Programátorská hádanka 3 - bezpečnostní zrada

2.9.2009 22:28 | Přečteno: 2943× | poslední úprava: 3.9.2009 23:27

Bezpečnost je značně ošemetná věc, se kterou si nikdy nemůžete být stoprocentně jistí. Poznáte, co je špatně na následujícím kusu PHP kódu? Podotýkám, že se jedná o velice rozšířenou chybu, ale málokdo si ji uvědomuje.

Mějme webovou aplikaci, kam může uživatel posílat své soubory. Kromě samotného souboru volí i jeho název. Všechny soubory musí být uloženy do adresáře „soubory“. Z nějakého důvodu se v tomto adresáři interpretují PHP skripty, takže je nutno ohlídat, aby soubor neměl příponu „.php“. Kromě toho je třeba hlídat, aby vetřelec nemohl zapsat nic mimo tento adresář.

Skript je následující:

function JeBezpecnySoubor($nazev) {
     $malymi = StrToLower($nazev);
     if (SubStr($malymi,-4) == '.php')
         return false;

     if (StrPos($malymi,'/') !== false)
         return false;

     return true;
 }

 if (JeBezpecnySoubor($_GET['nazev_souboru'])) {
     $fp = FOpen('soubory/'.$_GET['nazev_souboru'], 'w');

     ...a tak dále 

Neuvažujte jiné ošetřované přípony než „.php“ a jiný oddělovač adresářů než lomítko. Server běží na standardním unixovým stroji, ale podobně by to fungovalo prakticky kdekoliv. Neuvažujte jako chybu možnost přepsání souboru. Chyba se netýká žádných speciálních vlastností PHP.

Aktualizace: Správné řešení jako první objevil AraxoN, jinou chybu objevil dark. Gratuluji Tato hádanka byla myslím celkem těžká, řešení jsem proto popsal v samostatném článku.

       

Anketa

Komentáře

[kouby]

V php se moc nevyznám, ale kdyby uživatel poslal soubor s názvem ".." tak dostane zápisové právo do nadřazeného adresáře?

[Aleš Janda]

PHP se v tomto ohledu nechová nijak zvláštně a zápis do souboru „..“ skončí chybou, neboť už existuje takový adresář

[blackvladimir]

PHP není moje parketa ale neskousne phpkové fopen i backslash? Aspoň u Windows portu by mě to moc nepřekvapilo.

[vlastikroot]

Pise ze jina lomitka neberem v uvahu. Nevidim tam zadnou chybu (krome nepouziti basename() pro ziskani jmena), stydim se.

[Salamek]

Pro detekci formátu souboru bych ještě použil mime_content_type

[Přemek Vyhnal]

nechci to zkoušet, ale nešlo by $_GET['nazev_souboru'] dát třeba "osklivyskript.php?neco=jpg"?

[Přemek Vyhnal]

ne, samozřejmě že nešlo ;)

[Ladicek]

Ten skript pustí i takovou věc, jako je už existující soubor. V takovém případě nemá cenu se zabývat dalšími případnými problémy, tohle je nepřípustné samo o sobě.

[Aleš Janda]

To je pravda, to by byla chyba, ale mám na mysli spíše nějakou chybu, při které by se dal napadnout sám server. Příspěvek jsem upravil.

[AraxoN]

Ja tam vidím len to, že môže prepísať iné súbory, ktoré tam už sú, ale to asi nebude tá chyba, lebo to by bolo príliš jednoduché.

[dark]

Zkusím vylučovací metodu:

1) Pokud to zde je napsané, asi na tom něco bude, tedy kód není čistý

2) V podmínce je, že jsou v daném adresáři i skripty (což je na pováženou, ale budiž), takže spuštění skriptu v tom adresáři je podmínka nebezpečnosti

3) V php nedělám, ale kód nepustí soubor s příponou .php a lomítkem. Nejedná se tedy o bezpečnosti typu přepsání souboru mimo tento adresář (takže riziko se bude odehrávat nejspíš v daném adresáři)

4) Kód neošetřuje .htaccess, je riziko spojené s tímto?

[Aleš Janda]

Ke čtvrtému bodu:
Wow, soubor .htaccess by to opravdu vzalo a pomocí něj by se např. daly definovat jako PHP skripty i soubory s jinou příponou, které by aplikace pustila. Takže ano, gratuluji, na jednu chybu jste přišel

Nicméně tuto chybu jsem neměl na mysli, hledejte dál

[Jardík]

.htaccess může být zakázán na serveru ...

