搜索

[21215] 2020-08-27_PHP编码安全：请求伪造攻击

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-08-27_PHP编码安全：请求伪造攻击 P H P 编 码 安 全 ： 请 求 伪 造 攻 击 L e m o n S e c   2 0 2 0 - 0 8 - 2 7 来 自 公 众 号 ： 计 算 机 与 网 络 安 全 如 果 W e b 系 统 中 存 在 服 务 器 请 求 伪 造 漏 洞 ， 不 仅 会 影 响 系 统 本 身 ， 而 且 会 影 响 到 与 其 相 关 的 其 他 系 统 服 务 。 一 个 被 忽 视 的 服 务 器 请 求 伪 造 漏 洞 ， 很 容 易 引 起 蝴 蝶 效 应 ， 可 能 给 整 个 系 统 带 来 长 期 的 巨 大 危 害 。 1 、 服 务 器 请 求 伪 造 、 服 务 器 请 求 伪 造 服 务 器 请 求 伪 造 （ S e r v e r - S i d e   R e q u e s t   F o r g e r y ， S S R F ） 漏 洞 是 一 种 由 攻 击 者 利 用 某 服 务 器 请 求 来 获 取 内 网 或 外 网 系 统 资 源 ， 从 服 务 器 发 起 请 求 的 一 个 安 全 漏 洞 。 正 因 为 它 是 由 服 务 器 发 起 的 ， 所 以 它 能 够 请 求 到 与 它 相 连 而 与 外 网 隔 离 的 内 部 系 统 。 一 般 情 况 下 ， S S R F 攻 击 的 目 标 是 企 业 的 内 网 系 统 。 S S R F 可 以 对 外 网 、 服 务 器 所 在 内 网 、 本 地 进 行 端 口 扫 描 ， 获 取 一 些 服 务 的 b a n n e r 信 息 。 攻 击 运 行 于 内 网 或 本 地 的 应 用 程 序 （ 比 如 攻 击 内 部 数 据 库 系 统 ） ， 并 通 过 扫 描 默 认 W e b 文 件 对 内 网 W e b 应 用 进 行 指 纹 识 别 ， 同 时 可 以 利 用 f i l e 协 议 读 取 本 地 文 件 。 S S R F 形 成 的 原 因 大 多 是 由 于 服 务 器 提 供 了 从 其 他 服 务 器 应 用 中 获 取 数 据 的 功 能 且 没 有 对 目 标 地 址 进 行 过 滤 与 限 制 ， 比 如 从 指 定 U R L 地 址 中 获 取 网 页 文 本 内 容 、 加 载 指 定 地 址 的 图 片 、 下 载 等 。 S S R F 漏 洞 流 程 如 图 1 所 示 ， 即 ： 图 1     S S R F 攻 击 流 程 1 ） 攻 击 者 构 造 请 求 ； 2 ） 服 务 器 根 据 攻 击 者 构 造 的 请 求 对 内 网 服 务 器 进 行 请 求 ； 3 ） 内 网 服 务 器 将 请 求 反 馈 给 服 务 器 ； 4 ） 服 务 器 将 获 取 到 的 内 网 资 源 返 回 给 攻 击 者 。 2 、 、 S S R F 漏 洞 的 危 害 漏 洞 的 危 害 S S R F 漏 洞 的 主 要 危 害 是 使 服 务 器 资 源 泄 露 ， 内 网 服 务 任 意 扫 描 泄 露 内 网 信 息 。 很 多 网 站 提 供 了 通 过 用 户 指 定 的 U R L 上 传 图 片 和 文 件 的 功 能 ， 可 以 将 第 三 方 的 图 片 和 文 件 直 接 保 存 在 当 前 的 W e b 系 统 上 ， 如 果 用 户 输 入 的 U R L 是 无 效 的 ， 大 部 分 的 W e b 应 用 会 返 回 错 误 信 息 。
攻 击 者 可 以 输 入 一 些 不 常 见 但 有 效 的 U R L ， 比 如 以 下 U R L 。 h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 / d i r / i m a g e s / h t t p : / / 1 2 7 . 0 . 0 . 1 : 2 2 / d i r / p u b l i c / i m a g e . j p g h t t p : / / 1 2 7 . 0 . 0 . 1 : 3 3 0 6 / d i r / i m a g e s / 然 后 根 据 服 务 器 的 返 回 信 息 来 判 断 端 口 是 否 开 放 。 大 部 分 应 用 并 不 会 去 判 断 端 口 ， 只 要 是 有 效 的 U R L ， 就 会 发 出 请 求 。 而 大 部 分 的 T C P 服 务 ， 在 建 立 s o c k e t 连 接 时 就 会 发 送 b a n n e r 信 息 。 