解析web文件操作常见安全漏洞(目录、文件名检测漏洞)


Posted in PHP onJune 29, 2013

做web开发,我们经常会做代码走查,很多时候,我们都会抽查一些核心功能,或者常会出现漏洞的逻辑。随着技术团队的壮大,组员技术日益成熟。 常见傻瓜型SQL注入漏洞、以及XSS漏洞。会越来越少,但是我们也会发现一些新兴的隐蔽性漏洞偶尔会出现。这些漏洞更多来自开发人员,对一个函数、常见模块功能设计不足,遗留下的问题。以前我们能够完成一些功能模块,现在要求是要安全正确方法完成模块才行。 接下来,我会分享一些常见功能模块,由于设计原因导致漏洞出现。下面,我们先看下,读取文件型功能漏洞。
我们先看下下面一段代码,通过用户输入不同目录,包含不同文件

<?php
///读取模块名称
$mod = isset($_GET['m'])?trim($_GET['m']):'index';
///过滤目录名称不让跳转到上级目录
$mod = str_replace("..",".",$mod);
///得到文件
$file = "/home/www/blog/".$mod.".php";
///包含文件
@include($file);

这段代码,可能在很多朋友做的程序里面有遇到过,对于新人来说,也是很容易出现这样问题,记得走查遇到该代码时候,我问到,你这个代码安全方面能做到那些?
答:1. 对”..”目录有做替换,因此用户传入模块名里面有有..目录都会被替换掉了。
    2.构造拼接file名称,有前面目录限制,有后面扩展名限制,包含文件就会限制在该目录了
这段代码真的做到了目录安全检测吗?
我们来测试下,如果$mod传入这个值将会是什么样的结果。解析web文件操作常见安全漏洞(目录、文件名检测漏洞)

$mod 通过构造输?mod=…%2F…%2F…%2F…%2Fetc%2Fpasswd%00 ,我们看结果将是:

解析web文件操作常见安全漏洞(目录、文件名检测漏洞)

居然include(“/etc/passwd”)文件了。
怎么逃脱了我参数限制呢?
首先:
做参数过滤类型去限制用户输入本来就不是一个好方法,一般规则是:能够做检测的,不要做替换 只要是检测不通过的,直接pass 掉!这是我们的一个原则。过滤失败情况,举不胜举,我们来看看,实际过程。
1、输入”…/…/…/” 通过把”..” 替换为”.”后
2、结果是”../../../” 就变成了这个了
有朋友就会说,如果我直接替换为空格是不是就好了?在这个里面确实可以替换掉。但是不代表以后你都替换为空格就好了。再举例子下。如:有人将字符串里面javascript替换掉。代码如下:

……
$msg = str_replace(“javascript”,””,$msg);

看似不会出现了javascript了,但是,如果输入:jjavascriptavascript 替换,会替换掉中间一个变为空后。前面的”j” 跟后面的会组成一个新的javascript了。

其次:我们看看,怎么逃脱了,后面的.php 限制呢。用户输入的参数有:”etc/passwd\0” ,\0字符非常特殊,一段连接后,文件名称变成了”……etc/passwd\0.php”,你打印出该变量时候,还是正确的。但是,一段放入到文件读写操作方法里面,\0后面会自动截断。操作系统,只会读取……etc/passwd文件了。 “\0”会出现在所有文件系统读写文件变量中。都会同样处理。这根c语言\0作为字符串完整标记有关系。
通过上面分析,大家发现做文件类型操作时候,一不注意将产生大的漏洞。而且该漏洞就可能引发一系列安全问题。

该怎么做文件类操作呢?
到这里,估计有人就会思考这个,做文件读写操作时候,如果路径里面有变量时候,我该怎么样做呢?有人会说,替换可以吗? “可以”,但是这个方法替换不严格,将会出现很多问题。而且,对于初写朋友,也很难杜绝。 做正确的事情,选择了正确的方法,会从本身杜绝问题出现可能了。 这里,我建议:对于变量做白名单限制。

1.什么是白名单限制

举例来说:
$mod = isset($_GET['m'])?trim($_GET['m']):'index'; ///读取模块名称后
mod变量值范围如果是枚举类型那么:
if(!in_array($mod,array(‘user','index','add','edit'))) exit(‘err!!!');
完全限定了$mod,只能在这个数组中,够狠!!!!

2.怎么做白名单限制
通过刚才例子,我们知道如果是枚举类型,直接将值放到list中即可,但是,有些时候,这样不够方面。我们还有另外一个白名单限制方法。就是限制字符范围

举例来说:
$mod = isset($_GET['m'])?trim($_GET['m']):'index'; ///读取模块名称后
我限制知道$mod是个目录名称,对于一般站点来说,就是字母加数字下划线之类。
if(!preg_match(“/^\w+$/”,$mod)) exit(‘err!!!');
字符只能是:[A-Za-z0-9_] 这些了。够狠!!!

