淺談從PHP內核層面防范PHP WebShell

By 咖啡(k4kup8_0x4154_gmail.com) [目錄] 1. 簡述 2. php的執行流程 3. php的生命周期 4. php源代碼分析以及功能性代碼的實現 5. 總結 6. 參考資料一、簡述依據php特定運行環境、php某些特定函數缺陷、php普通函數可以實現變化多端的php webshell，php版本的scanwebshell也不是太給力。php webshell功能最大化就是實現文件、目錄、命令、數據庫等操作，這些都是基于php代碼實現的。把相關功能化的php函數運行參數提取出來，然后做一個判斷，這樣就能從本質上防范php webshell，在php這個層面實現其安全的最大化。這里介紹下通過編寫php擴展來實現這個思路，當然需要的話也可以重新編譯php源代碼來實現。首先我們了解下php的執行流程、php生命周期，接下來通過分析具體函數的php源代碼來實現功能性代碼。二、php的執行流程 2.1 scanner 將PHP代碼轉換為Tokens，詳見代碼Zend/zend_language_scanner.l。 2.2 parser 將Tokens轉換成表達式，詳見代碼Zend/zend_language_parser.y。 2.3 compile 將表達式編譯成opcode。opcode存放在op_array中。 2.4 execute Zend Engine調用zend_execute來執行op_array，輸出結果。三、php的生命周期 3.1 STARTUP 1、初始化引擎和核心組件。 2、解析php.ini。 3、初始化靜態構建的模塊(MINIT)。 4、初始化共享模塊(MINIT)。 3.2 ACTIVATION 1、初始化環境變量、變量。 2、激活靜態構建的模塊(RINIT) 。 3、激活共享模塊(RINIT) 。 3.3 RUNTIME 1、編譯和執行php.ini中auto_prepend_file選項指定的文件。 2、編譯和執行所請求的文件。 3、編譯和執行php.ini中auto_append_file選項指定的文件。 3.4 DEACTIVATION 1、調用用戶指定的退出函數。 2、銷毀對象實例。 3、停用模塊(RSHUTDOWN)。 4、清空輸出。 5、清理環境。 6、釋放剩余的非持久內存。 3.5 SHUTDOWN 1、關閉啟動的全部模塊(MSHUTDOWN)。 2、關閉引擎。四、php源代碼分析以及功能性代碼的實現 php函數分為兩種：一種是Zend的函數，這類函數數量比較少，比如eval函數。第二種是由PHP_FUNCTION宏編寫的，這類函數數量比較多，比如system函數。實現對兩類函數在提取運行時的參數的方式也不相同，比如處理eval函數用重寫zend_compile_string的方式，而處理system函數則對HashTable操作。下邊就以eval函數和system函數為例進行分析、代碼實現。 4.1 eval函數代碼分析與代碼實現首先我們看php源代碼中eval函數是如何實現的，部分代碼如下： --code------------------------------------------------------------------------- // PHPSRC/Zend/zend_vm_def.h if (inc_filename->type!=IS_STRING) { tmp_inc_filename = *inc_filename; zval_copy_ctor(&tmp_inc_filename); convert_to_string(&tmp_inc_filename); inc_filename = &tmp_inc_filename; } case ZEND_EVAL: { /* 調用zend_make_compiled_string_description函數 */ char *eval_desc = zend_make_compiled_string_description("eval()"d code" TSRMLS_CC); /* 調用zend_compile_string函數 */ new_op_array = zend_compile_string(inc_filename, eval_desc TSRMLS_CC); efree(eval_desc); } /* 執行op_array */ zend_execute(new_op_array TSRMLS_CC); //PHPSRC/Zend/zend.c #define COMPILED_STRING_DESCRIPTION_FORMAT "%s(%d) : %s" ZEND_API char *zend_make_compiled_string_description(char *name TSRMLS_DC) { zend_spprintf(&compiled_string_description, 0, COMPILED_STRING_DESCRIPTION_FORMAT, cur_filename, cur_lineno, name); return compiled_string_description; //返回值包含"eval()"d code"字符串 } //PHPSRC/Zend/zend_compile.c ZEND_API zend_op_array *(*zend_compile_string)(zval *source_string, char *filename TSRMLS_DC); zend_compile_string一個函數指針。下邊看下引擎初始化的時候對zend_compile_string的操作。 int zend_startup(zend_utility_functions *utility_functions, char **extensions, int start_builtin_functions) { zend_compile_string = compile_string; //對zend_compile_string函數的地址賦值 ------------------------------------------------------------------------------- 只要檢查op_array中是否含有"eval()"d code"字符串，就能判斷是否是在執行eval函數。在引擎初始化的時候，默認會將compile_string函數的地址賦值給zend_compile_string， compile_string函數則返回一個指向zend_op_array的指針。如果能在php代碼編譯之前對 zend_compile_string進行重寫，那么就能達到劫持的目的。根據php的生命周期，對 zend_compile_string進行重寫應該放在STARTUP或者ACTIVATION這兩個階段，而編寫php擴展所使用到的PHP_MINIT_FUNCTION和PHP_RINIT_FUNCTION宏就分別處在STARTUP和ACTIVATION 這個兩個階段，這是為什么呢？