b a n n e r 信 息 是 使 用 A S C I I 编 码 的 ， 能 够 作 为 原 始 的 H T M L 数 据 展 示 。 当 然 ， 服 务 端 在 处 理 返 回 信 息 的 时 候 一 般 不 会 直 接 展 示 ， 但 是 不 同 的 错 误 码 ， 返 回 信 息 的 长 度 以 及 返 回 时 间 都 可 以 作 为 依 据 来 判 断 远 程 服 务 器 的 端 口 状 态 。 以 下 是 一 段 未 经 过 安 全 编 码 的 代 码 ， 有 很 大 概 率 被 攻 击 者 利 用 进 行 端 口 扫 描 。 < ? p h p i f ( i s s e t ( $ _ G E T [ ' u r l ' ] ) ) { $ u r l = $ _ G E T [ ' u r l ' ] ; $ f i l e n a m e = ' / t m p / ' . r a n d ( ) . ' t x t ' ; $ c h = c u r l _ i n i t ( ) ; $ t i m e o u t = 5 ; c u r l _ s e t o p t ( $ c h , C U R L O P T _ U R L , $ u r l ) ; c u r l _ s e t o p t ( $ c h , C U R L O P T _ F O L L O W L O C A T I O N , 1 ) ; c u r l _ s e t o p t ( $ c h , C U R L O P T _ R E T U R N T R A N S F E R , 1 ) ; c u r l _ s e t o p t ( $ c h , C U R L O P T _ C O N N E C T T I M E O U T , $ t i m e o u t ) ; $ c o n t e n t = c u r l _ e x e c ( $ c h ) ; $ f p _ i n = f o p e n ( $ f i l e n a m e , ' w ' ) ; f w r i t e ( $ f p _ i n , $ c o n t e n t ) ; f c l o s e ( $ f p _ i n ) ; $ f p _ o u t = f o p e n ( $ f i l e n a m e , " r " ) ; $ r e s u l t = f r e a d ( $ f p _ o u t , f i l e s i z e ( $ f i l e n a m e ) ) ; f c l o s e ( $ f p _ o u t ) ; e c h o   $ r e s u l t ; }   e l s e   { e c h o   " 请 输 入 资 源 地 址 " ; } 由 于 上 面 不 安 全 编 码 的 代 码 ， 容 易 被 攻 击 者 利 用 对 内 网 W e b 应 用 进 行 指 纹 识 别 ， 识 别 内 网 应 用 所 使 用 的 框 架 、 平 台 、 模 块 以 及 c m s ， 这 实 际 上 为 潜 在 的 攻 击 提 供 了 很 多 “ 便 利 ” 。 大 多 数 W e b 应 用 框 架 有 一 些 独 特 的 文 件 和 目 录 ， 通 过 这 些 文 件 可 以 识 别 出 应 用 的 类 型 ， 甚 至 是 详 细 的 版 本 。 根 据 这 些 信 息 就 可 以 有 针 对 性 地 搜 集 漏 洞 进 行 攻 击 。 比 如 可 以 通 过 访 问 下 列 文 件 来 判 断 p h p M y A d m i n 是 否 安 装 。 h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 / p h p M y A d m i n / t h e m e s / o r i g i n a l / i m g / b _ t b l i m p o r t . p n g h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 1 / w p - c o n t e n t / t h e m e s / d e f a u l t / i m a g e s / a u d i o . j p g
