还记得我之前说的PHP Hash Collisions Ddos漏洞吧? 最初的时候,开发组给出的修复方案,采用的是如果超过max_input_vars,就报错(E_ERROR),继而导致PHP出错结束,而后来,为了更加轻量级的解决这个问题,我们又改善了一下,变成了如果超过max_input_vars,就发出警告(E_WARNING),并且不再往目的数组添加,但是流程继续,然后我们发布了5.3.9.
这个新的修复方法初衷是好的,但是却带来一个严重的问题(5.3.10中已经修复),这个问题最初是由Stefan Esser发现的,请看之前(5.3.9)最终的修复方案(php_register_variable_ex),代码如下:
while (1) { if (zend_symtable_find(symtable1, escaped_index, index_len + 1, (void **) &gpc_element_p) == FAILURE || Z_TYPE_PP(gpc_element_p) != IS_ARRAY) { //(3) if (zend_hash_num_elements(symtable1) <= PG(max_input_vars)) { // (4) if (zend_hash_num_elements(symtable1) == PG(max_input_vars)) { php_error_docref(NULL TSRMLS_CC, E_WARNING, "Input variables exceeded %ld. ...", PG(max_input_vars)); // (1) } MAKE_STD_ZVAL(gpc_element); array_init(gpc_element); zend_symtable_update(symtable1, escaped_index, index_len + 1, &gpc_element, sizeof(zval *), (void **) &gpc_element_p); } //...... } //..... symtable1 = Z_ARRVAL_PP(gpc_element_p); // (2) goto plain; }
注意到,如果此时注册一个数组变量(在GET中类似于:a[]=2),并且此时这个变量刚好是第max_input_vars个变量的时候,会触发一个警告(1),此时一切正常.
但是,如果此时还是注册一个数组变量,但是这个变量已经是第max_input_vars + 1个变量的时候,那么此时gpc_element_p将成为一个未初始化的指针,而因为现在逻辑会继续走, 也就会走到(2)号位置, 导致解引用了一个未初始化的指针,于是,Boomb~
那么,到目前位置,我们就可以使用这样的特性来对5.3.9做Ddos了,如果Server开启了Core Dump的话,这个效果会非常明显.
然而,这个问题还会导致一个更严重的问题:
还是上面的代码,在最外层有一个循环,这个循环起作用的时刻在注册类似于a[b]=2的pair对的时候,循环将会执行俩次,第一次插入a[],第二次往a[]中插入b.然后再让我们注意下(3),如果在目的数组中找不到一个想要的元素,**或者这个元素不为数组**,则也会直接导致流程留到(2),于是问题就出现了.
对于这样的POST串(默认max_input_vars是1000):
1=1&1=2&..........&999=1&x="我是恶意的string"&x[0]=
会发生什么事情呢?让我来一步一步描述下:
1.从1到999没什么问题, 都被正常插入
2.x是1000个元素, 所以触发警告, 也没有问题, x被插入
3.x[0]插入的时候,(3)号语句判断发现不是Arrary于是进入if体,但是此时(4)号语句失败, 于是流程最终流到了(2)
4.此时,gpc_element_p指向x,也就是那个我们伪造的字符串….现在让我们看看关键的数据结构,zval,代码如下:
struct _zval_struct { /* Variable information */ zvalue_value value; /* value */ zend_uint refcount__gc; zend_uchar type; /* active type */ zend_uchar is_ref__gc; };
然后看zvalue_value,代码如下:
typedef union _zvalue_value { long lval; /* long value */ double dval; /* double value */ struct { char *val; int len; } str; HashTable *ht; /* hash table value */ zend_object_value obj; } zvalue_value;
zvalue_value是一个联合体,于是我们构造的字符串区域的内存,就会被当做一个Hashtable结构体,代码如下:
typedef struct _hashtable { uint nTableSize; uint nTableMask; uint nNumOfElements; ulong nNextFreeElement; Bucket *pInternalPointer; /* Used for element traversal */ Bucket *pListHead; Bucket *pListTail; Bucket **arBuckets; dtor_func_t pDestructor; //注意这个 zend_bool persistent; unsigned char nApplyCount; zend_bool bApplyProtection; #if ZEND_DEBUG int inconsistent; #endif } HashTable;
在Hashtable结构体中,有一个pDestructor,这个指针指向一个函数,当这个Hashtable中有元素要被清除的时候,就会调用它…
也就是说,你可以随心所欲的设置一个地址(pDestructor),然后让PHP去调用它(诱使一个元素被删除).
本文地址:
转载随意,但请附上文章地址:-)

핫 AI 도구

Undresser.AI Undress
사실적인 누드 사진을 만들기 위한 AI 기반 앱

AI Clothes Remover
사진에서 옷을 제거하는 온라인 AI 도구입니다.

Undress AI Tool
무료로 이미지를 벗다

Clothoff.io
AI 옷 제거제

AI Hentai Generator
AI Hentai를 무료로 생성하십시오.

인기 기사

뜨거운 도구

VSCode Windows 64비트 다운로드
Microsoft에서 출시한 강력한 무료 IDE 편집기

WebStorm Mac 버전
유용한 JavaScript 개발 도구

DVWA
DVWA(Damn Vulnerable Web App)는 매우 취약한 PHP/MySQL 웹 애플리케이션입니다. 주요 목표는 보안 전문가가 법적 환경에서 자신의 기술과 도구를 테스트하고, 웹 개발자가 웹 응용 프로그램 보안 프로세스를 더 잘 이해할 수 있도록 돕고, 교사/학생이 교실 환경 웹 응용 프로그램에서 가르치고 배울 수 있도록 돕는 것입니다. 보안. DVWA의 목표는 다양한 난이도의 간단하고 간단한 인터페이스를 통해 가장 일반적인 웹 취약점 중 일부를 연습하는 것입니다. 이 소프트웨어는

SecList
SecLists는 최고의 보안 테스터의 동반자입니다. 보안 평가 시 자주 사용되는 다양한 유형의 목록을 한 곳에 모아 놓은 것입니다. SecLists는 보안 테스터에게 필요할 수 있는 모든 목록을 편리하게 제공하여 보안 테스트를 더욱 효율적이고 생산적으로 만드는 데 도움이 됩니다. 목록 유형에는 사용자 이름, 비밀번호, URL, 퍼징 페이로드, 민감한 데이터 패턴, 웹 셸 등이 포함됩니다. 테스터는 이 저장소를 새로운 테스트 시스템으로 간단히 가져올 수 있으며 필요한 모든 유형의 목록에 액세스할 수 있습니다.

Atom Editor Mac 버전 다운로드
가장 인기 있는 오픈 소스 편집기
