PHP反序列化缝隙安全公告

颁布功夫 2018-08-23

缝隙编号和级别

 

CVE编号：无，危险级别：高危，CVSS分值：官方未评定


影响版本


PHP > 5.3


缝隙概述


Secarma 公司的安全钻研员 Sam Thomas 发现一种新型利用技术，可导致黑客通过使用此前被以为风险较低的函数触发 PHP 说话中严沉的反序列化缝隙。这种新技术导致成千上万款 web 利用法式易遭远程代码执行攻击，蕴含一些受热点内容治理系统驱动的网站如 WordPress 和 Typo3。


PHP 反序列化或对象注入缝隙最早产生在2009年，它可导致攻击者通过向 unserialized () PHP 函数提供恶意输入的步骤执行多种攻击。序列化是将数据对象转换为纯字符串的过程，而反序列化函数援手法式从字符串沉新创建对象。Thomas 发现攻击者能使用针对 Phar 文件的低风险函数触发反序列化攻击，而无需在各类场景中使用 unserialize () 函数。Phar 文件是 PHP 中的一种存档体式，它以序列化体式存储元数据，当文件操作函数 (fopen、file_exists、file_get_contents 等)试图接见存档文件时就会被反序列化。


缝隙验证


大无数PHP文件操作允许使用各类URL和谈去接见文件蹊径：如data://，zlib://或php://。其中一些通常用于利用远程文件蕴含缝隙，攻击者能够利用它们节造文件蕴含的齐全蹊径，但是很少人关注 phar://,Phar（PHP Archive）文件的有趣之处在于它蕴含序列化体式的元数据。通过以下代码创建phar


宝运莱·(中国区)最新官方网站


通过以下代码进行测试：


宝运莱·(中国区)最新官方网站


通过执行了局能够看到，若是此刻通过phar://对我们现有的Phar文件进行文件操作，则其序列化元数据将被反序列化。这意味着我们在元数据中注入的对象将被加载到利用法式中。若是此利用法式拥有已定名的类TestObject，并且拥有魔术函数destruct()或wakeup()，则会自动挪用这些步骤。这意味着我们能够在代码库中触发任何析构函数或唤醒步骤，若是这些魔法函数对我们注入的数据进行操作，那么这可能会导致进一步的缝隙。


攻击者若是能够节造诸如include()，fopen()，file_get_contents()，file()等文件操作的函数，则能够造成严沉的缝隙。因而，通常必要在这些函数使用前验证用户的输入。


到目前为止，攻击者若是能够节造诸如include()，fopen()，file_get_contents()，file()等文件操作的函数，则能够造成严沉的缝隙。因而，通常必要在这些函数使用前验证用户的输入。


建复建议


Thomas 将问题奉告 WordPress，后者证实该问题存在。WordPress颁布的补丁并未齐全解决这个问题。


Thomas 将缝隙奉告 Typo3 公司，Typo3颁布版本 7.6.30、8.7.17 和 9.3 解决了该问题。


缓解规划：


1、对PHAR档案进行署名检测。


2、若是不必要，禁用PHAR扩大。


参考链接


https://thehackernews.com/2018/08/php-deserialization-wordpress.html