1 背景概述

WEB應(yīng)用漏洞導(dǎo)致的入侵時有發(fā)生，掃描器和WAF并不能解決所有的問題，于是嘗試在主機(jī)側(cè)針對PHP環(huán)境做了一個防御方案。很榮幸的邀請到TSRC部分白帽子做了一次對抗演習(xí)，本文主要分享一下防御思路。

防御方案主要想解決的問題是getshell、主機(jī)敏感文件泄漏等問題。于是乎出了下面這樣一個題目：部署了防御方案的Nginx + PHP 的WEB環(huán)境，提供一個上傳入口，可上傳任意文件。找到WEB目錄下的一個flag文件讀取到內(nèi)容即算突破。

2 PHP擴(kuò)展

防御方案使用了PHP擴(kuò)展來完成阻斷。PHP內(nèi)核支持C/C++開發(fā)一些擴(kuò)展功能，并且提供了一個框架 – ext_skel幫助生成基本的代碼簡化開發(fā)，由于PHP擴(kuò)展并不涉及底層的資源管理，所以編寫一個PHP擴(kuò)展和編寫一個C應(yīng)用程序是一樣的。下圖展示了PHP擴(kuò)展所處的結(jié)構(gòu)層次，擴(kuò)展位于PHP內(nèi)核ZEND 和 PHP應(yīng)用層代碼之間，那么利用PHP擴(kuò)展可以：

1) 監(jiān)控PHP應(yīng)用層代碼的執(zhí)行細(xì)節(jié)，包括執(zhí)行CGI、函數(shù)名、參數(shù)等;

2) 調(diào)用PHP內(nèi)核ZEND提供的API接口，包括禁用類、修改配置選項等。

圖1 PHP語言的結(jié)構(gòu)

3 相關(guān)知識

3.1 HOOKPHP代碼

PHP是解釋型語言，代碼被翻譯為中間字節(jié)碼由ZEND引擎解析執(zhí)行。PHP把中間字節(jié)碼稱之為OPCODE，每個OPCODE對應(yīng)ZEND底層的一個處理函數(shù)，ZEND引擎最終執(zhí)行這個處理函數(shù)。實現(xiàn)HOOK功能只需要改變HOOK OPCODE對應(yīng)的處理函數(shù)即可，而ZEND預(yù)先就提供了一個現(xiàn)成的接口：zend_set_user_opcode_handler。防御方案只需要HOOK以下三個OPCODE：

ZEND_INCLUDE_OR_EVAL — eval、require等

ZEND_DO_FCALL — 函數(shù)執(zhí)行system等

ZEND_DO_FCALL_BY_NAME — 變量函數(shù)執(zhí)行 $func = “system”;$func();

舉例：

ZEND_DO_FCALL這個OPCODE對應(yīng)的功能是函數(shù)調(diào)用，如果需要HOOK所有的函數(shù)調(diào)用：

1) 在模塊初始化函數(shù)中使用zend_set_user_opcode_handler修改ZEND_DO_FCALL新的處理函數(shù)為mysub：

PHP_MINIT_FUNCTION(phpips){

zend_set_user_opcode_handler(ZEND_DO_FCALL, mysub);

return SUCCESS;

}

2) 在自定義函數(shù)中實現(xiàn)自己需要的功能并返回原來的處理函數(shù)：

void mysub(){

自定義功能;

return ZEND_USER_OPCODE_DISPATCH;

}

3.2 ZEND接口

HOOK之外還需要獲取一些基本信息或功能，比如：

1) 獲取執(zhí)行的PHP腳本名，可調(diào)用ZEND的接口zend_get_executed_filename：

char *cgi_name = (char*)zend_get_executed_filename(TSRMLS_C);

2) 禁用一些類庫，可使用zend_disable_class接口;

ZEND提供了很多豐富的接口，可根據(jù)需求選擇調(diào)用。

3.3 數(shù)據(jù)結(jié)構(gòu)

PHP是弱類型語言，其上層并不區(qū)分變量類型，變量底層對應(yīng)的是一個union結(jié)構(gòu)體，以php-5.3.6版本舉例，結(jié)構(gòu)體在Zend/zend.h文件中定義;內(nèi)容如下：

typedef union _zvalue_value {

long lval; /* longvalue */

double dval; /* double value */

struct {

char *val;

int len;

} str;

HashTable *ht; /* hash table value*/

zend_object_value obj;

} zvalue_value;

PHP是在底層區(qū)分開了變量類型;在union結(jié)構(gòu)體中有個非常重要的結(jié)構(gòu)體HashTable，PHP中的數(shù)組結(jié)構(gòu)就是利用HashTable這個結(jié)構(gòu)體實現(xiàn)，如果變量是個數(shù)組，獲取變量內(nèi)容需要遍歷這塊HashTable，數(shù)據(jù)結(jié)構(gòu)這塊不做太多介紹。ZEND底層用zval這個結(jié)構(gòu)體存儲變量，同時ZEND提供了幾個宏可以方便的轉(zhuǎn)換zval到具體的數(shù)據(jù)類型，比如把zval類型轉(zhuǎn)換為字符串 – zval el; Z_STRVAL_P(el)，常用的還有：

