串將被解釋為php代碼
<命令執(zhí)行>
exec()：執(zhí)行指定的命令，返回執(zhí)行結(jié)果的最后一行
passthru()：執(zhí)行指定命令，返回所有結(jié)果到客戶瀏覽器
``：執(zhí)行指定命令，返回所有結(jié)果到一個(gè)數(shù)組
system()：同passthru()，但是不處理二進(jìn)制數(shù)據(jù)
popen()：執(zhí)行指定的命令，把輸入或輸出連接到php文件描述符
<文件泄露>
fopen()：打開(kāi)文件，并對(duì)應(yīng)一個(gè)php文件描述符
readfile()：讀取文件的內(nèi)容，然后輸出到客戶瀏覽器
file()：把整個(gè)文件內(nèi)容讀到一個(gè)數(shù)組中
譯者注：其實(shí)這份列表還不是很全，比如“mail()”等命令也可能執(zhí)行命令，所以需要自己補(bǔ)充一下。
[如何增強(qiáng)php的安全性]
我在上面介紹的所有攻擊對(duì)于缺省安裝的php 4都可以很好的實(shí)現(xiàn)，但是我已經(jīng)重復(fù)了很多次，php的配置非常靈活，通過(guò)配置一些php選項(xiàng)，我們完全可能抵抗其中的一些攻擊。下面我按照實(shí)現(xiàn)的難度對(duì)一些配置進(jìn)行了分類：
*低難度
**中低難度
***中高難度
****高難度
上面的分類只是個(gè)人的看法，但是我可以保證，如果你使用了php提供的所有選項(xiàng)的話，那么你的php將是很安全的，即使是第三方的代碼也是如此，因?yàn)槠渲泻芏喙δ芤呀?jīng)不能使用。
**** 設(shè)置“register_globals”為“off”
這個(gè)選項(xiàng)會(huì)禁止php為用戶輸入創(chuàng)建全局變量，也就是說(shuō)，如果用戶提交表單變量“hello”，php不會(huì)創(chuàng)建“$ hello”，而只會(huì)創(chuàng)建“HTTP_GET/POST_VARS['hello']”。這是php中一個(gè)極其重要的選項(xiàng)，關(guān)閉這個(gè)選項(xiàng)，會(huì)給編程帶來(lái)很大的不便。
*** 設(shè)置“safe_mode”為“on”
打開(kāi)這個(gè)選項(xiàng)，會(huì)增加如下限制：
1． 限制哪個(gè)命令可以被執(zhí)行
2． 限制哪個(gè)函數(shù)可以被使用
3． 基于腳本所有權(quán)和目標(biāo)文件所有權(quán)的文件訪問(wèn)限制
4． 禁止文件上載功能
這對(duì)于ISP來(lái)說(shuō)是一個(gè)偉大的選項(xiàng)，同時(shí)它也能極大地改進(jìn)php的安全性。
** 設(shè)置“open_basedir”
這個(gè)選項(xiàng)可以禁止指定目錄之外的文件操作，有效地消除了本地文件或者是遠(yuǎn)程文件被include()的攻擊，但是仍需要注意文件上載和session文件的攻擊。
** 設(shè)置“display_errors”為“off”，設(shè)置“l(fā)og_errors”為“on”
這個(gè)選項(xiàng)禁止把錯(cuò)誤信息顯示在網(wǎng)頁(yè)中，而是記錄到日志文件中，這可以有效的抵制攻擊者對(duì)目標(biāo)腳本中函數(shù)的探測(cè)。
* 設(shè)置“allow_url_fopen”為“off”
這個(gè)選項(xiàng)可以禁止遠(yuǎn)程文件功能，極力推薦！
好了，文章到此為止了，如果你想了解一些其它的相關(guān)信息，請(qǐng)參考原文http://www.securereality.com.au/studyinscarlet.txt。
<全文完>
php技術(shù)：如何對(duì)PHP程序中的常見(jiàn)漏洞進(jìn)行攻擊（下），轉(zhuǎn)載需保留來(lái)源！
鄭重聲明：本文版權(quán)歸原作者所有，轉(zhuǎn)載文章僅為傳播更多信息之目的，如作者信息標(biāo)記有誤，請(qǐng)第一時(shí)間聯(lián)系我們修改或刪除，多謝。
