Vlourido: /* Inxección de código no sistema operativo */

2013-07-22T23:49:02Z

Inxección de código no sistema operativo

Página nueva

== Inxección de código ==

Esta vulnerabilidade baséase na inserción e execución de código alleo. Dependendo de dónde se execute ese código, podemos distinguir:

=== Inxección de código PHP ===

Inserción e execución de código PHP alleo na nosa aplicación web. Pode producirse entre outros nos seguintes escenarios:

* Se empregamos ''include'', ''include_once'', ''require'' ou ''require_once'' empregando o contido dunha variable como parte do nome do arquivo. Por exemplo:

<div style="margin-left: 2em;">
<source lang="php">
include $arquivo . ".php";
</source>
</div>

:Unha forma de restrinxir os efectos da vulnerabilidade é empregar a directiva '''allow_url_fopen''' (ou '''allow_url_include''') para que non se poidan engadir ficheros dende ubicacións remotas.

* Se empregamos o constructor da linguaxe '''[http://es1.php.net/manual/es/function.eval.php eval]'''. eval permite executar o código contido nunha cadea de texto. Por exemplo:

<div style="margin-left: 2em;">
<source lang="php">
$a = "17";
eval('$b = $a;');
echo $b;
</source>
</div>

:Cando o valor das variables que empreguemos dentro dun ''eval'' non estéa controlado, pode resultar na execución no noso sitio de código descoñecido. Por exemplo:

<div style="margin-left: 2em;">
<source lang="php">
$a = $_REQUEST["valor"];
// Nótese a elección "pouco afortunada" de comiñas dobres
eval("\$b = $a;");
echo $b;
</source>
</div>

:Por exemplo, cando o valor do parámetro ''valor'' sexa algo como '''1; phpinfo();''' obteremos a execución da función '''phpinfo'''.

* Se empregamos a función '''[http://www.php.net/manual/es/function.unserialize.php unserialize]''' para crear un obxecto a partir dunha representación de orixe non confiable. Por exemplo, cando facemos:

<div style="margin-left: 2em;">
<source lang="php">
$var = unserialize($_REQUEST['representacion']);
</source>
</div>

:A variable $var pode pasar a ser un obxecto cun conxunto de propiedades con valores descoñecidos. Os obxectos que se recuperan empregando a función ''unserialize'' executan o método máxico [http://www.php.net/manual/es/language.oop5.magic.php#object.wakeup __wakeup] (se existe), e tamén o método [http://www.php.net/manual/es/language.oop5.decon.php#object.destruct __destruct] cando se destrúan (tamén se existe). Estes métodos poden empregarse para levar a caba accións non desexadas.

:Por exemplo, se temos un obxecto que emprega ficheiros temporais e os borra cando se destrúe, un atacante podería crear un obxecto tal que cando se destruise borrara outro ficheiro calquera do sistema.

<div style="margin-left: 2em;">
<source lang="php">
class inxeccion
{
public $fich_tmp;
...

function __destruct()
{
if (file_exists($fich_tmp)) @unlink($fich_tmp);
}
}
</source>
</div>

:Soamente sería necesario pasar un obxecto serializado da clase "inxeccion" con $fich_tmp apuntando ao ficheiro que desexemos eliminar.

* Se empregamos a función '''[http://es1.php.net/manual/es/function.preg-replace.php preg_replace]''' co parámetro '''e''' no patrón para realizar sustitucións en cadeas empregando expresións regulares. O parámetro ''e'' indica que o segundo parámetro debe avaliarse como unha expresión PHP.

=== Inxección de código no sistema operativo ===

Inserción e execución de código alleo que se executa sobre o sistema operativo do servidor. Prodúcese principalmente:

* Cando empregamos unha función como '''[http://es1.php.net/manual/es/function.system.php system]''', '''[http://docs.php.net/manual/es/function.exec.php exec]''' ou calquera [http://docs.php.net/manual/es/ref.exec.php función que execute algún comando no sistema operativo], incluíndo o [http://es1.php.net/manual/es/language.operators.execution.php operador de execución ('''``''')], e empregamos na chamada o valor dunha variable non controlada, podemos obter como resultado a execución dun comando alleo no sistema operativo.

:Por exemplo, se quixeramos listar os ficheiros con unha terminación determinada que se atopan no sistema de ficheiros local, poderiamos facer:

<div style="margin-left: 2em;">
<source lang="php">
$listado = system('ls *.' . $_REQUEST['terminacion']);
echo $listado;
</source>
</div>

:Pero se no parámetro "terminacion", no canto dunha extesión como "php" obtemos algo como "'''php; rm -r *'''", executarase tamén o segundo comando cos privilexios de execución de apache (ou do servidor web que execute PHP).

:Para evitalo pódense empregar as funcións '''[http://es1.php.net/manual/es/function.escapeshellarg.php escapeshellarg]''', pensada para sanear os argumentos pasados aos intérpretes de comandos, ou '''[http://es1.php.net/manual/es/function.escapeshellcmd.php escapeshellcmd]''', que sanea unha cadea que vai ser empregada como comando (argumentos incluídos).

<div style="margin-left: 2em;">
<source lang="php">
$argumento = escapeshellarg('*.' . $_REQUEST['terminacion']);
$listado = system('ls ' . $argumento);
echo $listado;
</source>
</div>

--[[Usuario:Vlourido|Víctor Lourido]] 20:58 20 jul 2013 (CEST)

Curso POO PHP Inxección de código PHP - Historial de revisiones

Vlourido: /* Inxección de código no sistema operativo */