क्या आपकी साइट भी आपको सब कुछ अपलोड करने की अनुमति देती है?

एक फ्रांसीसी "सुरक्षा शोधकर्ता" ने इस गर्मी में अभूतपूर्व रूप से कई भेद्यताएं प्रकाशित कीं, जैसे कि उन्हें "अपने घुटने पर लिखे गए" विभिन्न मनमाने ढंग से फाइल अपलोड के रूप में मिला, लेकिन उनके लिए लोकप्रिय सीएमएस और प्लगइन्स। यह आश्चर्यजनक है कि छोटे मंचों, ब्लॉग और ऑनलाइन स्टोर के निर्माता और प्रशासक कितने लापरवाह हैं। एक नियम के रूप में, निर्देशिका में जहां अवतार, फिर से शुरू, इमोटिकॉन्स और अन्य संसाधन डाउनलोड किए जाते हैं जो उपयोगकर्ता साइट पर अपलोड कर सकते हैं, PHP कोड को निष्पादित करने की अनुमति है; जिसका अर्थ है कि चित्र की आड़ में एक PHP स्क्रिप्ट लोड करना एक हमलावर को सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देगा।

अपाचे अनुमतियों के साथ निष्पादन कोड, ज़ाहिर है, सर्वर पर पूर्ण नियंत्रण नहीं है, लेकिन उन संभावनाओं को कम मत समझो जो एक हमलावर खोल सकता है: उसे साइट की सभी स्क्रिप्ट और कॉन्फ़िगरेशन फ़ाइलों तक पूरी पहुंच मिलती है और उनके माध्यम से उपयोग किए गए डेटाबेस तक; वह आपकी ओर से स्पैम भेज सकता है, आपकी ओर से किसी भी अवैध सामग्री को होस्ट कर सकता है, जिससे आप गालियां दे सकते हैं; हो सकता है, भुगतान प्रणाली को बाध्य करने के मापदंडों को पाया हो, सभी आदेशों को वापस कर दें और आपको पिछले महीने के लिए आय के बिना छोड़ दें। यह शर्म की बात है, है ना?

वह कैसे सफल होगा?

आप डाउनलोड की जाँच बिल्कुल नहीं करते हैं?

क्लिनिकल केस: आपने एक PHP मैनुअल से एक लाइन कॉपी की
move_uploaded_file($_FILES["file"]["tmp_name"], "upload/" . $_FILES["file"]["name"]);
और इसलिए उसे उत्पादन कोड में छोड़ दिया गया।

इसलिए मैं सामान्य रूप से किसी भी फाइल को अपलोड कर सकता हूं, और न केवल अपलोड डायरेक्टरी में, बल्कि कहीं भी - मैं फ़ाइल नाम के रूप में ../index.html निर्दिष्ट कर सकता हूं और अपने मुख्य पृष्ठ को अपने साथ बदल सकता हूं। यह शर्म की बात है, है ना?

$_FILES["file"]["name"] में कम से कम एक बेसन () कॉल जोड़ें। PHP के नवीनतम संस्करण में, मेरे प्रयोगों को देखते हुए, $_FILES["file"]["name"] से ही HTTP अनुरोध में दिए गए फ़ाइल नाम से केवल आधार देता है; लेकिन सावधानी यहाँ नहीं होगी।

क्या आप जाँच रहे हैं कि क्या फ़ाइल एक तस्वीर है?

अपलोड की गई / अपलोड की गई फ़ाइल को सहेजने से पहले, आप चित्र अपलोड किए जाने के बारे में सुनिश्चित करने के लिए getimagesize () कहते हैं। "सुरक्षा शोधकर्ताओं" की खुशी के लिए बहुत कुछ, PHP आपको किसी भी फ़ाइल में कहीं भी निष्पादन योग्य कोड को एम्बेड करने की अनुमति देता है, जो किसी भी चीज़ में अनदेखी नहीं करता है? ?>। मैं अपनी प्यारी बिल्ली की तस्वीर ले सकता हूं, कुछ ऐसा जोड़ सकता हूं <?php passthru($_GET['c']); ?> इसके अंत तक <?php passthru($_GET['c']); ?> <?php passthru($_GET['c']); ?> और pwn.php नाम से भरें। फिर getimagesize () यह पुष्टि करेगा कि फ़ाइल में JPEG छवि है, क्योंकि यह केवल हेडर का विश्लेषण करता है; और मेरी "पोस्टस्क्रिप्ट वाली फोटो" परीक्षा पास करेगी।

क्या आप माइम-प्रकार की जाँच कर रहे हैं?

क्यों आप विश्वास नहीं कर सकते हैं कि "माइम" फ़ील्ड getimagesize () द्वारा लौटाया गया है: यह स्पष्ट है कि यह फ़ाइल हेडर के आधार पर लिया गया है। इसके अलावा, आप $_FILES["file"]["type"] भरोसा नहीं कर सकते - कुछ भी मुझे HTTP अनुरोध में PHP स्क्रिप्ट से पहले "सामग्री-प्रकार: छवि / जेपीईजी" को पारित करने से रोकता है। यह आम बात है, लेकिन लोग वास्तव में इस पर भरोसा करते हैं । इसलिए मैंने अभी देखा कि if(substr($_FILES["file"]["type"], 0, 6)=="image/") {/* */} को एक आत्मविश्वासी परियोजना में if(substr($_FILES["file"]["type"], 0, 6)=="image/") {/* */} । वे जाते हैं और इसे सुरुचिपूर्ण और चालाक मानते हैं कि वे सभी संभावित प्रकार के चित्रों को एक चेक के साथ कवर करने में सक्षम थे! लेकिन उनसे यह "सर्वश्रेष्ठ अभ्यास" उधार न लें।

क्या आप एक्सटेंशन की जांच कर रहे हैं?