h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 2 / p r o f i l e s / m i n i m a l / t r a n s l a t i o n s / R E A D M E . t x t 3 、 在 、 在 P H P 中 容 易 引 起 中 容 易 引 起 S S R F 的 函 数 的 函 数 容 易 出 现 S S R F 漏 洞 的 功 能 代 码 通 常 是 为 了 获 取 远 程 或 本 地 内 容 ， 例 如 使 用 f i l e _ g e t _ c o n t e n t s ( ) 、 f s o c k o p e n ( ) 、 c u r l ( ) 等 函 数 。 如 使 用 f i l e _ g e t _ c o n t e n t s ( ) 函 数 从 用 户 指 定 的 U R L 中 获 取 文 件 ， 然 后 把 它 输 出 到 浏 览 器 端 用 于 下 载 。 < ? p h p $ c o n t e n t = b a s e 6 4 _ d e c o d e ( f i l e _ g e t _ c o n t e n t s ( $ _ G E T [ ' u r l ' ] ) ) ; e c h o   $ c o n t e n t ; 正 常 情 况 下 ， 用 户 的 下 载 地 址 是 通 过 服 务 端 提 供 的 b a s e 6 4 编 码 后 的 路 径 回 传 到 服 务 端 进 行 下 载 操 作 的 ， 不 会 造 成 S S R F 漏 洞 ， 但 是 攻 击 者 很 容 易 识 别 b a s e 6 4 的 内 容 ， 如 果 攻 击 者 将 下 载 地 址 替 换 成 自 己 伪 造 的 编 码 内 容 ， 则 可 以 下 载 服 务 器 上 的 任 意 文 件 ， 以 及 对 内 网 地 址 进 行 扫 描 。 如 将 / e t c / p a s s w o r d 进 行 b a s e 6 4 编 码 之 后 放 在 U R L 参 数 中 ， 会 直 接 将 / e t c / p a s s w o r d 的 内 容 展 示 在 页 面 上 ， 使 得 攻 击 者 能 直 接 获 取 服 务 器 的 所 有 用 户 列 表 ， 从 而 危 害 服 务 器 的 安 全 。 使 用 f s o c k o p e n ( ) 函 数 实 现 获 取 用 户 指 定 U R L 中 的 数 据 。 这 个 函 数 会 使 用 s o c k e t 与 服 务 器 建 立 t c p 连 接 ， 传 输 原 始 数 据 。 在 下 面 的 示 例 代 码 中 ， 由 于 研 发 人 员 的 疏 忽 ， 用 户 一 旦 传 入 “ 主 机 名 + 端 口 + 地 址 ” 之 后 ， 攻 击 者 可 以 对 内 网 服 务 器 进 行 任 意 扫 描 。 < ? p h p f u n c t i o n   G e t F i l e ( $ h o s t , $ p o r t , $ l i n k ) { $ f p   =   f s o c k o p e n ( $ h o s t ,   i n t v a l ( $ p o r t ) ,   $ e r r n o ,   $ e r r s t r ,   3 0 ) ;   i f   ( ! $ f p )   { e c h o   " $ e r r s t r   ( e r r o r   n u m b e r   $ e r r n o )   n " ; }   e l s e   { $ o u t   =   " G E T   $ l i n k   H T T P / 1 . 1 r n " ; $ o u t   . =   " H o s t :   $ h o s t r n " ; $ o u t   . =   " C o n n e c t i o n :   C l o s e r n r n " ;     $ o u t   . =   " r n " ; f w r i t e ( $ f p ,   $ o u t ) ; $ c o n t e n t s = ' ' ; w h i l e   ( ! f e o f ( $ f p ) )   { $ c o n t e n t s . =   f g e t s ( $ f p ,   1 0 2 4 ) ; } f c l o s e ( $ f p ) ; r e t u r n   $ c o n t e n t s ; } } e c h o   G e t F i l e ( $ _ G E T [ ' h o s t ' ] , $ _ G E T [ ' p o r t ' ] , $ _ G E T [ ' l i n k ' ] ) ; ? >
