PHP漏洞全解(二)-命令注入攻击

PHP漏洞全解(二)-命令注入攻击

分类： Web安全 2012-04-13 15:26 67人阅读 评论(0) 收藏 举报

phpcommandstringsystemshelloutput

命令注入攻击
PHP中可以使用下列5个函数来执行外部的应用程序或函数
system、exec、passthru、shell_exec、“(与shell_exec功能相同)
函数原型
string system(string command, int &return_var)
    command 要执行的命令
    return_var 存放执行命令的执行后的状态值
string exec (string command, array &output, int &return_var)
    command 要执行的命令
    output 获得执行命令输出的每一行字符串
    return_var 存放执行命令后的状态值
void passthru (string command, int &return_var)
    command 要执行的命令
    return_var 存放执行命令后的状态值
    string shell_exec (string command)
    command 要执行的命令
漏洞实例
例1:

[php] view plaincopy

1.     //ex1.php   
2.     $dir = $_GET["dir"];   
3.     if (isset($dir))   
4.     {   
5.     echo "  
6.   
7.     ";   
8.   
9.     system("ls -al ".$dir);   
10.     echo "  
11.   
12. ";   
13. }   
14. ?>   

我们提交ex1.php?dir=| cat /etc/passwd
提交以后，命令变成了 system("ls -al | cat /etc/passwd");

eval注入攻击
eval函数将输入的字符串参数当作PHP程序代码来执行
函数原型:
mixed eval(string code_str) //eval注入一般发生在攻击者能控制输入的字符串的时候

[php] view plaincopy

1. //ex2.php   
2. $var = "var";   
3. if (isset($_GET["arg"]))   
4. {   
5. $arg = $_GET["arg"];   
6. eval("\$var = $arg;");   
7. echo "\$var =".$var;   
8. }   
9. ?>   

当我们提交ex2.php?arg=phpinfo();漏洞就产生了；
动态函数

[php] view plaincopy

1. php   
2. func A()   
3. {   
4. dosomething();   
5. }   
6. func B()   
7. {   
8. dosomething();   
9. }   
10. if (isset($_GET["func"]))   
11. {   
12. $myfunc = $_GET["func"];   
13. echo $myfunc();   
14. }   
15. ?>   

程序员原意是想动态调用A和B函数，那我们提交ex.php?func=phpinfo漏洞产生
防范方法
1、尽量不要执行外部命令
2、使用自定义函数或函数库来替代外部命令的功能
3、使用escapeshellarg函数来处理命令参数
4、使用safe_mode_exec_dir指定可执行文件的路径
esacpeshellarg函数会将任何引起参数或命令结束的字符转义，单引号“’”，替换成“\’”，双引号“"”，替换成“\"”，分号“;”替换成“\;”
用safe_mode_exec_dir指定可执行文件的路径，可以把会使用的命令提前放入此路径内
safe_mode = On
safe_mode_exec_dir = /usr/local/php/bin/