总结:是不是发现,白名单限制方法,做起来其实很简单,你知道那个地方要什么,就对输入检测必须是那些。而且,检测自己已知的,比替换那些未知的字符,是不是简单多了。 好了,先到这里,正确的解决问题方法,会让文件简单,而且更安全!!
PHP 相关文章推荐
PHP+javascript液晶时钟
Oct 09 PHP
mysql 的 like 问题,超强毕杀记!!!
Jan 18 PHP
破解.net程序(dll文件)编译和反编译方法
Jan 31 PHP
使用PHP静态变量当缓存的方法
Nov 13 PHP
php使用imagick模块实现图片缩放、裁剪、压缩示例
Apr 17 PHP
PHP实现ftp上传文件示例
Aug 21 PHP
php中smarty区域循环的方法
Jun 11 PHP
php+ajax实现异步上传文件或图片功能
Jul 18 PHP
[原创]PHP获取数组表示的路径方法分析【数组转字符串】
Sep 01 PHP
PHP内部实现打乱字符串顺序函数str_shuffle的方法
Feb 14 PHP
php多进程并发编程防止出现僵尸进程的方法分析
Feb 28 PHP
PHP7 新增常量
Mar 09 PHP
解析PHP中empty is_null和isset的测试
Jun 29 #PHP
浅析Dos下运行php.exe,出现没有找到php_mbstring.dll 错误的解决方法
Jun 29 #PHP
浅析PHP中的UNICODE 编码与解码
Jun 29 #PHP
基于flush()不能按顺序输出时的解决办法
Jun 29 #PHP
解析PHP 使用curl提交json格式数据
Jun 29 #PHP
PHP 过滤页面中的BOM(实现代码)
Jun 29 #PHP
解析curl提交GET,POST,Cookie的简单方法
Jun 29 #PHP
You might like
用PHP调用数据库的存贮过程!
2006/10/09 PHP
php随机抽奖实例分析
2015/03/04 PHP
PHP的Yii框架入门使用教程
2016/02/15 PHP
php实现替换手机号中间数字为*号及隐藏IP最后几位的方法
2016/11/16 PHP
JSON PHP中,Json字符串反序列化成对象/数组的方法
2018/05/31 PHP
Laravel框架运行出错提示RuntimeException No application encryption key has been specified.解决方法
2019/04/02 PHP
浅析jquery ajax异步调用方法中不能给全局变量赋值的原因及解决方法
2014/01/10 Javascript
PhotoShop给图片自动添加边框及EXIF信息的JS脚本
2015/02/15 Javascript
JavaScript实现刷新不重记的倒计时
2016/08/10 Javascript
jquery 实现回车登录详解及实例代码
2016/10/23 Javascript
详解MVC如何使用开源分页插件(shenniu.pager.js)
2016/12/16 Javascript
详解vue与后端数据交互(ajax):vue-resource
2017/03/16 Javascript
vue devtools的安装与使用教程
2018/08/08 Javascript
JS调用安卓手机摄像头扫描二维码
2018/10/16 Javascript
一个因@click.stop引发的bug的解决
2019/01/08 Javascript
微信小程序实现张图片合成为一张并下载
2019/07/16 Javascript
前后端常见的几种鉴权方式(小结)
2019/08/04 Javascript
js中offset,client , scroll 三大元素知识点总结
2019/09/11 Javascript
jquery实现异步文件上传ajaxfileupload.js
2020/10/23 jQuery
Python中的匿名函数使用简介
2015/04/27 Python
Python如何实现守护进程的方法示例
2017/02/08 Python
python数字图像处理之高级形态学处理
2018/04/27 Python
python 从csv读数据到mysql的实例
2018/06/21 Python
python3实现mysql导出excel的方法
2019/07/31 Python
Django+Uwsgi+Nginx如何实现生产环境部署
2020/07/31 Python
python 基于opencv 实现一个鼠标绘图小程序
2020/12/11 Python
日本最新流行服饰网购:Nissen
2016/07/24 全球购物
Shell如何接收变量输入
2012/09/24 面试题
求职信内容考虑哪几点
2013/10/05 职场文书
本科生职业生涯规划书范文
2014/01/21 职场文书
软件项目实施计划书
2014/05/02 职场文书
运动会稿件100字
2014/09/24 职场文书
网络营销计划
2015/01/17 职场文书
2015年音乐教研组工作总结
2015/07/22 职场文书
商务宴会祝酒词
2015/08/11 职场文书
导游词之上海杜莎夫人蜡像馆
2019/11/22 职场文书