軟體 - PHP程序中的一般漏洞

[psac]

PHP程序中的一般漏洞

正如我們前面討論的那樣，include()和require()主要是為了支持程式碼庫，因為我們一般是把一些經常使用的函數放到一個獨立的文件中，這個獨立的文件就是程式碼庫，當需要使用其中的函數時，我們只要把這個程式碼庫包含到現用的文件中就可以了。

最初，人們開發和發怖PHP程序的時候，為了區別程式碼庫和主程序程式碼，一般是為程式碼庫文件設定一個「.inc」的副檔名，但是他們很快發現這是一個錯誤，因為這樣的文件無法被PHP解釋器正確解析為PHP程式碼。如果我們直接請求伺服器上的這種文件時，我們就會得到該檔案的來源碼，這是因為當把PHP作為Apache的模組使用時，PHP解釋器是根據文件的副檔名來決定是否解析為PHP程式碼的。副檔名是站點管理員指定的，一般是「.php」， 「.php3」和「.php4」。如果重要的組態資料被包含在沒有合適的副檔名的PHP文件中，那麼遠端攻擊者很容易得到這些訊息。

最簡單的解決方法就是給每個文件都指定一個PHP文件的副檔名，這樣可以很好的防止洩露來源碼的問題，但是又產生了新的問題，通過請求這個文件，攻擊者可能使本該在上下文環境中執行的程式碼獨立執行，這可能導致前面討論的全部攻擊。

下面是一個很明顯的例子：

In main.php:
<?php
$libDir = "/libdir";
$langDir = "$libdir/languages";

...

include("$libdir/loadlanguage.php":
?>

In libdir/loadlanguage.php:
<?php
...

include("$langDir/$userLang");
?>

當「libdir/loadlanguage.php」被「main.php」使用時是相當安全的，但是因為「libdir/loadlanguage」具有「.php」的副檔名，因此遠端攻擊者可以直接請求這個文件，並且可以任意指定「$langDir」和「$userLang」的值。
[Session文件]
PHP 4或更新的版本提供了對sessions的支持，它的主要作用是在PHP程序中儲存頁與頁之間的狀態訊息。例如，當一個用戶登入進入網站，他登入了這個事實以及誰登入進入這個網站都被儲存在session中，當他在網站中到處瀏覽時，所有的PHP程式碼都可以獲得這些狀態訊息。

事實上，當一個session啟動時（實際上是在組態文件中設定為在第一次請求時自動啟動），就會產生一個隨機的「session id」，如果遠端瀏覽器總是在傳送請求時提交這個「session id」的話，session就會一直保持。這通過Cookie很容易實現，也可以通過在每頁提交一個表單變數（包含「session id」）來實現。PHP程序可以用session註冊一個特殊的變數，它的值會在每個PHP指令碼結束後存在session文件中，也會在每個PHP指令碼開始前載入到變數中。下面是一個簡單的例子：

<?php
session_destroy(); // Kill any data currently in the session
$session_auth = "shaun";
session_register("session_auth"); // Register $session_auth as a session variable
?>

新版本的PHP都會自動把「$session_auth」的值設定為「shaun」，如果它們被修改的話，以後的指令碼都會自動接受修改後的值，這對無狀態的Web來說的確是種很不錯的工具，但是我們也應該小心。

一個很明顯的問題就是確保變數的確來自session，例如，給定上面的程式碼，如果後續的指令碼是下面這樣的話：

<?php
if (!empty($session_auth))
// Grant access to site here
?>

上面的程式碼假定如果「$session_auth」被置位的話，就是從session，而不是從用戶輸入來置位的，如果攻擊者通過表單輸入來置位的話，他就可以獲得對站點的訪問權。注意攻擊者必須在session註冊該變數之前使用這種攻擊方法，一旦變數被放進了session，就會覆蓋任何表單輸入。