我們先看下php.h代碼中對PHP_MINIT_FUNCTION宏的定義。 --code------------------------------------------------------------------------- #define PHP_MINIT_FUNCTION ZEND_MODULE_STARTUP_D //ZEND_MODULE_STARTUP_D定義在zend_API.h #define ZEND_MODULE_STARTUP_D(module) int ZEND_MODULE_STARTUP_N(module)(INIT_FUNC_ARGS) //ZEND_MODULE_STARTUP_N定義在zend_API.h #define ZEND_MODULE_STARTUP_N(module) zm_startup_##module //INIT_FUNC_ARGS定義在zend_modules.h #define INIT_FUNC_ARGS int type, int module_number TSRMLS_DC ------------------------------------------------------------------------------- PHP_MINIT_FUNCTION(module)的原型就是： --code------------------------------------------------------------------------- zm_startup_module(int type, int module_number TSRMLS_DC) ------------------------------------------------------------------------------- 同樣的PHP_RINIT_FUNCTION(module)的原型為: --code------------------------------------------------------------------------- zm_activate_module(int type, int module_number TSRMLS_DC) ------------------------------------------------------------------------------- 關于對eval函數運行參數截取分析的實現代碼如下： --code------------------------------------------------------------------------- #define OVECCOUNT 30 /* 具體正則表達式要按照具體的需求來寫，下面正則僅為測試用 */ #define eval_regex_value "(((chr\$\\d*?\$|base64_decode\$|eval|gzinflate\\(|system|shell_exec|popen|pclose|proc_close|proc_get_status|proc_nice|proc_terminate|exec|passthru|show_source|escapeshellcmd|escapeshellarg system|shell_exec|popen|pclose|proc_open|proc_close|proc_get_status|proc_nice|proc_terminate|exec|passthru|show_source|escapeshellcmd|escapeshellarg)\\([{}"$\\w\\s]*?\$);).*?" static zend_op_array* (*old_compile_string)(zval *source_string, char *filename TSRMLS_DC); static zend_op_array* safe_compile_string(zval *source_string, char *filename TSRMLS_DC); PHP_RINIT_FUNCTION(safe) //PHP_MINIT_FUNCTION(safe)也可 { safe_hook_execute(); return SUCCESS; } PHP_RSHUTDOWN_FUNCTION(safe) //PHP_MSHUTDOWN_FUNCTION(safe)也可 { safe_unhook_execute(); return SUCCESS; } int matchpattern(char *src, char *pattern, int i) //正則匹配函數 { pcre *re; const char *error; int erroffset; int ovector[OVECCOUNT]; int rc; char *substring_start; int substring_length; TSRMLS_FETCH(); re = pcre_compile(pattern, PCRE_CASELESS|PCRE_DOTALL, &error, &erroffset, NULL); if(re == NULL) { //printf("PCRE compilation failed at offset %d: %s\n", erroffset, error); return 1; } rc = pcre_exec(re, NULL, src, strlen(src), 0, 0, ovector, OVECCOUNT); if(rc >= 0) { substring_start = src + ovector[2*i]; substring_length = ovector[2*i+1] - ovector[2*i]; printf("Match_result: %.