PHP string序列化与反序列化语法解析不一致带来的安全隐患

原文地址:http://www.80vul.com/pch/pch-010.txt

author: ryat#www.wolvez.org

team:http://www.80vul.com

date:2012-11-19

不久前 IPB 爆出了一个 unserialize() 漏洞[1],漏洞本身没有什么特别的,但 IPB 官方发布的 patch 却很有意思[2],很快 Stefan Esser 在其 twitter 上给出了 bypass 的方法[3]。随后 IPB 官方针对此 bypass 发布了新的 patch,但 Stefan Esser 表示新 patch 通过改变处理方式最终化解了此漏洞,但其提供的过滤函数 safeUnserialize() 依旧是存在安全问题的。虽然 Stefan Esser 没有透漏问题具体所在,但笔者通过查看相关 PHP 源码,发现 PHP 在对 string 进行序列化与反序列化处理过程中存在语法解析不一致的问题,这有可能会导致很严重的安全问题,同时也可以很容易的 bypass safeUnserialize() 函数的过滤。

i. PHP string serialize() 相关源码分析

------------------------------------

{% highlight c %}

	static inline void php_var_serialize_string(smart_str *buf, char *str, int len) /* {{{ */
	{
		smart_str_appendl(buf, "s:", 2);
		smart_str_append_long(buf, len);
		smart_str_appendl(buf, ":\"", 2);
		smart_str_appendl(buf, str, len);
		smart_str_appendl(buf, "\";", 2);
	}

{% endhighlight %}

通过上面的代码片段可以看到 serialize() 对 string 序列化处理方式如下:

{% highlight php %}

	$str = 'ryatsyne';
	var_dump(serialize($str));
	// $str serialized string output
	// s:8:"ryatsyne";

{% endhighlight %}

ii. PHP string unserialize() 相关源码分析

---------------------------------------

unserialize() 函数对 string 的反序列化则分为两种,一种是对 `s:` 格式的序列化 string 进行处理:

{% highlight c %}

	switch (yych) {
    	...
		case 's':	goto yy9;
		...
	yy9:
		yych = *(YYMARKER = ++YYCURSOR);
		if (yych == ':') goto yy46;
		goto yy3;
		...
	yy46:
		yych = *++YYCURSOR;
		if (yych == '+') goto yy47;
		if (yych <= '/') goto yy18;
		if (yych <= '9') goto yy48;
		goto yy18;
	yy47:
		yych = *++YYCURSOR;
		if (yych <= '/') goto yy18;
		if (yych >= ':') goto yy18;
	yy48:
		++YYCURSOR;
		if ((YYLIMIT - YYCURSOR) < 2) YYFILL(2);
		yych = *YYCURSOR;
		if (yych <= '/') goto yy18;
		if (yych <= '9') goto yy48;
		if (yych >= ';') goto yy18;
		yych = *++YYCURSOR;
		if (yych != '"') goto yy18;
		++YYCURSOR;
		{
		size_t len, maxlen;
		char *str;
		
		len = parse_uiv(start + 2);
		maxlen = max - YYCURSOR;
		if (maxlen < len) {
			*p = start + 2;
			return 0;
		}
		
		str = (char*)YYCURSOR;
		
		YYCURSOR += len;
		
		if (*(YYCURSOR) != '"') {
			*p = YYCURSOR;
			return 0;
		}
	// 确保格式为 s❌"x"
		
		YYCURSOR += 2;
		*p = YYCURSOR;
	// 注意这里,*p 指针直接后移了两位,也就是说没有判断 " 后面是否为 ;
		
		INIT_PZVAL(*rval);
		ZVAL_STRINGL(*rval, str, len, 1);
		return 1;
	
{% endhighlight %}

另一种是对 S: 格式的序列 string 进行处理(此格式在 serialize() 函数序列化处理中并没有定义):

