搜索

[7827] 2014-02-27_浅谈开源web程序后台的安全性

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2014-02-27_浅谈开源web程序后台的安全性 浅 谈 开 源 w e b 程 序 后 台 的 安 全 性 F r e e B u f   2 0 1 4 - 0 2 - 2 7 一 、 前 言 一 、 前 言         不 知 怎 的 最 近 甚 是 思 念 校 园 生 活 ， 思 念 食 堂 的 炒 饭 。 那 时 会 去 各 种 安 全 b b s 上 刷 刷 帖 子 ， 喜 欢 看 别 人 写 的 一 些 关 于 安 全 技 巧 或 经 验 的 总 结 ； 那 时 B B S 上 很 多 文 章 标 题 都 是 ： 成 功 渗 透 X X X ， 成 功 拿 下 X X X 。 这 里 便 以 一 篇 入 侵 菲 律 宾 某 大 学 的 文 章 引 出 文 章 的 主 题 ， 我 们 先 简 要 看 一 下 过 程 。 大 学 网 站 使 用 了 名 为 j o o m l a 的 开 源 w e b 程 序 ， （ 1 ） 青 年 使 用 一 个 j o o m l a 已 经 公 开 的 漏 洞 进 入 w e b 后 台 （ 2 ） 青 年 使 用 j o o m l a 后 台 上 传 限 制 不 严 的 缺 陷 上 传 了 一 个 w e b s h e l l （ 3 ） 控 制 主 机 赠 送 我 国 国 旗 。                 原 来 入 侵 一 台 主 机 如 此 容 易 ， 管 理 员 果 断 给 w e b 程 序 打 上 安 全 补 丁 。 管 理 员 的 工 作 是 结 束 了 ， 作 为 安 全 从 业 人 员 再 一 想 是 不 是 j o o m l a 后 台 这 里 可 以 上 传 w e b s h e l l 是 不 是 有 问 题 呢 ， 如 果 j o o m l a 后 台 不 能 上 传 w e b s h e l l ， 是 不 是 可 以 减 少 入 侵 的 可 能 和 损 失 。 下 面 进 入 本 文 的 主 题 ： w e b 后 台 程 序 的 安 全 性 。 二 、 简 介 二 、 简 介         国 内 很 多 站 点 都 是 基 于 开 源 论 坛 、 c m s 搭 建 的 ， 比 如 d i s c u z 、 p h p w i n d 、 d e d e c m s 等 。 这 些 程 序 都 是 国 内 开 源 w e b 程 序 中 的 佼 佼 者 ， 也 比 较 注 重 安 全 性 。 平 时 大 家 关 注 比 较 多 的 是 s q l 注 入 、 x s s 这 些 可 以 直 接 窃 取 用 户 数 据 的 漏 洞 。 网 上 因 为 弱 口 令 被 入 侵 的 案 例 数 不 胜 数 ， 此 外 用 户 数 据 泄 漏 事 件 时 而 发 生 ， 单 纯 靠 密 码 防 护 的 后 台 被 突 破 ， 被 社 工 的 可 能 性 越 来 越 大 。 获 取 一 个 管 理 后 台 密 码 后 ， 再 结 合 后 台 程 序 的 任 意 代 码 执 行 、 文 件 包 含 或 命 令 注 入 等 漏 洞 得 到 一 个 s h e l l ， 窃 取 用 户 资 料 不 是 什 么 难 事 。 此 时 后 台 程 序 的 安 全 性 成 为 一 个 短 板 。               D i s c u z 是 一 款 流 行 的 论 坛 程 序 ， 笔 者 这 里 就 以 它 的 后 台 程 序 为 例 简 单 分 析 一 下 其 安 全 性 ， 下 面 直 接 看 一 些 漏 洞 案 例 （ D i s c u z 最 新 版 本 已 打 补 丁 ） 。 三 、 案 例 分 析 三 、 案 例 分 析 T i p s ： 下 文 提 到 的 $ s e t t i n g n e w 是 d i s c u z 后 台 存 储 表 单 数 据 的 变 量 ， 后 台 用 户 可 控 。 案 例 一 ： 用 户 输 入 数 据 过 滤 逻 辑 不 当 案 例 一 ： 用 户 输 入 数 据 过 滤 逻 辑 不 当 漏 洞 文 件 ： X 3 s o u r c e a d m i n c p a d m i n c p _ s e t t i n g . p h p 分 析 ： / /   1 、 a l i c e 修 改 $ s e t t i n g n e w [ ' e x t c r e d i t s ' ] 非 数 组 i f ( i s _ a r r a y ( $ s e t t i n g n e w [ ' e x t c r e d i t s ' ] ) )   { f o r e a c h ( $ s e t t i n g n e w [ ' e x t c r e d i t s ' ]   a s   $ k e y   = >   $ v a l u e )   {