Session資料一般是儲存在文件中（位置是可組態的，一般是「/tmp」），檔案名一般是類似「sess_<session id>」的形式，這個文件包含變數名稱，變數檔案類型，變數值和一些其它的資料。在多主機系統中，因為文件是以執行Web伺服器的用戶身份（一般是nobody）儲存的，因此惡意的站點擁有者就可以通過新增一個session文件來獲得對其它站點的訪問，甚至可以檢查session文件中的敏感訊息。

Session機制也為攻擊者把自己的輸入儲存在遠端系統的文件中提供了另一個方便的地方，對於上面的例子來說，攻擊者需要在遠端系統放置一個包含PHP程式碼的文件，如果不能利用文件上載做到的話，他通常會利用session為一個變數按照自己的意願賦一個值，然後猜測session文件的位置，而他知道檔案名是「php<session id>」，所以只需猜測目錄，而目錄一般就是「/tmp」。

另外，攻擊者可以任意指定「session id」（例如「hello」），然後用這個「session id」新增一個session文件（例如「/tmp/sess_hello」），但是「session id」只能是字母和數位組合。

[資料檔案類型]
PHP具有比較鬆散的資料檔案類型，變數的檔案類型依賴於它們所處的上下文環境。例如：「$hello」開始是字串串變數，值為「」，但是在求值時，就變成了整形變數「0」，這有時可能會導致一些意想不到的結果。如果「$hello」的值為「000」還是為「0」是不同的，empty()返回的結果也不會為真。

PHP中的陣列是關聯陣列，也就是說，陣列的索引是字串串型的。這意味著「$hello["000"]」和「$hello[0]」也是不同的。

開發程序的時候應該仔細地考慮上面的問題，例如，我們不應該在一個地方測試某個變數是否為「0」，而在另外的地方使用empty()來驗證。

[容易出現錯誤的函數]
我們在分析PHP程序中的漏洞時，如果能夠拿到來源碼的話，那麼一份容易出現錯誤的函數列表則是我們非常需要的。如果我們能夠遠端改變這些函數的參數的話，那麼我們就很可能發現其中的漏洞。下面是一份比較詳細的容易出現錯誤的函數列表：

<PHP程式碼執行>
require()：讀取指定文件的內容並且作為PHP程式碼解釋
include()：同上
eval()：把給定的字串串作為PHP程式碼執行
preg_replace()：當與「/e」開關一起使用時，取代字串串將被解釋為PHP程式碼

<指令執行>
exec()：執行指定的指令，返回執行結果的最後一行
passthru()：執行指定指令，返回所有結果到客戶瀏覽器
``：執行指定指令，返回所有結果到一個陣列
system()：同passthru()，但是不處理二進制資料
popen()：執行指定的指令，把輸入或輸出連線到PHP文件描述符

<文件洩露>
fopen()：開啟文件，並對應一個PHP文件描述符
readfile()：讀取文件的內容，然後輸出到客戶瀏覽器
file()：把整個文件內容讀到一個陣列中

譯者註：其實這份列表還不是很全，比如「mail()」等指令也可能執行指令，所以需要自己補充一下。
[如何增強PHP的安全性]
我在上面介紹的所有攻擊對於預設安裝的PHP 4都可以很好的實現，但是我已經重複了很多次，PHP的組態非常靈活，通過組態一些PHP選項，我們完全可能抵抗其中的一些攻擊。下面我按照實現的難度對一些組態進行了分類：

*低難度
**中低難度
***中高難度
****高難度

上面的分類只是個人的看法，但是我可以保證，如果你使用了PHP提供的所有選項的話，那麼你的PHP將是很安全的，即使是第三方的程式碼也是如此，因為其中很多功能已經不能使用。

**** 設定「register_globals」為「off」
這個選項會禁止PHP為用戶輸入新增全局變數，也就是說，如果用戶提交表單變數「hello」，PHP不會新增「$ hello」，而只會新增「HTTP_GET/POST_VARS[』hello』]」。這是PHP中一個極其重要的選項，關閉這個選項，會給編程帶來很大的不便。