[Josef Kufner]

Ale prakticky nikdy není. Navíc než ".htaccess" by to chtělo zakázat ".ht*" (kvůli .htpasswd) a nejspíš i všecko začínající tečkou.

ps: je to celkem lehké, ale pěkně schované

[Salamek]

je to celkem pěkný bug

[xkucf03]

Soubor s hesly by měl být někde úplně mimo (třeba v /etc).

[Josef Kufner]

Ehm... asi tak stejně jako by měla být v /etc konfigurace webserveru...

[xkucf03]

Neberu to jako webserver, ale jako webovou aplikaci – tu si můžeš klidně nainstalovat jako baliček systému a je celkem normální, aby měla svůj adresář v /etc, jako všechny ostatní aplikace.

Pokud je to na webhostingu nebo je potřeba tu aplikaci provozovat ve víc instancích, je spráné, abys měl strukturu třeba:

/var/www/virtual/nějakáDoména/htdocs/ ← tohle zprístupní apache přes HTTP
/var/www/virtual/nějakáDoména/etc/ ← tady budou soubory s hesly
/var/www/virtual/nějakáDoména/dalšíAdresář/ ← třeba zálohy nebo nějaké dočasné soubory

Každopádně bych dal soubor s hesly mimo adresář, který je zpřístupněný přes HTTP a nespolíhal bych se jen na ochranu pomocí .htaccess nebo dokonce ochranu pomocí aplikace.

[Josef Kufner]

Pokud děláš nějakou aplikaci o alespoň pár tisících řádcích, tak možná. Ale pokud je to něco malého, nebo jen pár adresářů s omezeným přístupem, tak se prostě udělá .htaccess, vedle se plácne .htpasswd a těch pár lidí pro které to je, jsou spokojení. K vidění to je celkem často právě vedle nějakých aplikací, kde je prostě potřeba si něco položit vedle, mít to zabezpečené, ale přitom se s tím moc nepatlat.

[AraxoN]

Tak to asi mám... alebo som objavil ešte nejakú inú chybu.

Ak $_GET['nazev_souboru'] obsahuje na konci znak \0 (nulový bajt), tak substr() vráti "php\0" a nie ".php", lebo dĺžku reťazca PHP nevedie podľa znaku \0. Naproti tomu fopen() predá parameter volaniu API OS, ktorý je v C-čku, znak \0 pre neho znamená koniec reťazca a všetko počnúc týmto znakom už neberie do úvahy.

[...............23]

Ak je \0 v názve tak to nezoberie a odmietne súbor otvoriť

Windows orezáva z konca súborov medzery, takže tam by stačilo dať na koniec tie, ale to platí len pre NTFS, ktoré na väčšine serverov nie je (navyše tam kde beží PHP)

Btw. afaik sa pomocou GET nedajú uploadovať súbory...

[mkoubik]

Já tam taky vidim upload null byte, vysvetli mi nekdo proč fuj.php\0.txt neprojde? Nebo od kdy to php zahazuje?

[Josef Kufner]

Nejde o php, ale o unix pod tím, ten jak známo omezuje znaky v názvech souborů na cokoliv krom '/' a '\0' – to první odděluje adresáře, to druhé zakončuje stringy v C.

[xurpha]

Btw. afaik sa pomocou GET nedajú uploadovať súbory...

Ha, on je zásadní rozdíl mezi HTTP metodou GET a PHP proměnnou GET. Ta druhá „funguje“ i u ostatních metod, prostě jsou do ní zpracovány parametry z URL...

[...............23]

To je mi jasné, ale v blogu sa spomínal form na upload, tak predpokladám že ten názov súboru sa zadáva do toho istého formu, a nie že sa píše ručne do url...

[xurpha]

A není to vzhledem k problému úplně fuck?

[eoj]

Jednak nevis o cem mluvis a druhak je to prece uplne jedno.

[...............23]

Tak by si mi aj mohol vysvetliť prečo by som nemal vedieť o čom hovorím, a prečo posielaš presne taký istý komentár aký je hneď nad tvojím...

[Eregon]

<form action="skript.php?foo=bar" method="post">

[...............23]

A ako chceš do toho foo dostať string zadaný do textboxu na tej istej stránke? Cez nejaký javascript možno, ale také riešenie by nikto aspoň trochu normálny nikdy nepoužil...

[Eregon]

A z čeho že vyplývá ta podmínka, že to musí pocházet ze stejné stránky?

[rADOn]

php 5.2.0 v etchi neodmitne. hezkej bug.

[...............23]

Njn, tak je to závislé na systéme na ktorom to beží...