*s\n", substring_length, substring_start); printf("Filename : %-40s\n", zend_get_executed_filename(TSRMLS_C)); printf("Line : %-50i\n", zend_get_executed_lineno(TSRMLS_C)); } free(re); return rc; } static zend_op_array *safe_compile_string(zval *source_string, char *filename TSRMLS_DC) { char *eval_strings; int x; zend_op_array *op_array; op_array = old_compile_string(source_string, filename TSRMLS_CC); /* 過濾非eval函數 */ if(!strstr(op_array->filename, "eval()"d code")) { return old_compile_string(source_string, filename TSRMLS_CC); } /* 將source_string字符串賦值給eval_strings */ eval_strings = estrndup(Z_STRVAL_P(source_string), Z_STRLEN_P(source_string)); printf("%s","\n"); printf("Function : %-40s\n", "eval"); x = matchpattern(eval_strings, eval_regex_value, 1); if (x < 0) { return old_compile_string(source_string, filename TSRMLS_CC); } else if(x >= 0) return FALSE; } int safe_hook_execute() { old_compile_string = zend_compile_string; zend_compile_string = safe_compile_string; system_hook_system(); //對應后邊對system函數的操作 return TRUE; } int safe_unhook_execute() { zend_compile_string = old_compile_string; return TRUE; } ------------------------------------------------------------------------------- 4.2 system函數代碼分析與代碼實現首先我們看php源代碼中system函數是如何實現的，部分代碼如下： --code------------------------------------------------------------------------- //PHPSRC\ext\standard\exec.c PHP_FUNCTION(system) { /* 調用php_exec_ex函數 */ php_exec_ex(INTERNAL_FUNCTION_PARAM_PASSTHRU, 1); } static void php_exec_ex(INTERNAL_FUNCTION_PARAMETERS, int mode) { char *cmd; if (!ret_array) { /* 調用php_exec函數 */ ret = php_exec(mode, cmd, NULL, return_value TSRMLS_CC); } else { if (Z_TYPE_P(ret_array) != IS_ARRAY) { zval_dtor(ret_array); array_init(ret_array); } ret = php_exec(2, cmd, ret_array, return_value TSRMLS_CC); ------------------------------------------------------------------------------- 接下來看php_exec函數的定義。 --code------------------------------------------------------------------------- int php_exec(int type, char *cmd, zval *array, zval *return_value TSRMLS_DC) { char *cmd_p, *b, *c, *d=NULL; if (PG(safe_mode)) { cmd_p = php_escape_shell_cmd(d); efree(d); d = cmd_p; } else { cmd_p = cmd; #ifdef PHP_WIN32 fp = VCWD_POPEN(cmd_p, "rb"); //調用VCWD_POPEN函數 ------------------------------------------------------------------------------- 接下來看VCWD_POPEN函數的定義。 --code------------------------------------------------------------------------- //TSRM\tsrm_virtual_cwd.c #ifdef TSRM_WIN32 //以windows平臺為例 CWD_API FILE *virtual_popen(const char *command, const char *type TSRMLS_DC) { return popen_ex(command, type, CWDG(cwd).cwd, NULL);//調用popen_ex函數 } ------------------------------------------------------------------------------- 接下來看popen_ex函數的定義。 --code------------------------------------------------------------------------- //TSRM\tsrm_win32.c TSRM_API FILE *popen_ex(const char *command, const char *type, const char *cwd, char *env) { char *cmd; cmd = (char*)malloc(strlen(command)+strlen(TWG(comspec))+sizeof(" /c ")); sprintf(cmd, "%s /c %s", TWG(comspec), command); if (!CreateProcess(NULL, cmd, &security, &security, security.bInheritHandle, NORMAL_PRIORITY_CLASS|CREATE_NO_WINDOW, env, cwd, &startup, &process)) { return NULL; } free(cmd); ------------------------------------------------------------------------------- 上邊是system函數執行的參數傳遞的過程，在這個過程中如果可以截取函數執行的參數的話，就可以分析參數是否包含危險的關鍵字。