*** 設定「safe_mode」為「on」
開啟這個選項，會增加如下限制：
1． 限制哪個指令可以被執行
2． 限制哪個函數可以被使用
3． 關於指令碼所有權和目標文件所有權的文件訪問限制
4． 禁止文件上載功能
這對於ISP來說是一個偉大的選項，同時它也能極大地改進PHP的安全性。

** 設定「open_basedir」
這個選項可以禁止指定目錄之外的文件操作，有效地消除了本機文件或者是遠端文件被include()的攻擊，但是仍需要注意文件上載和session文件的攻擊。

** 設定「display_errors」為「off」，設定「log_errors」為「on」
這個選項禁止把錯誤資訊顯示在網頁中，而是記錄到日誌文件中，這可以有效的抵制攻擊者對目標指令碼中函數的探測。

* 設定「allow_url_fopen」為「off」
這個選項可以禁止遠端文件功能，極力推薦！

[psac]

WAP與PHP程序設計之基礎篇

WAP的發展離不開其WWW的底蘊，畢竟，整個WAP傳輸協定的制定參照了WWW的模型，並且盡可能地沿用了Internet的諸多標準和技術，如WML語言脫胎於HTML與XML，WMLScript與傳統的指令碼語言也很相似。的確，WAP雖然是個新名詞，但是它卻與傳統的國際網際網路密不可分地結合著，在結構上如此，在技術上更是如此。
　　
　　在WAP傳輸協定中提到WAP頁面所使用的標記語言為WML，當需要進行較進階的操作，如使用終端機的某些資源時，可以使用WMLScript指令碼語言，這兩種語言很簡單，甚至可以用簡陋來形容，特別是它們對資料庫的操作幾乎無能為力，這種"缺陷"與WAP廣闊的商務和套用前景格格不入，但我們並不是無能為力的，由於WAP和WWW的交融，我們仍然可以使用WWW的技術與資源來解決資料庫的訪問問題，因為畢竟多數資料庫仍處於有線網路內。
　　
　　目前最流行的網頁編程語言和資料庫的搭配是什麼？相信很多人會說出"PHP"與"MySQL"這兩個名字。它們屬於WWW或者有線網際網路的範疇，由於使用方便與功能強大的特點而美名傳播，那麼它們能夠為WAP服務嗎？答案是肯定的。不熟悉WAP或者PHP的人或許有些不解，畢竟在傳統意義上PHP提供的是WWW的內容與服務，對於WAP，它們能"相容"嗎？

　　PHP粗解

　　看了WAP的介紹，大家應該開始逐步理解PHP為何仍能為WAP服務了。PHP與HTML、WML、Javascript、Java都不一樣，它是在伺服器端執行的，而Javascript、Java等都執行在瀏覽器端，相對於WAP，WMLScript執行於客戶端機端，但是，以上的這些語言都可以很容易與PHP結合起來。 　　

　　PHP具有很大的靈活性，在WWW中，它可以產生所需要的任何HTML程式碼，甚至Javascript程式碼。同樣，在WAP中，我們仍然可以利用PHP這種動態、靈活的特點，產生任意的WML程式碼，這樣，PHP自然能夠為WAP服務。 　　
　　
　　之所以使用PHP來提供WAP服務，除了它靈活的特點外，還由於PHP可以方便的使用資料庫。用戶可以使用PHP存取Oracle、Sybase、MS SQL、MySQL、dBase、Informix等任何支持ODBC標準的資料庫，這點正好迎合了WAP商務的需求。 　　

　　在實用中，一般需要建立PHP文件，當用戶向伺服器發出瀏覽該PHP文件的請求時，伺服器將根據文件中的程式碼產生相應的HTML或WML內容，並傳送給瀏覽器或WAP終端。 　　
　　如想獲取關於PHP的訊息，可以前往http://www.php.com檢視。

