搜索

[7951] 2014-04-13_分析WordPress3.8.2修復的cookie偽造漏洞

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-17
2014-04-13_分析WordPress3.8.2修復的cookie偽造漏洞 分 析   W o r d P r e s s   3 . 8 . 2   修 復 的 c o o k i e 偽 造 漏 洞 E t t a c k   F r e e B u f   2 0 1 4 - 0 4 - 1 3 4 月 8 日 , w o r d p r e s s 發 布 了 一 個 重 要 更 新 ， 在 該 次 更 新 中 ， 修 復 了 一 系 列 安 全 漏 洞 。 其 中 最 顯 眼 的 就 是 c o o k i e 伪 造 漏 洞 （ C V E   - 2 0 1 4 -   0 1 6 6 ） 。 我 們 來 看 修 補 的 代 碼 ： $ k e y   =   w p _ h a s h ( $ u s e r n a m e   .   $ p a s s _ f r a g   .   ' | '   .   $ e x p i r a t i o n ,   $ s c h e m e ) ; $ h a s h   =   h a s h _ h m a c ( ' m d 5 ' ,   $ u s e r n a m e   .   ' | '   .   $ e x p i r a t i o n ,   $ k e y ) ; -   i f   (   $ h m a c   ! =   $ h a s h   )   {   +     i f   (   h a s h _ h m a c (   ' m d 5 ' ,   $ h m a c ,   $ k e y   )   ! = =   h a s h _ h m a c (   ' m d 5 ' ,   $ h a s h ,   $ k e y   )   )   { 前 日 嘗 試 分 析 該 漏 洞 ， 奈 何 知 識 匱 乏 ， 對 p h p 特 性 不 夠 了 解 ， 一 連 用 了 幾 個 小 時 都 想 不 出 。 想 不 通 為 何 加 了 一 次 h a s h _ h m a c 就 可 以 修 復 漏 洞 。 當 時 的 我 以 為 是 涉 及 到 了 加 密 算 法 上 的 一 些 問 題 ， 就 放 棄 了 。 今 日 突 然 看 到 一 篇 文 章 ， 頓 悟 是 c o m p a r i s i o n   o p e r a t o r 的 問 題 。 其 實 之 前 也 有 注 意 到   “ ! = ”   與   “ ! = = ”   這 兩 個 符 號 的 不 同 ， 不 過 大 致 想 了 一 下 沒 想 到 利 用 的 可 能 ， 就 把 重 點 放 在 了 h a s h _ h m a c 上 。 也 許 這 是 w o r d p r e s s 的 障 眼 法 ？ 呵 呵 ， 說 笑 。 我 們 把 全 部 的 關 注 點 放 到   “ ! = ”   與   “ ! = = ”   上 來 ： 我 們 知 道 p h p 比 較 相 等 性 的 運 算 符 有 兩 種 ， 一 種 是 s t r i c t ， 一 種 是 n o n - s t r i c t 。 p h p   m a n u a l 中 是 這 樣 定 義 的 ： " = = = " 和 " ! = = " 即 s t r i c t 比 較 符 ， 只 有 在 類 型 相 同 時 才 相 等 。 " = = " 和 " ! = " 即 n o n - s t r i c t 比 較 符 ， 會 在 類 型 轉 換 後 進 行 比 較 。 再 看 p h p   m a n u a l 中 給 出 的 例 子 ： < ? p h p v a r _ d u m p ( 0   = =   " a " ) ;   / /   0   = =   0   - >   t r u e v a r _ d u m p ( " 1 "   = =   " 0 1 " ) ;   / /   1   = =   1   - >   t r u e v a r _ d u m p ( " 1 0 "   = =   " 1 e 1 " ) ;   / /   1 0   = =   1 0   - >   t r u e v a r _ d u m p ( 1 0 0   = =   " 1 e 2 " ) ;   / /   1 0 0   = =   1 0 0   - >   t r u e ? > 字 符 串 在 與 數 字 比 較 前 會 自 動 轉 換 為 數 字 ， 所 以 0 = = " a " 了 。 另 外 兩 個 字 符 串 比 較 ， 如 果 兩 個 都 是 數 字 形 式 ， 則 同 時 轉 換 為 數 字 進 行 比 較 , 所 以 " 1 " = = " 0 1 " 。