/ /   2 、 给 $ s e t t i n g n e w [ ' i n i t c r e d i t s ' ] [ 1 ] 传 入 p h p i n f o ( ) ; , 非 数 组 绕 过 i n t v a l 转 换 $ s e t t i n g n e w [ ' i n i t c r e d i t s ' ] [ $ i ]   =   i n t v a l ( $ s e t t i n g n e w [ ' i n i t c r e d i t s ' ] [ $ i ] ) ; . . .   省 略   . . . f o r ( $ i   =   1 ;   $ i   < =   8 ;   $ i + + )   { / /   3 、   p h p i n f o ( ) ; 被 赋 值 给 $ i n i t f o r m u l a $ i n i t f o r m u l a   =   s t r _ r e p l a c e ( ' e x t c r e d i t s ' . $ i ,   $ s e t t i n g n e w [ ' i n i t c r e d i t s ' ] [ $ i ] ,   $ i n i t f o r m u l a ) ; } / /   4 、 p h p i n f o ( ) 带 入 e v a l 执 行 e v a l ( " $ _ G [ ' s e t t i n g ' ] [ ' i n i t c r e d i t s ' ]   =   r o u n d ( $ i n i t f o r m u l a ) ; " ) ; 案 例 二 ： 二 次 注 入 案 例 二 ： 二 次 注 入                 简 单 介 绍 一 下 二 次 注 入 ， 恶 意 用 户 a l i c e 在 A 处 传 入 恶 意 数 据 并 被 存 储 到 数 据 库 ， 在 A 处 不 直 接 导 致 安 全 问 题 ； B 处 引 用 到 A 处 存 储 的 数 据 ， 从 而 触 发 安 全 问 题 。 漏 洞 文 件 ： X 3 s o u r c e a d m i n c p a d m i n c p _ s e t t i n g . p h p 分 析 ： 分 析 ： / /   1 、 a l i c e 上 传 一 个 图 片 木 马 假 设 为 1 . g i f ;   a l i c e 设 置 $ s e t t i n g n e w [ ' s e c c o d e d a t a ' ] [ ' t y p e ' ] 值 为 1 . g i f 0 : x x （ 根 据 图 片 地 址 做 适 当 目 录 跳 转 ） ； 该 值 未 作 任 何 过 滤 存 入 数 据 库 i f ( $ s e t t i n g n e w [ ' s e c c o d e d a t a ' ] [ ' t y p e ' ]   = =   0   | |   $ s e t t i n g n e w [ ' s e c c o d e d a t a ' ] [ ' t y p e ' ]   = =   2 )   { $ s e c c o d e r o o t   =   ' s t a t i c / i m a g e / s e c c o d e / f o n t / e n / ' ; }   e l s e i f ( $ s e t t i n g n e w [ ' s e c c o d e d a t a ' ] [ ' t y p e ' ]   = =   1 )   { $ s e c c o d e r o o t   =   ' s t a t i c / i m a g e / s e c c o d e / f o n t / c h / ' ; } 漏 洞 文 件 ： s o u r c e m o d u l e m i s c m i s c _ s e c c o d e . p h p / /   2 、 $ _ G [ ' s e t t i n g ' ] [ ' s e c c o d e d a t a ' ] [ ' t y p e ' ] 值 来 自 于 数 据 库 ， 即 为 1 处 传 入 的 1 . g i f 0 : x x i f ( ! i s _ n u m e r i c ( $ _ G [ ' s e t t i n g ' ] [ ' s e c c o d e d a t a ' ] [ ' t y p e ' ] ) )   { $ e t y p e   =   e x p l o d e ( ' : ' ,   $ _ G [ ' s e t t i n g ' ] [ ' s e c c o d e d a t a ' ] [ ' t y p e ' ] ) ; i f ( c o u n t ( $ e t y p e )   >   1 )   { / /   3 、   0 截 断 得 到 $ c o d e f i l e 为 图 片 小 马 ( 也 可 使 用 . / . / . / . / 多 个 路 径 符 方 法 截 断 ) $ c o d e f i l e   =   D I S C U Z _ R O O T . ' . / s o u r c e / p l u g i n / ' . $ e t y p e [ 0 ] . ' / s e c c o d e / s e c c o d e _ ' . $ e t y p e [ 1 ] . ' . p h p ' ; . . .   省 略   . . . i f ( f i l e _ e x i s t s ( $ c o d e f i l e ) )   { / /   4 、 图 片 木 马 被 i n c l u d e 得 到 w e b s h e l l @ i n c l u d e _ o n c e   $ c o d e f i l e ; 案 例 三 ： 程 序 升 级 新 增 逻 辑 导 致 的 漏 洞 案 例 三 ： 程 序 升 级 新 增 逻 辑 导 致 的 漏 洞 漏 洞 文 件 ： X 3 s o u r c e a d m i n c p a d m i n c p _ a d v . p h p / /   1 、 a l i c e 上 传 一 个 图 片 木 马 假 设 为 1 . g i f ;   a l i c e 传 入 t y p e 参 数 值 为 1 . g i f 0 : x x （ 根 据 图 片 地 址 做 适 当 目 录 跳 转 ） $ t y p e   =   $ _ G E T [ ' t y p e ' ] ; . . .   . . . i f ( $ t y p e )   {
