分享PHP場(chǎng)景中g(shù)etshell防御思路

1 背景概述
WEB應(yīng)用漏洞導(dǎo)致的入侵時(shí)有發(fā)生,掃描器和WAF并不能解決所有的問題,于是嘗試在主機(jī)側(cè)針對(duì)PHP環(huán)境做了一個(gè)防御方案。很榮幸的邀請(qǐng)到TSRC部分白帽子做了一次對(duì)抗演習(xí),本文主要分享一下防御思路。
防御方案主要想解決的問題是getshell、主機(jī)敏感文件泄漏等問題。于是乎出了下面這樣一個(gè)題目:部署了防御方案的Nginx + PHP 的WEB環(huán)境,提供一個(gè)上傳入口,可上傳任意文件。找到WEB目錄下的一個(gè)flag文件讀取到內(nèi)容即算突破。
2 PHP擴(kuò)展
防御方案使用了PHP擴(kuò)展來完成阻斷。PHP內(nèi)核支持C/C++開發(fā)一些擴(kuò)展功能,并且提供了一個(gè)框架 – ext_skel幫助生成基本的代碼簡(jiǎn)化開發(fā),由于PHP擴(kuò)展并不涉及底層的資源管理,所以編寫一個(gè)PHP擴(kuò)展和編寫一個(gè)C應(yīng)用程序是一樣的。下圖展示了PHP擴(kuò)展所處的結(jié)構(gòu)層次,擴(kuò)展位于PHP內(nèi)核ZEND 和 PHP應(yīng)用層代碼之間,那么利用PHP擴(kuò)展可以:
1) 監(jiān)控PHP應(yīng)用層代碼的執(zhí)行細(xì)節(jié),包括執(zhí)行CGI、函數(shù)名、參數(shù)等;
2) 調(diào)用PHP內(nèi)核ZEND提供的API接口,包括禁用類、修改配置選項(xiàng)等。
圖1 PHP語(yǔ)言的結(jié)構(gòu)
3 相關(guān)知識(shí)
3.1 HOOKPHP代碼
PHP是解釋型語(yǔ)言,代碼被翻譯為中間字節(jié)碼由ZEND引擎解析執(zhí)行。PHP把中間字節(jié)碼稱之為OPCODE,每個(gè)OPCODE對(duì)應(yīng)ZEND底層的一個(gè)處理函數(shù),ZEND引擎最終執(zhí)行這個(gè)處理函數(shù)。實(shí)現(xiàn)HOOK功能只需要改變HOOK OPCODE對(duì)應(yīng)的處理函數(shù)即可,而ZEND預(yù)先就提供了一個(gè)現(xiàn)成的接口:zend_set_user_opcode_handler。防御方案只需要HOOK以下三個(gè)OPCODE:
ZEND_INCLUDE_OR_EVAL — eval、require等
ZEND_DO_FCALL — 函數(shù)執(zhí)行system等
ZEND_DO_FCALL_BY_NAME — 變量函數(shù)執(zhí)行 $func = “system”;$func();
舉例:
ZEND_DO_FCALL這個(gè)OPCODE對(duì)應(yīng)的功能是函數(shù)調(diào)用,如果需要HOOK所有的函數(shù)調(diào)用:
1) 在模塊初始化函數(shù)中使用zend_set_user_opcode_handler修改ZEND_DO_FCALL新的處理函數(shù)為mysub:
PHP_MINIT_FUNCTION(phpips){
zend_set_user_opcode_handler(ZEND_DO_FCALL, mysub);
return SUCCESS;
}
2) 在自定義函數(shù)中實(shí)現(xiàn)自己需要的功能并返回原來的處理函數(shù):
void mysub(){
自定義功能;
return ZEND_USER_OPCODE_DISPATCH;
}
3.2 ZEND接口
HOOK之外還需要獲取一些基本信息或功能,比如:
1) 獲取執(zhí)行的PHP腳本名,可調(diào)用ZEND的接口zend_get_executed_filename:
char *cgi_name = (char*)zend_get_executed_filename(TSRMLS_C);
2) 禁用一些類庫(kù),可使用zend_disable_class接口;
ZEND提供了很多豐富的接口,可根據(jù)需求選擇調(diào)用。
3.3 數(shù)據(jù)結(jié)構(gòu)
PHP是弱類型語(yǔ)言,其上層并不區(qū)分變量類型,變量底層對(duì)應(yīng)的是一個(gè)union結(jié)構(gòu)體,以php-5.3.6版本舉例,結(jié)構(gòu)體在Zend/zend.h文件中定義;內(nèi)容如下:
typedef union _zvalue_value {
long lval; /* longvalue */
double dval; /* double value */
struct {
char *val;
int len;
} str;
HashTable *ht; /* hash table value*/
zend_object_value obj;
} zvalue_value;
PHP是在底層區(qū)分開了變量類型;在union結(jié)構(gòu)體中有個(gè)非常重要的結(jié)構(gòu)體HashTable,PHP中的數(shù)組結(jié)構(gòu)就是利用HashTable這個(gè)結(jié)構(gòu)體實(shí)現(xiàn),如果變量是個(gè)數(shù)組,獲取變量?jī)?nèi)容需要遍歷這塊HashTable,數(shù)據(jù)結(jié)構(gòu)這塊不做太多介紹。ZEND底層用zval這個(gè)結(jié)構(gòu)體存儲(chǔ)變量,同時(shí)ZEND提供了幾個(gè)宏可以方便的轉(zhuǎn)換zval到具體的數(shù)據(jù)類型,比如把zval類型轉(zhuǎn)換為字符串 – zval el; Z_STRVAL_P(el),常用的還有:
Z_LVAL_P、Z_DVAL_P、Z_ARRVAL_P等,以上宏列表在 Zend/zend_operators.h有定義。
4 規(guī)則策略
4.1 基本思路
我們需要解決的問題是getshell、主機(jī)敏感文件泄漏等問題。如果限制住PHP腳本執(zhí)行命令 和 翻閱文件的功能,就達(dá)到了目的。同時(shí),由于讀取文件的接口非常多,使用場(chǎng)景也較多,因此采取禁用打開目錄接口來側(cè)面達(dá)到禁止翻閱文件的目的,不能遍歷目錄便無法得到文件名,可以有效的達(dá)到目標(biāo)。故最終形成的最終策略如下:
1) 禁用掉執(zhí)行命令的接口
2) 禁用掉打開目錄的接口
禁用函數(shù)有一些需要注意的問題:
1) PHP接口還是比較繁多復(fù)雜的,除了system、exec、opendir、scandir常用函數(shù)之外,一些生僻函數(shù)比如glob等函數(shù)都要考慮全面,另外還有一些回調(diào)函數(shù)、反射類(PS:部分考慮不全被blackeye和雪人繞過)
2) PHP SPL提供的一些類庫(kù)有文件管理的功能,也需要禁止,比如DirectoryIterator(不過好像沒有白帽子使用過SPL)
4.2 對(duì)抗變形
PHP使用assert或preg_replace /e執(zhí)行代碼,調(diào)用zend_get_executed_filename獲取的PHP腳本名中會(huì)帶有辨別標(biāo)識(shí),assert對(duì)應(yīng)的是assert code,preg_replace對(duì)應(yīng)的是regexp code;當(dāng)發(fā)現(xiàn)這些特殊的腳本執(zhí)行了system等4.1中提高的高危函數(shù)直接阻斷。以下圖的nonalphanumeric -webshell舉例:
變形webshell解析后的形式和$_GET[1]($_GET[2])類似,比如傳入1=assert&2=system(whoami)執(zhí)行代碼,PHP擴(kuò)展層監(jiān)控到system函數(shù)執(zhí)行,并且發(fā)現(xiàn)PHP腳本名帶regexp code標(biāo)識(shí),清晰的知道是preg_replace的代碼執(zhí)行了調(diào)用了system,阻斷system。Assert函數(shù)同理??偨Y(jié):擴(kuò)展并不關(guān)注在靜態(tài)層如何編碼運(yùn)算或加密,擴(kuò)展只監(jiān)控最后的行為,所以可以很好的解決目前的變形難題。

圖2nonalphanumeric – webshell
4.3 減少誤殺
有時(shí)正常的PHP腳本也需要用到命令執(zhí)行的功能,如何保證其正常運(yùn)行,不被我們的防御策略阻斷呢?這里提供三種思路:
1) 寫入權(quán)限和執(zhí)行命令權(quán)限互斥
考慮到入侵者利用上傳漏洞或者其他0DAY getshell得到的文件大多會(huì)有W寫權(quán)限,防御方往往希望阻止這部分文件擁有過高的權(quán)限。
