PHP反序列化误差清静通告

宣布时间 2018-08-23

误差编号和级别

 

CVE编号：无， ，，，，，，危险级别：高危， ，，，，，，CVSS分值：官方未评定


影响版本


PHP > 5.3


误差概述


Secarma 公司的清静研究员 Sam Thomas 发明一种新型使用手艺， ，，，，，，可导致黑客通过使用此前被以为危害较低的函数触发 PHP 语言中严重的反序列化误差。 。。。。。这种新手艺导致成千上万款 web 应用程序易遭远程代码执行攻击， ，，，，，，包括一些受热门内容治理系统驱动的网站如 WordPress 和 Typo3。 。。。。。


PHP 反序列化或工具注入误差最早爆发在2009年， ，，，，，，它可导致攻击者通过向 unserialized () PHP 函数提供恶意输入的要领执行多种攻击。 。。。。。序列化是将数据工具转换为纯字符串的历程， ，，，，，，而反序列化函数资助程序从字符串重新建设工具。 。。。。。Thomas 发明攻击者能使用针对 Phar 文件的低危害函数触发反序列化攻击， ，，，，，，而无需在种种场景中使用 unserialize () 函数。 。。。。。Phar 文件是 PHP 中的一种存档名堂， ，，，，，，它以序列化名堂存储元数据， ，，，，，，当文件操作函数 (fopen、file_exists、file_get_contents 等)试图会见存档文件时就会被反序列化。 。。。。。


误差验证


大大都PHP文件操作允许使用种种URL协议去会见文件路径：如data://， ，，，，，，zlib://或php://。 。。。。。其中一些通常用于使用远程文件包括误差， ，，，，，，攻击者可以使用它们控制文件包括的完整路径， ，，，，，，可是很少人关注 phar://,Phar（PHP Archive）文件的有趣之处在于它包括序列化名堂的元数据。 。。。。。通过以下代码建设phar


918博天堂(中国游)最新官方网站


通过以下代码举行测试：


918博天堂(中国游)最新官方网站


通过执行效果可以看到， ，，，，，，若是现在通过phar://对我们现有的Phar文件举行文件操作， ，，，，，，则其序列化元数据将被反序列化。 。。。。。这意味着我们在元数据中注入的工具将被加载到应用程序中。 。。。。。若是此应用程序具有已命名的类TestObject， ，，，，，，并且具有魔术函数destruct()或wakeup()， ，，，，，，则会自动挪用这些要领。 。。。。。这意味着我们可以在代码库中触发任何析构函数或叫醒要领， ，，，，，，若是这些邪术函数对我们注入的数据举行操作， ，，，，，，那么这可能会导致进一步的误差。 。。。。。


攻击者若是可以控制诸如include()， ，，，，，，fopen()， ，，，，，，file_get_contents()， ，，，，，，file()等文件操作的函数， ，，，，，，则可以造成严重的误差。 。。。。。因此， ，，，，，，通常需要在这些函数使用前验证用户的输入。 。。。。。


到现在为止， ，，，，，，攻击者若是可以控制诸如include()， ，，，，，，fopen()， ，，，，，，file_get_contents()， ，，，，，，file()等文件操作的函数， ，，，，，，则可以造成严重的误差。 。。。。。因此， ，，，，，，通常需要在这些函数使用前验证用户的输入。 。。。。。


修复建议


Thomas 将问题见告 WordPress， ，，，，，，后者证实该问题保存。 。。。。。WordPress宣布的补丁并未完全解决这个问题。 。。。。。


Thomas 将误差见告 Typo3 公司， ，，，，，，Typo3宣布版本 7.6.30、8.7.17 和 9.3 解决了该问题。 。。。。。


缓解计划：


1、对PHAR档案举行署名检测。 。。。。。


2、若是不需要， ，，，，，，禁用PHAR扩展。 。。。。。


参考链接


https://thehackernews.com/2018/08/php-deserialization-wordpress.html