c u r l 函 数 使 用 不 当 获 取 数 据 也 会 造 成 S S R F 漏 洞 。 < ? p h p i f   ( i s s e t ( $ _ P O S T [ ' u r l ' ] ) ) { $ l i n k   =   $ _ P O S T [ ' u r l ' ] ; $ c u r l o b j   =   c u r l _ i n i t ( ) ; c u r l _ s e t o p t ( $ c u r l o b j ,   C U R L O P T _ P O S T ,   0 ) ; c u r l _ s e t o p t ( $ c u r l o b j , C U R L O P T _ U R L , $ l i n k ) ; c u r l _ s e t o p t ( $ c u r l o b j ,   C U R L O P T _ R E T U R N T R A N S F E R ,   1 ) ; $ r e s u l t = c u r l _ e x e c ( $ c u r l o b j ) ; c u r l _ c l o s e ( $ c u r l o b j ) ; e c h o   $ r e s u l t ; } ? > 4 、 容 易 造 成 、 容 易 造 成 S S R F 的 功 能 点 的 功 能 点 从 上 面 的 流 程 可 以 看 出 ， S S R F 都 是 由 于 服 务 端 需 要 获 取 其 他 服 务 器 的 相 关 服 务 的 功 能 而 造 成 的 ， 因 此 可 以 列 举 几 种 在 W e b 应 用 中 常 见 的 从 服 务 端 获 取 其 他 服 务 器 信 息 的 功 能 。 （ （ 1 ） 页 面 分 享 ） 页 面 分 享 如 图 2 所 示 ， 某 网 站 的 页 面 分 享 。 用 户 输 入 希 望 分 享 的 U R L ， 该 网 站 会 通 过 自 己 的 后 端 服 务 器 获 取 U R L 中 的 内 容 返 回 到 用 户 页 面 中 。 图 2     页 面 分 享 通 过 目 标 U R L 地 址 获 取 了 网 页 标 题 、 图 片 和 相 关 文 本 内 容 。 如 果 在 此 功 能 中 没 有 对 目 标 地 址 的 范 围 进 行 过 滤 与 限 制 ， 则 就 存 在 着 S S R F 漏
洞 。 国 内 多 家 知 名 互 联 网 企 业 曾 因 为 分 享 功 能 而 被 曝 出 S S R F 漏 洞 。 （ （ 2 ） 页 面 转 码 ） 页 面 转 码 移 动 互 联 网 刚 刚 兴 起 的 时 候 ， 大 部 分 网 站 不 提 供 专 门 的 移 动 端 页 面 ， 而 手 机 端 的 移 动 浏 览 器 不 能 很 好 地 支 持 P C 浏 览 器 的 页 面 展 示 （ 包 括 昂 贵 的 流 量 费 用 因 素 ） 。 很 多 搜 索 公 司 为 了 抢 占 移 动 端 的 市 场 入 口 ， 纷 纷 推 出 了 页 面 转 码 服 务 ， 通 过 搜 索 ， 将 P C 端 的 页 面 转 成 适 应 移 动 端 浏 览 器 可 查 看 的 页 面 。 一 旦 控 制 不 当 ， 很 容 易 产 生 S S R F 漏 洞 。 （ （ 3 ） 翻 译 服 务 ） 翻 译 服 务 为 了 不 懂 外 语 的 用 户 可 以 正 常 浏 览 外 语 页 面 ， 翻 译 服 务 通 过 U R L 地 址 翻 译 对 应 页 面 中 文 本 的 内 容 ， 以 方 便 用 户 阅 读 。 如 果 不 做 好 内 网 穿 透 限 制 ， 则 很 容 易 被 攻 击 者 利 用 。 （ （ 4 ） 图 片 加 载 与 下 载 ） 图 片 加 载 与 下 载 通 过 U R L 地 址 加 载 或 下 载 图 片 。 比 如 ， 加 载 图 片 服 务 器 上 的 图 片 展 示 给 用 户 ， 为 了 有 更 好 的 用 户 体 验 ， 通 常 对 图 片 进 行 尺 寸 比 例 调 整 、 水 印 添 加 、 图 片 格 式 转 换 、 压 缩 等 ， 就 可 能 造 成 S S R F 漏 洞 。 （ （ 5 ） 图 片 、 文 章 收 藏 功 能 ） 图 片 、 文 章 收 藏 功 能 早 期 ， 有 好 的 个 人 博 客 ， 可 以 将 其 他 互 联 网 服 务 商 的 内 容 ， 例 如 图 片 、 文 字 内 容 等 ， 通 过 爬 虫 或 者 单 个 U R L 获 取 页 面 中 的 内 容 ， 并 复 制 到 自 己 的 服 务 器 上 。 