這 時 你 要 問 了 ， w o r d p r e s s 的 代 碼 中 是 將 c o o k i e 中 的 h a s h 和 真 實 h a s h 這 兩 個 h a s h 的 字 符 串 進 行 比 較 ， 和 這 個 有 什 麼 關 係 呢 ？ 我 們 注 意 上 面 " 1 0 " = = " 1 e 1 " 這 個 例 子 ， p h p 智 能 的 將 科 學 計 數 形 式 的 字 符 串 轉 換 為 對 應 數 字 ( 1 e 1   =   1 * 1 0 ^ 1   =   1 ) 。 兩 個 不 同 的 字 符 居 然 相 等 了 ， 不 知 到 這 裡 你 是 否 得 到 了 啟 示 ？ 好 吧 ， 來 一 個 明 顯 的 ， 你 一 定 會 恍 然 大 悟 ： v a r _ d u m p ( " 0 e 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 " = = = " 0 " )   / / f a l s e v a r _ d u m p ( " 0 e 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 " = = " 0 " )   / / t r u e 當 h a s h 以 " 0 e x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x " 之 類 的 形 式 出 現 時 ， 與 " 0 " 相 等 。 讓 我 們 回 到 w o r d p r e s s 的 驗 證 代 碼 上 來 。 先 生 成 根 據 用 戶 名 ( $ u s e r n a m e ) 、 密 碼 ( $ p a s s _ f r a g ) 、 c o o k i e 有 效 期 ( $ e x p i r a t i o n ) 、 w p - c o n f i g . p h p 中 的 k e y ( $ k e y ) 四 個 信 息 計 算 出 對 應 的 $ h a s h   ( 算 法 很 簡 單 ， 不 細 說 ) ,   然 後 用 c o o k i e 中 取 得 的 $ h m a c 值 與 之 進 行 比 較 ( $ h m a c   ! =   $ h a s h   ? ) ， 從 而 驗 證 c o o k i e 有 效 性 。 另 外 提 下 ， c o o k i e 的 格 式 是 這 樣 的 ： w o r d p r e s s _ h a s h o f u r l = u s e r n a m e | e x p i r a t i o n | h m a c 我 們 能 控 制 的 變 量 有 $ u s e r n a m e 和 $ e x p i r a t i o n ， 其 中 $ u s e r n a m e 需 要 固 定 。 於 是 我 們 可 以 通 過 控 制 c o o k i e 中 的 $ e x p i r a t i o n 去 改 變 $ h a s h 的 值 ， 然 後 將 c o o k i e 中 的 $ h m a c 設 置 為 0 只 要 不 斷 改 變 $ e x p i r a t i o n ， 直 到 滿 足 $ h a s h = = " 0 " 的 $ h a s h 出 現 ， 就 成 功 偽 造 了 有 效 的 c o o k i e 。 當 然 ， 通 過 粗 略 的 數 學 概 率 運 算 即 可 推 知 ， 滿 足 條 件 的 h a s h 出 現 概 率 非 常 之 低 : P   =   S u m ( 1 0 ^ n , n = 0 , 3 0 ) / 1 6 ^ 3 2   =   3 . 2 6 5 2 6 * 1 0 ^ - 9 接 近 三 億 個 請 求 才 有 一 個 可 碰 上 的 概 率 ， 嗚 嗚 ~ 但 是 ， 相 信 我 ， 天 長 日 久 、 海 枯 石 爛 的 付 出 終 歸 是 會 有 結 果 的 。 有 時 看 人 品 ， 人 品 好 的 很 快 就 碰 到 了 ， 人 品 不 好 的 就 如 我 ， 幾 乎 五 億 了 ： 怎 麼 樣 ， 少 年 ， 寫 一 個 多 線 程 腳 本 跑 起 ？ 跑 哪 個 站 呢 ？ 當 然 f r e e b u f 啦 ( 至 發 帖 時 尚 未 更 新 至 3 . 8 . 2 ) 小 编 ： 感 谢 小 编 ： 感 谢 E t t a c k 提 醒 ， 提 醒 ， f r e e b u f 已 第 一 时 间 修 复 了 漏 洞 。 已 第 一 时 间 修 复 了 漏 洞 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理