如何對PHP程序中的常見漏洞進行攻擊(上)
原著:Shaun Clowes 翻譯:analysist 之所以翻譯這篇文章,是因為目前關于CGI安全性的文章都是拿Perl作為例子,而專門介紹ASP,PHP或者JSP安全性的文章則很少。Shaun Clowes的這篇文章比較全面地介紹了PHP的安全問題,原文可以在http://www.securereality.com.au/studyinscarlet.txt找到。 由于原文比較長,而且有相當一部分是介紹文章的背景或PHP的基礎知識,沒有涉及到PHP安全方面的內容,因此我沒有翻譯。如果你想了解這方面的知識,請參考原文。 文章主要從全局變量,遠程文件,文件上載,庫文件,Session文件,數據類型和容易出錯的函數這幾個方面分析了PHP的安全性,并且對如何增強PHP的安全性提出了一些有用的建議。 好了,廢話少說,我們言歸正傳! [全局變量] PHP中的變量不需要事先聲明,它們會在第一次使用時自動創建,它們的類型也不需要指定,它們會根據上下文環境自動確定。從程序員的角度來看,這無疑是一種極其方便的處理方法。很顯然,這也是快速開發語言的一個很有用的特點。一旦一個變量被創建了,就可以在程序中的任何地方使用。這個特點導致的結果就是程序員很少初始化變量,畢竟,當它們第一次創建時,他們是空的。 很顯然,基于PHP的應用程序的主函數一般都是接受用戶的輸入(主要是表單變量,上載文件和Cookie等),然后對輸入數據進行處理,然后把結果返回到客戶端瀏覽器。為了使PHP代碼訪問用戶的輸入盡可能容易,實際上PHP是把這些輸入數據看作全局變量來處理的。 例如:
很顯然,這會顯示一個文本框和提交按鈕。當用戶點擊提交按鈕時,“test.php”會處理用戶的輸入,當“test.php”運行時,“$hello”會包含用戶在文本框輸入的數據。從這里我們應該看出,攻擊者可以按照自己的意愿創建任意的全局變量。如果攻擊者不是通過表單輸入來調用“test.php”,而是直接在瀏覽器地址欄輸入http://server/test.php?hello=hi&setup=no,那么,不止是“$hello”被創建,“$setup”也被創建了。 譯者注:這兩種方法也就是我們通常說的“POST”和“GET”方法。 下面的用戶認證代碼暴露了PHP的全局變量所導致的安全問題: 上面的代碼首先檢查用戶的密碼是否為“hello”,如果匹配的話,設置“$auth”為“1”,即通過認證。之后如果“$suth”為“1”的話,就會顯示一些重要信息。 表面看起來是正確的,而且我們中有相當一部分人是這樣做的,但是這段代碼犯了想當然的錯誤,它假定“$auth”在沒有設置值的時候是空的,卻沒有想到攻擊者可以創建任何全局變量并賦值,通過類似“http://server/test.php?auth=1”的方法,我們完全可以欺騙這段代碼,使它相信我們是已經認證過的。 因此,為了提高PHP程序的安全性,我們不能相信任何沒有明確定義的變量。如果程序中的變量很多的話,這可是一項非常艱巨的任務。 一種常用的保護方式就是檢查數組HTTP_GET[]或POST_VARS[]中的變量,這依賴于我們的提交方式(GET或POST)。當PHP配置為打開“track_vars”選項的話(這是缺省值),用戶提交的變量就可以在全局變量和上面提到的數組中獲得。 但是值得說明的是,PHP有四個不同的數組變量用來處理用戶的輸入。HTTP_GET_VARS數組用來處理GET方式提交的變量,HTTP_POST_VARS數組用于處理POST方式提交的變量,HTTP_COOKIE_VARS數組用于處理作為cookie頭提交的變量,而對于HTTP_POST_FILES數組(比較新的PHP才提供),則完全是用戶用來提交變量的一種可選方式。用戶的一個請求可以很容易的把變量存在這四個數組中,因此一個安全的PHP程序應該檢查這四個數組。 [遠程文件] PHP是一種具有豐富特性的語言,提供了大量的函數,使編程者實現某個功能很容易。但是從安全的角度來看,功能越多,要保證它的安全性就越難,遠程文件就是說明這個問題的一個很好的例子: "); ?> 上面的腳本試圖打開文件“$filename”,如果失敗就顯示錯誤信息。很明顯,如果我們能夠指定“$filename”的話,就能利用這個腳本瀏覽系統中的任何文件。但是,這個腳本還存在一個不太明顯的特性,那就是它可以從任何其它WEB或FTP站點讀取文件。實際上,PHP的大多數文件處理函數對遠程文件的處理是透明的。 例如: 如果指定“$filename”為“http://target/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir” 則上面的代碼實際上是利用主機target上的unicode漏洞,執行了dir命令。 這使得支持遠程文件的include(),require(),include_once()和require_once()在上下文環境中變得更有趣。這些函數主要功能是包含指定文件的內容,并且把它們按照PHP代碼解釋,主要是用在庫文件上。 例如: 上例中“$libdir”一般是一個在執行代碼前已經設置好的路徑,如果攻擊者能夠使得“$libdir”沒有被設置的話,那么他就可以改變這個路徑。但是攻擊者并不能做任何事情,因為他們只能在他們指定的路徑中訪問文件languages.php(perl中的“Poison null byte”攻擊對PHP沒有作用)。但是由于有了對遠程文件的支持,攻擊者就可以做任何事情。例如,攻擊者可以在某臺服務器上放一個文件languages.php,包含如下內容: 然后把“$libdir”設置為“http://