通 常 不 会 限 制 访 问 路 径 ， 很 容 易 造 成 S S R F 漏 洞 。 5 、 、 S S R F 漏 洞 防 御 漏 洞 防 御 防 止 S S R F 漏 洞 的 主 要 方 式 是 合 理 控 制 访 问 权 限 ， 尽 可 能 地 控 制 P H P 的 访 问 权 限 ， 防 止 穿 透 到 内 网 以 及 访 问 非 授 权 的 资 源 。 通 常 需 要 做 到 以 下 几 点 。 1 ） 无 特 殊 需 要 的 情 况 下 ， 不 要 从 用 户 那 里 接 收 要 访 问 的 U R L ， 防 止 用 户 自 行 构 建 U R L 地 址 进 行 穿 透 访 问 。 2 ） 在 没 有 对 服 务 器 本 身 文 件 访 问 需 求 的 情 况 下 ， 建 议 开 启 P H P 的 o p e n _ b a s e d i r 配 置 ， 将 P H P 的 访 问 限 制 在 特 定 目 录 下 ， 禁 止 P H P 随 意 访 问 服 务 器 任 意 路 径 。 在 P H P 配 置 中 进 行 如 下 设 置 开 启 o p e n _ b a s e d i r 。 o p e n _ b a s e d i r = / h o m e / w e b / p h p / ;   P H P 配 置 中 限 定 P H P 的 访 问 目 录 为 / h o m e / w e b / p h p / 或 在 P H P 项 目 中 使 用 i n i _ s e t ( ) 函 数 进 行 开 启 。 i n i _ s e t ( ' o p e n _ b a s e d i r ' , ' / h o m e / w e b / p h p / ' ) ;
;   P H P 项 目 中 限 定 P H P 的 访 问 目 录 为 / h o m e / w e b / p h p / 开 启 o p e n _ b a s e d i r 可 以 有 效 地 防 止 f i l e _ g e t _ c o n t e n t 、 c u r l 、 f o p e n 等 函 数 对 服 务 器 敏 感 文 件 进 行 访 问 。 3 ） 如 果 必 须 接 收 用 户 传 递 的 U R L ， 建 议 使 用 白 名 单 机 制 。 如 下 面 的 代 码 示 例 中 ， 只 允 许 用 户 请 求 特 定 的 网 址 ， 限 制 请 求 的 端 口 为 H T T P 常 用 的 端 口 ， 比 如 8 0 、 4 4 3 ， 同 时 只 允 许 用 户 访 问 特 定 的 文 件 类 型 ， 如 只 允 许 访 问 静 态 文 件 。 并 且 统 一 系 统 返 回 的 错 误 信 息 ， 避 免 请 求 的 错 误 信 息 直 接 返 回 给 用 户 ， 避 免 用 户 可 以 根 据 错 误 信 息 来 判 断 远 端 服 务 器 的 端 口 状 态 。 禁 用 不 需 要 的 协 议 ， 仅 仅 允 许 H T T P 和 H T T P S 请 求 ， 可 以 防 止 类 似 于 f i l e : / / / 、 g o p h e r : / / 、 f t p : / / 等 引 起 的 安 全 问 题 。 < ? p h p $ u r l = $ _ G E T [ ' u r l ' ] ; $ s c h e m e W h i t e L i s t = a r r a y ( " h t t p " , " h t t p s " ) ; $ h o s t W h i t e L i s t = a r r a y ( " w w w . p t p r e s s . c o m . c n " ) ; $ p o r t W h i t e L i s t = a r r a y ( " 8 0 " , " 4 4 3 " ) ; $ t y p e W h i t e L i s t = a r r a y ( " h t m l " , " g i f " , " p n g " , " j p e g " ) ; $ u r l I n f o = p a r s e _ u r l ( $ u r l ) ; / /   只 允 许 H T T P 和 H T T P S 请 求 i f ( ! i n _ a r r a y ( $ u r l I n f o [ ' s c h e m e ' ] , $ s c h e m e W h i t e L i s t ) )   { d i e ( " 访 问 地 址 类 型 错 误 ！ " ) ; } / /   只 允 许 访 问 白 名 单 内 的 域 名 i f ( ! i n _ a r r a y ( $ u r l I n f o [ ' h o s t ' ] , $ h o s t W h i t e L i s t ) )   { d i e ( " 访 问 地 址 错 误 ！ " ) ; } / /   只 允 许 访 问 白 名 单 内 的 端 口 i f ( ! i n _ a r r a y ( $ u r l I n f o [ ' p o r t ' ] , $ p o r t W h i t e L i s t ) )   { d i e ( " 访 问 地 址 端 口 错 误 ！ " ) ; } $ t y p e = p a t h i n f o ( $ u r l , P A T H I N F O _ E X T E N S I O N ) ; / /   只 允 许 访 问 白 名 单 内 的 文 件 类 型 i f ( ! i n _ a r r a y ( $ t y p e , $ t y p e W h i t e L i s t ) )   { d i e ( " 访 问 文 件 类 型 错 误 ！ " ) ; } $ i n f o = f i l e _ g e t _ c o n t e n t s ( $ u r l ) ; i f ( e m p t y ( $ i n f o ) )   { d i e ( " 访 问 失 败 " ) ; }   e l s e   { e c h o   $ i n f o ; } ? >
4 ） 如 果 在 项 目 中 需 要 获 取 外 网 资 源 ， 建 议 使 用 黑 名 单 屏 蔽 内 网 ， 以 避 免 应 用 被 用 来 获 取 内 网 数 据 ， 攻 击 内 网 。 < ? p h p $ u r l = $ _ G E T [ ' u r l ' ] ; $ s c h e m e W h i t e L i s t = a r r a y ( " h t t p " , " h t t p s " ) ; $ b l a c k H o s t L i s t = a r r a y ( " 1 7 2 . " , " 1 0 . " , " l o c a l h o s t " , " 1 2 7 . " , " 1 9 2 . " ) ; $ b l a c k I p L i s t = a r r a y ( " 1 7 2 . " , " 1 0 . " , " 1 2 7 . " , " 1 9 2 . " ) ; $ u r l I n f o = p a r s e _ u r l ( $ u r l ) ; / /   只 允 许 H T T P 和 H T T P S 请 求 i f ( ! i n _ a r r a y ( $ u r l I n f o [ ' s c h e m e ' ] , $ s c h e m e W h i t e L i s t ) )   { d i e ( " 访 问 地 址 类 型 错 误 ！ " ) ; } / /   拒 绝 访 问 黑 名 单 内 的 地 址 f o r e a c h ( $ b l a c k H o s t L i s t   a s   $ b l a c k H o s t )   { i f ( s t r p o s ( $ u r l I n f o [ ' h o s t ' ] , $ b l a c k H o s t ) = = = 0 )   { d i e ( " 访 问 地 址 错 误 ！ " ) ; } } $ i p = g e t h o s t b y n a m e ( $ u r l I n f o [ ' h o s t ' ] ) ; / /   拒 绝 访 问 黑 名 单 内 的 I P f o r e a c h ( $ b l a c k I p L i s t   a s   $ i p H o s t )   { i f ( s t r p o s ( $ i p , $ i p H o s t ) = = = 0 )   { d i e ( " 访 问 地 址 错 误 ！ " ) ; } } $ i n f o = f i l e _ g e t _ c o n t e n t s ( $ u r l ) ; i f ( e m p t y ( $ i n f o ) )   { d i e ( " 访 问 失 败 " ) ; }   e l s e   { e c h o   $ i n f o ; } ? >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理