那么,我們可以去除正常PHP腳本的可寫權(quán)限,然后只對(duì)有寫權(quán)限的PHP腳本實(shí)施命令執(zhí)行等防御策略的阻斷邏輯。這樣即不會(huì)影響到業(yè)務(wù)的使用,又達(dá)到了預(yù)設(shè)場(chǎng)景的防護(hù)目標(biāo)。不過這樣的思路,需要禁用chmod等可以修改文件權(quán)限的函數(shù)。
2) 使用白名單邏輯
粗暴一點(diǎn)的可以用文件名白名單,也就是業(yè)務(wù)報(bào)備過的文件不受阻斷,其它不認(rèn)識(shí)的文件一律禁止。優(yōu)雅一點(diǎn)的可以對(duì)函數(shù)參數(shù)做白名單,比如提取正常PHP腳本執(zhí)行命令的參數(shù)或者代碼特征,對(duì)其進(jìn)行放行,不認(rèn)識(shí)的特征一律阻斷。
3) 使用黑名單邏輯
設(shè)定一些已知惡意腳本的黑特征參數(shù),類似于殺毒軟件早期的特征碼思路。
上述思路在企業(yè)推廣時(shí),需要和業(yè)務(wù)有足夠充分的配合,也都有不完美的地方,如果大家有更多方案或者思路,歡迎與我共同探討。
5 未來
利用PHP擴(kuò)展可以做的事情還是比較多,比如在漏洞檢測(cè)方面、對(duì)數(shù)據(jù)庫(kù)函數(shù)參數(shù)過濾、阻斷SQL注入、阻斷存儲(chǔ)型XSS等場(chǎng)景都有非常大的想象空間。甚至在代碼審計(jì)這塊也可以考慮,國(guó)內(nèi)有個(gè)大牛已經(jīng)有比較成熟的開源產(chǎn)品,TAINT (作者:laruence),大家可能都已經(jīng)比較熟悉了,就暫時(shí)不做贅述了。
行文比較倉(cāng)促,有不足的地方請(qǐng)諒解,有任意疑問或建議歡迎聯(lián)系pandas(小毛驢)切磋交流。
相關(guān)文章
thinkphp代碼執(zhí)行g(shù)etshell的漏洞解決
本文來介紹一下thinkphp官方修復(fù)的一個(gè)getshell漏洞,框架對(duì)控制器沒有進(jìn)行足夠的檢測(cè)導(dǎo)致的一處getshell,小編覺得挺不錯(cuò)的,現(xiàn)在分享給大家,也給大家做個(gè)參考。一起跟隨2018-12-12記 FineUI 官方論壇discuz所遭受的一次真實(shí)網(wǎng)絡(luò)攻擊
這篇文章主要介紹了記 FineUI 官方論壇discuz所遭受的一次真實(shí)網(wǎng)絡(luò)攻擊,需要的朋友可以參考下2018-11-30- 這篇文章主要介紹了Linux 下多種反彈 shell 方法,需要的朋友可以參考下2017-09-06
- 這篇文章主要為大家介紹了基于反射的XSS攻擊,主要依靠站點(diǎn)服務(wù)端返回腳本,在客戶端觸發(fā)執(zhí)行從而發(fā)起Web攻擊,需要的朋友可以參考下2017-05-20
- 這篇文章主要介紹了SQL注入黑客防線網(wǎng)站實(shí)例分析,需要的朋友可以參考下2017-05-19
ASP+PHP 標(biāo)準(zhǔn)sql注入語(yǔ)句(完整版)
這里為大家分享一下sql注入的一些語(yǔ)句,很多情況下由于程序員的安全意識(shí)薄弱或基本功不足就容易導(dǎo)致sql注入安全問題,建議大家多看一下網(wǎng)上的安全文章,最好的防范就是先學(xué)2017-05-19- 對(duì)于目前流行的sql注入,程序員在編寫程序時(shí),都普遍的加入防注入程序,有些防注入程序只要在我們提交一些非法的參數(shù)后,就會(huì)自動(dòng)的記錄下你的IP地址,提交的非法參數(shù)和動(dòng)作等,2017-04-29
XSS繞過技術(shù) XSS插入繞過一些方式總結(jié)
我們友情進(jìn)行XSS檢查,偶然跳出個(gè)小彈窗,其中我們總結(jié)了一些平時(shí)可能用到的XSS插入方式,方便我們以后進(jìn)行快速檢查,也提供了一定的思路,其中XSS有反射、存儲(chǔ)、DOM這三類2016-12-27Python 爬蟲使用動(dòng)態(tài)切換ip防止封殺
這篇文章主要介紹了Python 爬蟲使用動(dòng)態(tài)切換ip防止封殺的相關(guān)資料,需要的朋友可以參考下2016-10-08使用爬蟲采集網(wǎng)站時(shí),解決被封IP的幾種方法
這篇文章主要介紹了使用爬蟲采集網(wǎng)站時(shí),解決被封IP的幾種方法的相關(guān)資料,需要的朋友可以參考下2016-10-08