एक और आत्मविश्वास से भरी परियोजना में, मैंने सिर्फ एक चेक देखा
if(substr($_FILES["file"]["name"], -3)=="jpg" || substr($_FILES["file"]["name"], -3)=="gif" || substr($_FILES["file"]["name"], -3)=="png") {/* */}
अपाचे की एक विशेषता यह है कि जब यह अपरिचित एक्सटेंशन वाली फ़ाइलों का सामना करता है, तो यह इन एक्सटेंशनों को "काट" देता है और उनके सामने परिचित एक्सटेंशन की तलाश करता है। इसलिए, यदि मैं pwn.php.omgif फ़ाइल अपलोड करता हूं, तो यह परीक्षा पास कर लेगा, लेकिन Apache को इसमें PHP स्क्रिप्ट दिखाई देगी, क्योंकि omgif एक्सटेंशन के लिए न तो माइम-टाइप और न ही हैंडलर मॉड्यूल पंजीकृत हैं।

क्या आप "खराब" एक्सटेंशन की जांच करते हैं?

तीसरे आत्मविश्वास से भरे प्रोजेक्ट में, मैंने एक चेक देखा कि if(strpos($_FILES["file"]["name"], ".php")===FALSE) {/* */} - वे कहते हैं, अगर कम से कम कहीं .php एक्सटेंशन मिले, तो फ़ाइल उपयुक्त नहीं है। लेकिन यह मत भूलो कि, डिफ़ॉल्ट रूप से, PHP दुभाषिया को .phtml और .php3 एक्सटेंशन के लिए भी कहा जाता है, और कुछ होस्टर्स इसे अन्य एक्सटेंशन के लिए भी शामिल करते हैं - कभी-कभी .html, .js, .jpg और इसी तरह, स्थैतिक में सम्मिलित करने के लिए। एसईओ कोड के कुछ प्रकार के संसाधन, या हिट आँकड़ों को ट्रैक करते हैं। (आप यह जान सकते हैं कि कितने Google प्रश्न पूछते हैं "मैं JPEG फ़ाइलों में PHP कोड को कैसे निष्पादित कर सकता हूं?") इसके अलावा, यदि कोई हमलावर अपने .htaccess को डाउनलोड करने का प्रबंधन करता है, तो वह किसी भी एक्सटेंशन के साथ फ़ाइलों में PHP कोड निष्पादित करने में सक्षम होगा । यहां तक ​​कि .htaccess फ़ाइल में ही। सामान्य तौर पर, सतर्क रहें।

क्या आप एक्सटेंशन की सही जाँच कर रहे हैं?

मान लें कि आप आश्वस्त हैं कि फ़ाइल का नाम .jpg (डॉट के साथ!) के साथ समाप्त होता है? क्या आप सुनिश्चित कर सकते हैं कि PHP कोड इसमें निष्पादित नहीं किया जाएगा? पिछले पैराग्राफ को देखते हुए - सबसे अधिक संभावना है, लेकिन कोई गारंटी नहीं है। ऐसा हो सकता है कि एक हमलावर (या कुटिल व्यवस्थापक) ने किसी तरह /etc/mime.types को क्षतिग्रस्त कर दिया, ताकि .jpg एक्सटेंशन अपंजीकृत हो जाए, और Apache इससे पहले एक्सटेंशन का विश्लेषण करेगा। ऐसा हो सकता है कि chroot के कारण /etc/mime.types अनुपलब्ध हो गया हो । ऐसा हो सकता है कि एक हमलावर (या एक krivoruky व्यवस्थापक) ने इस तरह के .htaccess को अपलोड / निर्देशिका में फेंक दिया है, जो आपको एक पंक्ति में सभी फ़ाइलों में PHP कोड निष्पादित करने की अनुमति देता है।

इसके अलावा, PHP के हाल के संस्करणों तक, "pwn.php \ 0.jpg" नामक एक फ़ाइल को अपलोड करना संभव था, जिसे डिस्क पर सहेजने पर, "pwn.php" में बदल जाएगा, क्योंकि सिस्टम कॉल के लिए, फ़ाइल नाम के साथ लाइन \ 0 के साथ समाप्त होती है। , और PHP कार्यों के लिए, यह स्ट्रिंग में अनुमत सामान्य चरित्र है। इस मामले में, एक्सटेंशन की जांच करना भी कुछ गारंटी नहीं देगा।

और क्या करना है?

उन्होंने स्टैकओवरफ्लो पर एक विस्तृत चेकलिस्ट को संकलित करने की कोशिश की। संक्षेप में: ए) उस निर्देशिका में PHP के निष्पादन को स्पष्ट रूप से प्रतिबंधित करता है जहां उपयोगकर्ता फाइलें संग्रहीत की जाती हैं; ख) उपयोगकर्ताओं द्वारा नियंत्रित नहीं किए गए नामों के लिए उपयोगकर्ता फ़ाइलों का नाम बदलें; ग) यदि संभव हो तो, फाइल के अंत में अनावश्यक मेटाडेटा और अनचाही पोस्ट को हटाने के लिए जीडी का उपयोग करके छवियों को फिर से सहेजें।