AG公司云
防护计划：PHP远程DoS误差深入剖析
2015-05-14
5月14日 ，海内爆出php远程DoS误差 ，官方编号69364。使用该误差结构poc提倡链接 ，很容易导致目的主机cpu的占用率100% ，涉及PHP多个版本。AG公司科技威胁响应中心随即启动应急机制 ， 应急响应事情随即启动。
1 15日夜 ，启动误差剖析事情 ，同步将剖析效果发送产品团队；
2 16日 ，宣布产品规则升级通告 ，AG公司科技RSAS产品升级相继停当 ，客户通过在线及离线升级的要领 ，即可获得误差的检测能力；同时 ，在线误差检测引擎停当；
3 17日 ，误差深入剖析举行中。AG公司科技NIPS产品升级停当 ，客户通过在线及离线升级的要领 ，即可获得误差的防护能力；
4 18日 ，我们回首此次PHP误差的信息要点 ，从PHP误差防护的角度举行总结 ，为各人制订防御计划提供增补信息。
PHP远程DoS误差
4月3日 ，有人在PHP官网提交PHP 远程DoS误差（PHP Multipart/form-data remote dos Vulnerability） ，代号69364[1]。由于该误差涉及PHP的所有版本 ，故其影响面较大 ，一经宣布迅速引发多方面关注。14日 ，种种PoC已经在网络上撒播。此次误差具备如下特征：
1. 一旦被使用乐成 ，可以在迅速消耗被攻击主机的CPU资源 ，从而抵达DoS的目的；
2. PHP在全球的安排量相当大 ，为攻击者提供了相当多可以攻击的目的；
3. PHP官方现在仅给出了5.4及5.5版本的补丁
受此误差影响的软件及系统包括PHP的如下版本。
? PHP 5.0.0 - 5.0.5
? PHP 5.1.0 - 5.1.6
? PHP 5.2.0 - 5.2.17
? PHP 5.3.0 - 5.3.29
? PHP 5.4.0 - 5.4.40
? PHP 5.5.0 - 5.5.24
? PHP 5.6.0 - 5.6.8
AG公司科技终年亲近关注PHP的清静问题。AG公司科技威胁响应中心在获知相关信息后 ，随即启动应急机制 ，相关事情随即启动。本文章将会深入剖析该误差 ，并给出应对计划。
PHP远程DoS误差剖析
2015年5月15日夜 ，AG公司科技威胁响应中心在获取PHP误差撒播情形的同时 ，也在举行误差的剖析事情 ，通过重现误差的攻击历程 ，剖析其事情原理 ，得以清晰识别及检测该误差要领。
Boundary中的键值对脱离
PHP是一种盛行的Web服务器端编程语言 ，它功效强盛 ，简朴易用 ，使用它编写网络应用程序 ，可以应对大规模的Http请求 ，以是许多营业情形中都安排了PHP�Ｋ剂抗娣缎� ，PHP在设计之初就遵照rfc规范 ，举行各个协议�？榈姆庾凹袄檀χ贸头�。PHP与其他同样遵照rfc规范的语言及情形相比 ，不过是处置惩罚方法差别。
而从rfc1867[2]最先 ，http协议最先支持"multipart/form-data"请求 ，以便接受多种数据名堂 ，包括多种变量甚至是文件上传。multipart/form-data中可以包括多个报文 ，每一个报文boundary（脱离符）脱离开来 ，而每个报文中都包括了多行键值对 ，键值对用冒号脱离 ，这样的设计是为了让程序可以清晰的区分这些数据。
|
Boundary |
|||
|
键1 |
： |
值1 |
|
|
Boundary |
|||
|
键2 |
： |
值2 |
|
但若是由于某种缘故原由 ，键值中心缺少了谁人冒号 ，PHP函数会将下一对键值合并到了上一行 ，形成这样的键值对 ，“键1：值1键2值2”。由于PHP举行键值合并的算法不敷优化 ，这样的事情爆发一再还没什么 ，若是数以百万记 ，就酿成了一种灾难。
在下面的例子中 ，当a的部分抵达一定命目的时间（几十万行or上百万行） ，由于每行键与值之间并没有冒号脱离 ，函数就自动将下一行的键值对合并 ，这样数据越来越大 ，越来越长 ，函数针对这些数据一直执行内存的分派和释放 ，最终被攻击目的主机的CPU资源被耗尽。
1 ------WebKitFormBoundarypE33TmSNWwsMphqz
2 Content-Disposition: form-data; name="file"; filename="s
3 a
4 a
5 a
6 a"
7 Content-Type: application/octet-stream
8
9
10 ------WebKitFormBoundarypE33TmSNWwsMphqz*
*注：PHP中 ，Boundary是可以自界说的 ，好比“-----WebKitFormBoundarypE33TmSNWwsMphqz”
这样的代码 ，在抓包时显示情形如下：
Boundary报文剖析历程
PHP在main/rfc1867.c中 ，有两个函数都涉及boundary的剖析 ，包括SAPI_API SAPI_POST_HANDLER_FUNC及multipart_buffer_headers函数。DoS误差泛起在main/rfc46675pxultipart_buffer_headers函数。
PHP先剖析剖析multipart/form-data http请求 ， http请求体的入口函数在SAPI_POST_HANDLER_FUNC（rfc1867.c中的函数） ，SAPI_POST_HANDLER_FUNC函数首先剖析请求的boundary ，也就是POST请求中第一次界说时的boundary；并且在其内部挪用了multipart_buffer_headers ，该函数先找到boundary（也就是一次引用的boundary） ，会和界说时的boundary较量。若是相等即找到第一次引用的boundary ，接下来会逐行读取请求的输入以剖析body port header（也就是剖析第一次引用boundary后面的内容）。
SAPI_API SAPI_POST_HANDLER_FUNC
1 /* Get the boundary */
2 /* 最先剖析boundary
*/
3 boundary = strstr(content_type_dup
"boundary");
4 if (!boundary) {
5 int content_type_len =
strlen(content_type_dup);
6 char *content_type_lcase =
estrndup(content_type_dup content_type_len);
7
8 php_strtolower(content_type_lcase
content_type_len);
9 boundary = strstr(content_type_lcase
"boundary");
10 if (boundary)
{
11 boundary =
content_type_dup + (boundary - content_type_lcase);
12 }
13 efree(content_type_lcase);
14 }
15
16 if (!boundary ||
!(boundary = strchr(boundary '='))) {
17 sapi_module.sapi_error(E_WARNING
"Missing boundary in multipart/form-data POST data");
18 return;
19 }
20
21 boundary++;
22 boundary_len =
strlen(boundary);
23
24 /* 对bondary举行正当校验 */
25 if (boundary[0] ==
'"') {
26 boundary++;
27 boundary_end =
strchr(boundary '"');
28 if
(!boundary_end) {
29 sapi_module.sapi_error(E_WARNING
"Invalid boundary in multipart/form-data POST data");
30 return;
31 }
32 } else {
33 /* search for
the end of the boundary */
34 boundary_end =
strpbrk(boundary ";");
35 }
36 if (boundary_end) {
37 boundary_end[0]
= '
您的联系方法
购置热线
提交项目需求
接待加入AG公司科技 ，成为我们的相助同伴！
? 2026 NSFOCUS AG公司科技 www.nsfocus.com All Rights Reserved . 京公网安备 11010802021605号 京ICP备14004349号 京ICP证110355号