Z_LVAL_P、Z_DVAL_P、Z_ARRVAL_P等，以上宏列表在 Zend/zend_operators.h有定義。

4 規(guī)則策略

4.1 基本思路

我們需要解決的問題是getshell、主機(jī)敏感文件泄漏等問題。如果限制住PHP腳本執(zhí)行命令 和 翻閱文件的功能，就達(dá)到了目的。同時，由于讀取文件的接口非常多，使用場景也較多，因此采取禁用打開目錄接口來側(cè)面達(dá)到禁止翻閱文件的目的，不能遍歷目錄便無法得到文件名，可以有效的達(dá)到目標(biāo)。故最終形成的最終策略如下：

1) 禁用掉執(zhí)行命令的接口

2) 禁用掉打開目錄的接口

禁用函數(shù)有一些需要注意的問題：

1) PHP接口還是比較繁多復(fù)雜的，除了system、exec、opendir、scandir常用函數(shù)之外，一些生僻函數(shù)比如glob等函數(shù)都要考慮全面，另外還有一些回調(diào)函數(shù)、反射類(PS：部分考慮不全被blackeye和雪人繞過)

2) PHP SPL提供的一些類庫有文件管理的功能，也需要禁止，比如DirectoryIterator(不過好像沒有白帽子使用過SPL)

4.2 對抗變形

PHP使用assert或preg_replace /e執(zhí)行代碼，調(diào)用zend_get_executed_filename獲取的PHP腳本名中會帶有辨別標(biāo)識，assert對應(yīng)的是assert code，preg_replace對應(yīng)的是regexp code;當(dāng)發(fā)現(xiàn)這些特殊的腳本執(zhí)行了system等4.1中提高的高危函數(shù)直接阻斷。以下圖的nonalphanumeric -webshell舉例：

變形webshell解析后的形式和$_GET[1]($_GET[2])類似，比如傳入1=assert&2=system(whoami)執(zhí)行代碼，PHP擴(kuò)展層監(jiān)控到system函數(shù)執(zhí)行，并且發(fā)現(xiàn)PHP腳本名帶regexp code標(biāo)識，清晰的知道是preg_replace的代碼執(zhí)行了調(diào)用了system，阻斷system。Assert函數(shù)同理。總結(jié)：擴(kuò)展并不關(guān)注在靜態(tài)層如何編碼運(yùn)算或加密，擴(kuò)展只監(jiān)控最后的行為，所以可以很好的解決目前的變形難題。

圖2nonalphanumeric – webshell

4.3 減少誤殺

有時正常的PHP腳本也需要用到命令執(zhí)行的功能，如何保證其正常運(yùn)行，不被我們的防御策略阻斷呢?這里提供三種思路：

1) 寫入權(quán)限和執(zhí)行命令權(quán)限互斥

考慮到入侵者利用上傳漏洞或者其他0DAY getshell得到的文件大多會有W寫權(quán)限，防御方往往希望阻止這部分文件擁有過高的權(quán)限。

那么，我們可以去除正常PHP腳本的可寫權(quán)限，然后只對有寫權(quán)限的PHP腳本實施命令執(zhí)行等防御策略的阻斷邏輯。這樣即不會影響到業(yè)務(wù)的使用，又達(dá)到了預(yù)設(shè)場景的防護(hù)目標(biāo)。不過這樣的思路，需要禁用chmod等可以修改文件權(quán)限的函數(shù)。

2) 使用白名單邏輯

粗暴一點(diǎn)的可以用文件名白名單，也就是業(yè)務(wù)報備過的文件不受阻斷，其它不認(rèn)識的文件一律禁止。優(yōu)雅一點(diǎn)的可以對函數(shù)參數(shù)做白名單，比如提取正常PHP腳本執(zhí)行命令的參數(shù)或者代碼特征，對其進(jìn)行放行，不認(rèn)識的特征一律阻斷。

3) 使用黑名單邏輯

設(shè)定一些已知惡意腳本的黑特征參數(shù)，類似于殺毒軟件早期的特征碼思路。

上述思路在企業(yè)推廣時，需要和業(yè)務(wù)有足夠充分的配合，也都有不完美的地方，如果大家有更多方案或者思路，歡迎與我共同探討。

5 未來

利用PHP擴(kuò)展可以做的事情還是比較多，比如在漏洞檢測方面、對數(shù)據(jù)庫函數(shù)參數(shù)過濾、阻斷SQL注入、阻斷存儲型XSS等場景都有非常大的想象空間。甚至在代碼審計這塊也可以考慮，國內(nèi)有個大牛已經(jīng)有比較成熟的開源產(chǎn)品，TAINT (作者：laruence)，大家可能都已經(jīng)比較熟悉了，就暫時不做贅述了。

行文比較倉促，有不足的地方請諒解，有任意疑問或建議歡迎聯(lián)系pandas(小毛驢)切磋交流。