為了方便編寫擴展程序，我們直接在exec.c 中php_exec函數中添加截取代碼，也就是在php_exec_ex函數調用php_exec函數之前的位置。添加如下代碼即可獲取執行的參數： --code------------------------------------------------------------------------- x = matchpattern(cmd, system_regex_value, 0);//調用正則函數進行判斷 if(x >= 0) RETURN_FALSE; ------------------------------------------------------------------------------- 下邊我們分析怎么實現對system函數的重寫，這里主要參照main.c文件中實現php.ini 中disable_functions功能的php_disable_functions函數，它調用了zend_disable_function。 --code------------------------------------------------------------------------- ZEND_API int zend_disable_function(char *function_name, uint function_name_length TSRMLS_DC) { if (zend_hash_del(CG(function_table), function_name, function_name_length+1)==FAILURE) { return FAILURE; } disabled_function[0].fname = function_name; return zend_register_functions(NULL, disabled_function, CG(function_table), MODULE_PERSISTENT TSRMLS_CC); } ------------------------------------------------------------------------------- 同樣我們可以用zend_hash_del函數將system從function_table中刪除，然后注冊新的 zend函數，以達到對system函數劫持的目的。 system作為一個執行系統命令的函數，在這里進行了禁用操作，沒有使用正則處理函數進行參數的檢查，當然也可以根據具體的需求進行具體的操作。實現代碼如下： --code------------------------------------------------------------------------- /* 聲明導出函數 */ PHP_FUNCTION(system1) { printf("%s","\n"); printf("Function : %-40s\n", "system"); printf("Filename : %-40s\n", zend_get_executed_filename(TSRMLS_C)); printf("Line : %-50i\n", zend_get_executed_lineno(TSRMLS_C)); printf("%s","system function is disabled."); } /* 聲明 Zend 函數塊 */ zend_function_entry hook_system_functions[] = { PHP_FALIAS(system, system1, NULL) // 創建system別名 {NULL, NULL, NULL} }; /* 創建system hook函數 */ int safe_hook_system() { TSRMLS_FETCH(); /* 刪除function_table中的system函數 */ zend_hash_del(CG(function_table), "system", sizeof("system")); /* 注冊新zend函數 */ #ifndef ZEND_ENGINE_2 zend_register_functions(hook_system_functions, NULL, MODULE_PERSISTENT TSRMLS_CC); #else zend_register_functions(NULL, hook_system_functions, NULL, MODULE_PERSISTENT TSRMLS_CC); #endif return 0; } ------------------------------------------------------------------------------- 4.3 demo運行效果 4.3.1 加載php擴展 ------------------------------------------------------------------------------- C:\phpext>type php.ini | findstr "^extension=" extension=php_safe.dll C:\phpext>php 3.php Function : system Filename : C:\phpext\3.php Line : 3 system function is disabled. Function : eval Match_result: exec("ver"); Filename : C:\phpext\3.php Line : 9 ------------------------------------------------------------------------------- 4.3.2 不加載php擴展 ------------------------------------------------------------------------------- C:\phpext>type php.ini | findstr "^extension=" C:\phpext>php 3.php Microsoft Windows XP [版本 5.1.2600] ------------------------------------------------------------------------------- 五、總結實現php webshell的功能性函數眾多，我們做到控制關鍵性的函數足以。當然實現函數截取要根據函數的情況進行一一的分析，然后做相應的判斷。最后要感謝下SuperHei，文章不足之處請斧正。六、參考資料 [1] php源代碼 http://www.php.net [2] PHP Extension Writing http://talks.somabo.de/200903_montreal_php_extension_writing.pdf -EOF-