/ / 2 、 得 到 $ e t y p e 为 1 . g i f 0 $ e t y p e   =   e x p l o d e ( ' : ' ,   $ t y p e ) ; i f ( c o u n t ( $ e t y p e )   >   1 )   { / / 3 、 $ a d v f i l e 值 被 0 截 断 ， 为 图 片 木 马 路 径 1 . g i f $ a d v f i l e   =   D I S C U Z _ R O O T . ' . / s o u r c e / p l u g i n / ' . $ e t y p e [ 0 ] . ' / a d v / a d v _ ' . $ e t y p e [ 1 ] . ' . p h p ' ; $ a d v c l a s s   =   ' a d v _ ' . $ e t y p e [ 1 ] ; } . . .   省 略   . . . / / 4 、 包 含 图 片 木 马 ， 得 到 w e b s h e l l i f ( f i l e _ e x i s t s ( $ a d v f i l e ) )   { r e q u i r e _ o n c e   $ a d v f i l e ; 对 比 下 X 2 . 5 版 本 的 逻 辑 ， 此 处 漏 洞 完 全 是 因 为 新 增 代 码 导 致 的 。 $ t y p e   =   $ _ G E T [ ' t y p e ' ] ; $ t a r g e t   =   $ _ G E T [ ' t a r g e t ' ] ; $ t y p e a d d   =   ' ' ; i f ( $ t y p e )   { $ a d v f i l e   =   l i b f i l e ( ' a d v / ' . $ t y p e ,   ' c l a s s ' ) ; i f ( f i l e _ e x i s t s ( $ a d v f i l e ) )   { r e q u i r e _ o n c e   $ a d v f i l e ; 案 例 四 ： 漏 洞 修 补 不 完 善 案 例 四 ： 漏 洞 修 补 不 完 善 漏 洞 文 件 ： X 3 a p i u c . p h p 分 析 ： / / 1 、 c o n f i g _ u c e n t e r . p h p 内 容 部 分 截 取 如 下 ： d e f i n e ( ' U C _ A P I ' ,   ' h t t p : / / l o c a l h o s t / b b s / u c _ s e r v e r ' ) ; $ c o n f i g f i l e   =   t r i m ( f i l e _ g e t _ c o n t e n t s ( D I S C U Z _ R O O T . ' . / c o n f i g / c o n f i g _ u c e n t e r . p h p ' ) ) ; . . .   . . . / / 2 、 $ U C _ A P 外 部 可 控 ， a l i c e 传 入 $ U C _ A P I 的 值 为 x y z ' ) ; e v a l ( $ _ P O S T [ c m d ] ; 得 到 $ c o n f i g f i l e 值 为 d e f i n e ( ' U C _ A P I ' , ' x y z ' ) ; e v a l ( $ _ P O S T [ c m d ] ; ' ) ;   x y z 后 面 的 引 号 被 转 义 。 $ c o n f i g f i l e = p r e g _ r e p l a c e ( " / d e f i n e ( ' U C _ A P I ' , s * ' . * ? ' ) ; / i " , " d e f i n e ( ' U C _ A P I ' , ' " . a d d s l a s h e s ( $ U C _ A P I ) . " ' ) ; " ,   $ c o n f i g f i l e ) ; / / 3 、 将 d e f i n e ( ' U C _ A P I ' ,   ' x y z ' ) ; e v a l ( $ _ P O S T [ c m d ] ; ' ) ; 写 入 配 置 文 件 i f ( $ f p   =   @ f o p e n ( D I S C U Z _ R O O T . ' . / c o n f i g / c o n f i g _ u c e n t e r . p h p ' ,   ' w ' ) )   {               @ f w r i t e ( $ f p ,   t