[xkucf03]

POST i GET se dají míchat dohromady:

<?php
echo ($_REQUEST["foo"] . "<br/>");
echo ($_REQUEST["bar"] . "<br/>");
?>

<form action="hack.php?foo=nazdar" method="post">
<input type="text" name="bar" value="bazar"/>
<button>poslat</button>
</form>

(neřešte validitu HTML, je to jen malý příklad)

Takže GETem můžeš poslat třeba název souboru a POSTem samotný soubor (ale je otázka, proč by to tak chtěl někdo dělat, když může POSTem poslat všechno).

[xkucf03]

Tohle funguje:

<?php
$jmeno = "hack.php\0";
$fp = FOpen($jmeno, "rw");
$obsah = fread($fp, filesize($jmeno));
fclose($fp);
echo(nl2br(htmlspecialchars($obsah)));
?>

Výpíše soubor „hack.php“. Ale ta \0 je přímo v PHP kódu, když se ji tam snažíš procpat přes GET, tak se asi někde ztratí.

[Aleš Janda]

Ale ta \0 je přímo v PHP kódu, když se ji tam snažíš procpat přes GET, tak se asi někde ztratí.

Podle mě se nikde neztratí, pokud přímo do URL dám ?promenna=neco%00neco, tak tam ten nulový bajt opravdu je…

[xkucf03]

Tak proč to harovi nefunguje?

[...............23]

Nefungovalo to na windows, tam sa fopen()núť súbor s null znakom v názve nepodarí. Neviem ale prečo to jednoducho nepovažuje za koniec stringu...

[...............23]

Hm, tak to teda nie je tým, a windows ten null znak normálne oreže, ale %00 mi server parsuje na '\0', čiže na "\\0", preto to nebralo...

[Josef Kufner]

To máš jen zapnuté magic quotes.

[xkucf03]

FOpen považuje a SubStr nepovažuje – taková blbost, ale kolik to dokáže nadělat škody, co?

[Aleš Janda]

Ano, to je správná odpověď. Gratuluji

[hikikomori82]

Ja ked ukladam subory do r/w adresara, tak jedine tak ze meno suboru je serial z nejakej tabulky kde su doplnujuce udaje o tom subore (povodny nazov suboru, velkost, typ, kto ho ulozil, kedy, kde sa pouziva,...), takze taketo veci ani nemusim riesit, ale ako inspiracia OK.

[xurpha]

IMHO je zásadní chyba, že se testují jen některé části jména. Správný přístup je pomocí regulárních výrazů přesně definovat, jak jméno souboru má vypadat...

[Josef Kufner]

Jakmile se v tom regulárním výrazu objeví něco jako '[^/]*', tak je to ekvivalentní tomuto zápisu.

[xurpha]

Jiste, p*čoviny se dají dělat i s pomocí regexp... klidně se tam dá rovnou dát „^.*$“, že ano...

[Josef Kufner]

A jak bys teda ten regexp napsal?

[Aleš Janda]

Třeba takto:

^[a-z0-9]+\.[a-z0-9]+$

Ale test na příponu bych musel udělat stejně zvlášť.

[stativ]

Střílím od boku, ale nemůže být problém v uvozovkách? Nevidím tam žádné escapování.

[Josef Kufner]

Uvozovky jsou v pohodě, ale v závislosti na konfiguraci serveru se v názvu můžou objevit nějaká ta lomítka navíc, což však z pohledu bezpečnosti nijak nevadí.

[kouby]

Máte pravdu, to mě prvně nenapadlo. To je další vážná chyba.

[Jardík]

Proč by v názvu souboru nemohly být uvozovky ... to nevadí, dokud se z toho netvoří dotaz do databáze.

[JS]

Neumim PHP ani programovat weby, ale neni to v tom, ze se testuji jen lowercase ".php"? Tzn. pokud nekdo vytvori soubor ".PHP", tak ten pak mozna pujde pustit, protoze z URL se bude brat case-insensitive?

[kapo]

Hned na zacatku je tam StrToLower(), takze se to prevadi pred testem.

[rADOn]

A co .php3, .phtml a mozna dalsi historicke relikty? Co kdyz jsou v apaci nastavene i jine cgi nebo handlery?

[xurpha]

Kua, chlape, ty nečteš zadání? Viz:

Neuvažujte jiné ošetřované přípony než „.php“ a jiný oddělovač adresářů než lomítko.

[rADOn]

Čtu, ale nechápu.

[prOm3TheuS]

Možná bych si nejdřív ověřil, zda-li se opravdu jedná o uploadnutý soubor - viz is_uploaded_file() a pak ho pomocí move_uploaded_file() uložil na správné místo.
Jestli si to dobře pamatuju, tak se s tím daj ošetřit i takové stavy, jako omezení velikosti vkládaného souboru apod.