{% highlight c %}

	static char *unserialize_str(const unsigned char **p, size_t *len, size_t maxlen)
	{
		size_t i, j;
		char *str = safe_emalloc(*len, 1, 1);
		unsigned char *end = *(unsigned char **)p+maxlen;
		
		if (end < *p) {
			efree(str);
			return NULL;
		}
		
		for (i = 0; i < *len; i++) {
			if (*p >= end) {
				efree(str);
				return NULL;
			}
			if (**p != '\\') {
				str[i] = (char)**p;
			} else {
				unsigned char ch = 0;
				
				for (j = 0; j < 2; j++) {
					(*p)++;
					if (**p >= '0' && **p <= '9') {
						ch = (ch << 4) + (**p -'0');
					} else if (**p >= 'a' && **p <= 'f') {
						ch = (ch << 4) + (**p -'a'+10);
					} else if (**p >= 'A' && **p <= 'F') {
						ch = (ch << 4) + (**p -'A'+10);
					} else {
						efree(str);
						return NULL;
					}
				}
				str[i] = (char)ch;
			}
			(*p)++;
		}
		str[i] = 0;
		*len = i;
		return str;
	}
	// 上面的函数是对 \72\79\61\74\73\79\6e\65 这样十六进制形式字符串进行转换
	...
	switch (yych) {
		...
		case 'S':	goto yy10;
		// 处理过程与 s: 相同				
		if ((str = unserialize_str(&YYCURSOR, &len, maxlen)) == NULL) {
			return 0;
		}
		// 处理过程与 s: 相同

{% endhighlight %}

从上面的代码片段可以看到 unserialize() 对序列化后的 string 反序列化处理如下:

{% highlight php %}

	$str1 = 's:8:"ryatsyne";';
	$str2 = 's:8:"ryatsyne"t';
	$str3 = 'S:8:"\72\79\61\74\73\79\6e\65"';
	var_dump(unserialize($str));
	// $str1, $str2 and $str3 unserialized string output
	// ryatsyne;

{% endhighlight %}

iii. 语法解析处理不一致导致的安全隐患

-----------------------------

从上述分析过程可以看到 PHP 在反序列化 string 时没有严格按照序列化格式 s❌"x"; 进行处理,没有对 " 后面的是否存在 ; 进行判断,同时增加了对十六进制形式字符串的处理,这样前后处理的不一致让人很费解,同时由于 PHP 手册中对此没有详细的说明,大部分程序员对此处理过程并不了解,这可能导致其在编码过程中出现疏漏,甚至导致严重的安全问题。

回到文章开头提到的 IPB 漏洞上,利用这个 funny feature of PHP 可以很容易的 bypass safeUnserialize() 函数的过滤:)

{% highlight php %}

    * mixed safe_unserialize(string $serialized)
    * Safely unserialize, that is only unserialize string, numbers and arrays, not objects
    *
    * @license Public Domain
    * @author dcz (at) phpbb-seo (dot) com
    */
    static public function safeUnserialize( $serialized )
    {
        // unserialize will return false for object declared with small cap o
        // as well as if there is any ws between O and :
        if ( is_string( $serialized ) && strpos( $serialized, "\0" ) === false )
        {
            if ( strpos( $serialized, 'O:' ) === false )
            {
                // the easy case, nothing to worry about
                // let unserialize do the job
                return @unserialize( $serialized );
            }
            else if ( ! preg_match('/(^|;|{|})O:[+\-0-9]+:"/', $serialized ) )
            {
                // in case we did have a string with O: in it,
                // but it was not a true serialized object
                return @unserialize( $serialized );
            }
        }
 
        return false;
    }
    
    // a:1:{s:8:"ryatsyne"tO:8:"ryatsyne":0:{}}
    // 只要构造类似的序列化字符串就可以轻易突破这里的过滤了
        
{% endhighlight %}

iiii. 参考

----------

* [1][http://seclists.org/bugtraq/2012/Nov/17](http://seclists.org/bugtraq/2012/Nov/17)

* [2][http://adminextra.com/threads/ip-board-3-1-x-3-2-x-and-3-3-x-hacked.6125/](http://adminextra.com/threads/ip-board-3-1-x-3-2-x-and-3-3-x-hacked.6125/)

* [3][http://twitter.com/i0n1c](http://twitter.com/i0n1c)