Security risk of php string offset

by ryat_at_www.80vul.com
一、前言[关于PCH]

“PCH”及”Php Codz Hacking”是80vul在2009年4月推出的一个项目,主要是在php源代码的基
础分析和探讨一些可以给php应用安全带来影响的’特性’或者’漏洞’。这个项目最早起源于
webzine 0x3里的《高级PHP应用程序漏洞审核技术》[1]:

* 分析php源代码,发现新的漏洞函数“特性”或者漏洞。(在上一节里介绍的那些“漏洞审
计策略”里,都没有php源代码的分析,如果你要进一步找到新的字典,可以在php源代码的
基础上分析下成因,然后根据这个成因来分析寻找新的漏洞函数“特性”或者漏洞。)

而本文就是PCH的一篇,在php的代码基础上分析PHP字符串offset一个可以给PHP应用程序带
来安全风险的小”特性”…

二、PHP String Offset

先来看看手册中关于字符串offset取值特性的一段描述[详见[2]]:

String access and modification by character

Characters within strings may be accessed and modified by specifying the
zero-based offset of the desired character after the string using square array
brackets, as in $str[42]. Think of a string as an array of characters for this
purpose. The functions substr() and substr_replace() can be used when you want
to extract or replace more than 1 character.

Note: Strings may also be accessed using braces, as in $str{42}, for the
same purpose.

通过这个特性可以很方便的对字符串进行修改或者取值等操作,比如下面的代码:

再看看这段代码:

为什么对于字符串$xigr来说,$xigr[0]和$xigr[‘hi’]取得值是一样的呢?让我们来看看PHP部
分源码…

三、PHP源码分析:

上面的代码片段可以看出,对于$xigr[‘hi’]这种形式的字符串,在offset取值时键值会被转换
为整形,也就是等同于$xigr[0]这种形式:)

四、带来的应用安全风险

虽然这是一个很方便的特性,但是如果开发者对这个特性没有充分的认识或者忽视的时候,就
可以给应用程序带来灾难性的安全漏洞。这个主要体现开发者在处理数组变量名时没有指定
变量类型,当这个数组变量被恶意提交字符类型来取值,导致的一些安全风险。

1、绕过某些条件判断

如在phpspy2006的代码在判断登录时使用了如下条件判断:

$admin没有被初始定义为数组类型,那么当我们用字符串提交时phpsyp.php?admin=1xxx时,
php会取字符串1xxx的第一位,成功绕过if的条件判断。

[PS:此漏洞是由80vul的saiy发现的,thx]

2、”魔术引号带来的新的安全问题”

在《高级PHP应用程序漏洞审核技术》[1]一文里的”魔术引号带来的新的安全问题”一节里,有
提到通过提取魔术引号产生的“\”字符带来的安全问题,同样这个问题在这里又一次完美体
现,如下面的代码片段:

上面的代码原本期望得到一个经过daddslashes()安全处理后的数组变量$xigr[‘hi’],但是没
有对变量$xigr做严格的类型规定,当我们提交一个字符串变量$xigr=’ryat,经过上面的处理
变为\’ryat,到最后$xigr[‘hi’]就会输出\,如果这个变量引入到SQL语句,那么就会引起严重
的安全问题了,再来看下面的代码片段:

利用上面提到的思路,通过提交foo.php?xigr[]=’&xigr[][uid]=evilcode这样的构造形式可
以很容易的突破GPC或类似的安全处理,形成SQL注射漏洞:D

五、后话

上面的例子再一次说明努力挖掘PHP本身的特性或者漏洞才是PHP应用安全的主要出路。另外
还有一句话送给各位看官“虫子永远属于那些有想法勤劳的小鸟”。

六、参考

[1]http://code.google.com/p/pasc2at/wiki/SimplifiedChinese
[2]:http://php.net/manual/en/language.types.string.php

留下评论