[xurpha]

Možná bych si nejdřív ověřil, zda-li se opravdu jedná o uploadnutý soubor - viz is_uploaded_file() a pak ho pomocí move_uploaded_file() uložil na správné místo.

Ano, například z něj udělat xyz/adresar/zakerny_skript.php, že? Doporučoval bych přečíst a pochopit nejdříve zadání a pak blbě kecat

[prOm3TheuS]

Od toho je pak samozřejmě nějaká taková rutina, jako byla napsána v blogu ne? Dle mého názoru je to rozhodně čistší, než ten soubor tam rvát přes $fp = FOpen('soubory/'.$_GET['nazev_souboru'], 'w');

[eoj]

Ovsem reseny problem si zkratka vubec nepochopil.

[sam]

jenom mne napadlo, jestli by se nedalo nahradit '.php' necim jako je '%20'  u mezery ...

pokud bych to zkousel, asi tohle je nejjednodussi (a mozna i nejelegantnejsi) zpusob

:)

[Filip Jirsák]

V tom kódu se někde dělá unescaping URL? Já tam nikde nic takového nevidím. Takže když bude v názvu souboru "%20", dostanete "%20" i v názvu souboru.

[Michal Vyskočil]

Což je dost nepochopitelná "vlastnost" prakticky všech webových udělátorů, s nimiž jsem se setkal. Osobně by mě zajímala situace, ve které mě jako aplikačního programátora zajímá něco jiného, než řetězce bez HTTP escapů.

[Filip Jirsák]

Jenže on ten řetězec z proměnné $_GET už je odescapovaný, takže odescapovat ho znovu by byla chyba (a dobrý způsob, jak do programu zavléct nějakou bezpečnostní díru).

[eoj]

%00

[filbar]

A není ta chyba v tom, že nahrávané soubory jsou ve $_FILES a jméno nahrávaného souboru $_FILES["name"] ? Takže $_GET nic neošetří?

[Grunt]

Já jsem z toho též jelen. Vždyť soubory se snad GETem ani poslat nedají a kdyby už ano, tak v nich rozhodně nebude název. Jak to může vůbec fungovat? Zkoušel to už někdo?:

POST /blog/EditDiscussion HTTP/1.1
Host: www.abclinuxu.cz
User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; en; rv:1.9.1.2) Gecko/20080528 Fedora/2.26.3-3.fc11 Epiphany/2.22 Firefox/3.5
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: cs
Accept-Encoding: gzip,deflate
Accept-Charset: UTF-8,*
Keep-Alive: 300
Connection: keep-alive
Referer: http://www.abclinuxu.cz/blog/EditDiscussion?action=add&threadId=0&dizId=142779&rid=276521
Cookie: __utma=184452854&ehllip;
Content-Type: multipart/form-data; boundary=---------------------------4290172515652242791849073854
Content-Length: 26069

-----------------------------4290172515652242791849073854

Content-Disposition: form-data; name="title"

Re: Kdy.. housing, tak NE v Casablance

-----------------------------4290172515652242791849073854

Content-Disposition: form-data; name="text"



vggdt

-----------------------------4290172515652242791849073854

Content-Disposition: form-data; name="attachment"; filename="chata_cela_bok_small.png"

Content-Type: image/png



.PNG

.
...
IHDR...q...U.....~C......sRGB....... .IDATx.....k.}..y........}......E..(Q....&yS%.../2.T.f..]N.35.T<.=....b'.mI.,..(.....E.K.}.}o4.;...<...x......A.
...p.|....<..N[

[...............23]

O to v tom blogposte nejde, ono je v tom forme akože ďalší textbox na zadanie názvu súboru na ktorý sa to po nahraní akože premenuje (čo by teda bolo v praxi debilné riešenie, ale ide o to ukázať ten bug)

[rADOn]

To je jen zmatene zadani. IMO autor ma na mysli pouze fotevreni souboru zadaneho jmena v zadanem adresari, kde jmeno souboru muze byt "nebezpecne". Kdyz nic jineho, tak je to velice poucne v tom, ze zadani je ve vsech ohledech ukazkou jak se takove veci delat nemaji

[Josef Kufner]

Ano, místo "$_GET['nazev_souboru']" by tam v reálném programu mělo být něco jiného. Nejspíš by tam bylo $_POST, protože při uploadech souborů se $_GET nepoužívá. Ale tato bezpečnostní díra se může vyskytnout i ve formuláři na přejmenování souboru na serveru, který byl uploadnut již dříve nebo pro stažení souboru od někud jinud. Tak jako tak, na vlastní díře to nic nemění a nijak na tom nezáleží. Prostě to je vstup od uživatele, který je nutné ohlídat.

[Jardík]

Už je třetího večer, tak povídej ...