r i m ( $ c o n f i g f i l e ) ) ;               @ f c l o s e ( $ f p ) ; } / / 4 、 a l i c e 再 次 传 入 $ U C _ A P I 的 值 为 x y z ， p r e g _ r e p l a c e 使 用 的 正 则 表 达 式 是 d e f i n e ( ' U C _ A P I ' , s * ' . * ? ' ) ;   . * ? ' 非 贪 婪 匹 配 ， 匹 配 到 第 一 个 引 号 结 束 ， 之 前 的 转 义 符 被 替 换 x y z 替 换 为 x y z ， 从 而 得 到 $ c o n f i g f i l e 值 为 d e f i n e ( ' U C _ A P I ' ,   ' x y z ' ) ; e v a l ( $ _ P O S T [ c m d ] ; ' ) ; 写 入 配 置 文 件 得 到 w e b s h e l l 。 这 个 问 题 早 在 2 0 1 0 年 外 部 已 经 公 开 ， 官 方 已 及 时 发 出 补 丁 详 情 请 参 考 ： h t t p : / / w w w . o l d j u n . c o m / b l o g / i n d e x . p h p / a r c h i v e s / 7 6 / 四 、 总 结 四 、 总 结               上 面 这 些 例 子 主 要 是 笔 者 实 践 经 验 的 一 些 总 结 ， 不 一 定 全 面 ， 希 望 能 给 大 家 拓 展 一 些 思 路 ； 比 如 上 述 提 到 的 二 次 注 入 ， $ s e t t i n g n e w [ ' s e c c o d e d a t a ' ] [ ' t y p e ' ] 这 个 变 量 没 过 滤 ， $ s e t t i n g n e w 的 其 他 数 组 也 可 能 没 过 滤 ， 也 确 实 存 在 多 处 类 似 的 问 题 ， 大 家 可 以 自 行 去 尝 试 一 下 。 关 于 代 码 审 计 的 方 法 主 要 有 两 个 大 方 向 ： （ 1 ） 危 险 函 数 向 上 追 踪 输 入 ； （ 2 ） 追 踪 用 户 输 入 是 否 进 入 危 险 函 数 ； 这 里 的 危 险 函 数 关 于 危 险 函 数 主 要 包 括 代 码 执 行 相 关 ： e v a l 、 a s s e r t ， 文 件 包 含 ： i n c l u d e 、 r e q u i r e 等 ， 命 令 执
行 ： s y s t e m 、 e x e c 等 ， 写 文 件 ： f w r i t e 、 f i l e _ p u t _ c o n t e n t s 等 ； 代 码 审 计 的 方 法 这 里 推 荐 两 篇 文 章 h t t p s : / / c o d e . g o o g l e . c o m / p / p a s c 2 a t / w i k i / S i m p l i f i e d C h i n e s e h t t p : / / w e n k u . b a i d u . c o m / v i e w / c 8 5 b e 9 5 a 3 b 3 5 6 7 e c 1 0 2 d 8 a 1 2 . h t m l 五 、 反 思 五 、 反 思 1 、 一 切 输 入 都 是 有 害 的 ； 后 台 程 序 的 用 户 输 入 相 比 前 台 主 要 增 加 了 后 台 表 单 的 数 据 ， 此 外 有 些 后 台 支 持 上 传 文 件 ( 如 d z 1 . 5 的 自 定 义 s q l ) ， 上 传 文 件 的 内 容 也 属 于 输 入 ； 这 些 输 入 都 属 于 用 户 范 围 。 一 定 要 做 严 格 的 控 制 和 过 滤 。 2 、 安 全 意 识 ； 其 实 很 多 漏 洞 的 产 生 并 不 是 技 术 问 题 导 致 的 ， 而 是 我 们 缺 乏 安 全 意 识 ， 不 重 视 安 全 而 酿 成 的 惨 剧 。 尤 其 是 第 三 个 和 第 四 个 ， 完 全 不 应 该 发 生 ； 需 要 对 开 发 人 员 做 安 全 宣 导 和 基 本 的 安 全 培 训 。 3 、 漏 洞 R e v i e w ； （ 1 ） 开 发 人 员 收 到 漏 洞 后 要 对 漏 洞 产 生 的 原 因 做 总 结 ， 并 R e v i e w 代 码 中 是 否 有 类 似 的 问 题 。 有 些 时 候 开 发 人 员 仅 仅 是 修 补 了 安 全 人 员 或 白 帽 子 提 供 的 漏 洞 点 ， 另 外 一 处 代 码 有 类 似 的 问 题 没 修 补 继 续 爆 出 漏 洞 ， 无 穷 无 尽 。 这 样 做 还 会 带 来 更 大 的 隐 患 ， 黑 客 是 非 常 乐 意 并 擅 长 总 结 反 思 的 ， 每 一 个 补 丁 其 实 也 是 给 黑 客 拓 展 了 思 路 ， 如 果 修 补 不 完 全 后 果 很 严 重 。 （ 2 ） 开 发 人 员 修 补 完 成 后 安 全 人 员 需 要 进 行 测 试 确 认 ， 上 述 的 案 例 四 就 是 鲜 明 的 例 子 。 有 条 件 的 情 况 下 安 全 人 员 应 该 整 理 一 些 常 见 漏 洞 修 复 指 引 ， 这 样 也 可 以 提 高 工 作 效 率 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理