PHP反序列化误差清静通告

宣布时间 2018-08-23

误差编号和级别

 

CVE编号：无，， ，，，，危险级别：高危，， ，，，，CVSS分值：官方未评定


影响版本


PHP > 5.3


误差概述


Secarma 公司的清静研究员 Sam Thomas 发明一种新型使用手艺，， ，，，，可导致黑客通过使用此前被以为危害较低的函数触发 PHP 语言中严重的反序列化误差。。。。。。。这种新手艺导致成千上万款 web 应用程序易遭远程代码执行攻击，， ，，，，包括一些受热门内容治理系统驱动的网站如 WordPress 和 Typo3。。。。。。。


PHP 反序列化或工具注入误差最早爆发在2009年，， ，，，，它可导致攻击者通过向 unserialized () PHP 函数提供恶意输入的要领执行多种攻击。。。。。。。序列化是将数据工具转换为纯字符串的历程，， ，，，，而反序列化函数资助程序从字符串重新建设工具。。。。。。。Thomas 发明攻击者能使用针对 Phar 文件的低危害函数触发反序列化攻击，， ，，，，而无需在种种场景中使用 unserialize () 函数。。。。。。。Phar 文件是 PHP 中的一种存档名堂，， ，，，，它以序列化名堂存储元数据，， ，，，，当文件操作函数 (fopen、file_exists、file_get_contents 等)试图会见存档文件时就会被反序列化。。。。。。。


误差验证


大大都PHP文件操作允许使用种种URL协议去会见文件路径：如data://，， ，，，，zlib://或php://。。。。。。。其中一些通常用于使用远程文件包括误差，， ，，，，攻击者可以使用它们控制文件包括的完整路径，， ，，，，可是很少人关注 phar://,Phar（PHP Archive）文件的有趣之处在于它包括序列化名堂的元数据。。。。。。。通过以下代码建设phar


凯发·k8(中国游)官方网站


通过以下代码举行测试：


凯发·k8(中国游)官方网站


通过执行效果可以看到，， ，，，，若是现在通过phar://对我们现有的Phar文件举行文件操作，， ，，，，则其序列化元数据将被反序列化。。。。。。。这意味着我们在元数据中注入的工具将被加载到应用程序中。。。。。。。若是此应用程序具有已命名的类TestObject，， ，，，，并且具有魔术函数destruct()或wakeup()，， ，，，，则会自动挪用这些要领。。。。。。。这意味着我们可以在代码库中触发任何析构函数或叫醒要领，， ，，，，若是这些邪术函数对我们注入的数据举行操作，， ，，，，那么这可能会导致进一步的误差。。。。。。。


攻击者若是可以控制诸如include()，， ，，，，fopen()，， ，，，，file_get_contents()，， ，，，，file()等文件操作的函数，， ，，，，则可以造成严重的误差。。。。。。。因此，， ，，，，通常需要在这些函数使用前验证用户的输入。。。。。。。


到现在为止，， ，，，，攻击者若是可以控制诸如include()，， ，，，，fopen()，， ，，，，file_get_contents()，， ，，，，file()等文件操作的函数，， ，，，，则可以造成严重的误差。。。。。。。因此，， ，，，，通常需要在这些函数使用前验证用户的输入。。。。。。。


修复建议


Thomas 将问题见告 WordPress，， ，，，，后者证实该问题保存。。。。。。。WordPress宣布的补丁并未完全解决这个问题。。。。。。。


Thomas 将误差见告 Typo3 公司，， ，，，，Typo3宣布版本 7.6.30、8.7.17 和 9.3 解决了该问题。。。。。。。


缓解计划：


1、对PHAR档案举行署名检测。。。。。。。


2、若是不需要，， ，，，，禁用PHAR扩展。。。。。。。


参考链接


https://thehackernews.com/2018/08/php-deserialization-wordpress.html