　　PHP－WML

　　PHP的系統平台、工作方式、安裝方法，這些都不在本文的討論範圍內，畢竟我們的重點是PHP如何與WAP協作。一般而言，為了能讓PHP工作，我們需要帶有PHP模組的Web伺服器，或者說支持PHP的伺服器，Apache是世界上最流行的Web伺服器，另外，我們還需要安裝PHP軟體以及如MySQL這樣的資料庫，具體內容可以查閱相關書籍或網站。下面我們討論如何讓PHP產生WML程式碼。
　　
　　在WWW中，PHP產生的第一行內容往往是： content-type: text/html
　　
　　但是，WAP終端是讀不懂這樣的標題的。WAP終端從伺服器下載的服務機構是Deck，瀏覽的服務機構是Card，一般一個Deck就組成一個WML文件。那麼，為WAP服務時，PHP文件中往往需要包含如下的程式碼：

　　header("Content-type:text/vnd.wap.wml");
　　echo "＜xml version=\"1.01"＞\n"
　　echo"＜! DOCTYPE wml PUBLIC \"-//WAPFORUM//DTD WML 1.1//EN\"\"http://www.wapforum.org//DTD//wml_1.1.xml\"＞\n";

　　以上三行程式碼產生了WML文件（Deck）的文件頭，這樣WAP終端就可以識別所下載的Deck是否WML格式，並且接著顯示餘下的Deck內容。
　　
　　下面是一個最簡單的Deck，它在WAP終端上顯示"Hello World"。

　＜?xml version="1.0" encoding="ISO-8859-1"?＞ ＜! DOCTYPE wml PUBLIC "-//WAPFORUM//DTD WML 1.1//EN" "http://www.wapforum.org//DTD//wml_1.1.xml"＞
　　＜/xml＞
　　＜!--Nokia Parser Info:Phone = Nokia 7110; Height = 90; Width = 130; CurrentDeckSize = 38; MaxDeckSize = 1600; CardsOnEachLine = 5; CardsVerticalGap = 30--＞
　　＜/card id="card1" ordered="true" newcontext="false"＞
　　＜p align="left"＞
　　Hello World
　　＜/p＞
　　＜/card＞
　　＜/wml＞

　　我們建立的相應的PHP文件如下：

　　＜?php
　　header("Content-type:text/vnd.wap.wml");
　　echo "＜?xml version=\"1.0\"＞\n";
　　echo "＜!DOCTYPE wml PUBLIC \"-//WAPFORUM//DTD WML 1.1//EN\" \"http://www.wapforum.org//DTD//wml_1.1.xml\"＞\n";
　　echo "\n";
　　echo "＜!--Nokia Parser Info: Phone = Nokia 7110; Height = 90; Width = 130; CurrentDeckSize = 38; MaxDeckSize = 1600; CardsOnEachLine = 5; CardsVerticalGap = 30--＞\n";
　　echo "＜card id=\"card1\" ordered=\"true\" newcontext=\"false\"＞ ";
　　echo "＜p align=\"left\"＞\n";
　　echo "Hello World";
　　echo "＜/p＞";
　　echo "＜/card＞";
　　echo "＜/wml＞";
　　?＞

　　我們可以將該檔案存為index.php3，當WAP終端瀏覽該網站時，Web伺服器會自動根據index.php3的內容產生如上所列的WML內容，並傳送給網路閘道進行處理。WAP終端收到該Deck後，將會在顯示螢幕上顯示"Hello World"的字樣。
　　
　　以上是關於PHP在WAP中最簡單的套用，它只是簡單地產生若干行WML程式碼，並沒有牽扯到資料庫的訪問。其實，PHP強大的功能可以為WAP提供很豐富的服務，而最值得挖掘的就是其強大的資料庫支持