The Deadline: PHP 安全攻防

1.漏洞說明：

當使用存在此漏洞之相關函數，並可接受外部輸入時，可能導致惡意攻擊者執行任意指令。

2.漏洞範例：

（1）system：在瀏覽器上顯示指令執行後的結果，且會回傳指令成功與否。

<?php system('ls '.$_GET['vul']); ?>

（2）passthru：在瀏覽器上顯示指令執行後的結果，不會回傳指令成功與否。

<?php passthru('ls '.$_GET['vul']); ?>

（3）shell_exec：回傳指令執行後的結果，會顯示全部的資訊；exec() 則只會顯示一行。

<?php echo shell_exec('ls '.$_GET['vul']); ?>

（4）`` (backticks)：等同 shell_exec

<?php $vul = $_GET['vul']; echo `ls $vul`; ?>

（5）popen：透過 pipe 讀寫檔案。另一危險參數 proc_open 等同 popen，但能控制程度更大，支援 stdin、stdout 等。

<?php $hd =  popen('ls '.$_GET['vul'] ,'r');

  while(!feof($hd)) {echo fgets($hd);}

  pclose($hd); ?>

3.防範方式：

盡量不要執行外部指令。
限制使用者的執行權限，尤其是在敏感的路徑（如 images、uploads 等資料夾）。
若允許檔案上傳，應使用白名單方式限制檔案類型。
驗證使用者的輸入時，最好使用白名單的方式，若須使用黑名單應至少過濾「&」、「|」、「;」、「`」、「%0A」、「%0a」等特殊字串。
限制使用者不能寫入或執行任意外部可執行檔案。
透過自定義的函數，或 Library 來取代外部指令的功能。
若必須使用系統函數時，應限制使用者僅能輸入常數字串。
最好在 php.ini 中的 disable_functions 設定如下函數：exec(), shell_exec(), passthru(), system(), show_source(), popen(), proc_open(), pcntl_exec(), eval(), assert(), call_user_func()、call_user_func_array、preg_replace() 等。
使用 escapeshellcmd() 對使用者的輸入進行過濾（注意此函數在 PHP 版本 < 5.2.6 中具安全性漏洞）。
使用 escapeshellarg() 對使用者的輸入進行過濾（注意此函數在 PHP 版本 < 5.4.42；5.5.x<5.5.26；5.6.x<5.6.10 中具安全性漏洞）。