对某国的一次APT攻击过程(中)
“Harry”通过精心收集，向本站投稿了7篇对某国的一次APT攻击过程(中)，下面小编为大家整理后的对某国的一次APT攻击过程(中)，欢迎阅读与借鉴!
篇1：对某国的一次APT攻击过程(中)
view source
001
002
003functiongetBrowse {
004
005global$_SERVER;
006
007$Agent=$_SERVER['HTTP_USER_AGENT'];
008
009$browser='';
010
011$browserver='';
012
013$Browser=array('Lynx','MOSAIC','AOL','Opera','JAVA','MacWeb','WebExplorer','OmniWeb');
014
015for($i= 0;$i<= 7;$i++){
016
017if(strpos($Agent,$Browsers[$i])){
018
019$browser=$Browsers[$i];
020
021$browserver='';
022
023}
024
025}
026
027if(ereg('Mozilla',$Agent) &&ereg('Maxthon',$Agent)){
028
029$temp=explode('Maxthon/',$Agent);
030
031$Part=$temp[1];
032
033$temp=explode(' ',$Part);
034
035$browserver=$temp[0];
036
037$browser='Maxthon';
038
039}
040
041if(ereg('Mozilla',$Agent) &&ereg('Chrome',$Agent) && !ereg('Maxthon',$Agent)){
042
043$temp=explode('Chrome/',$Agent);
044
045$Part=$temp[1];
046
047$temp=explode(' ',$Part);
048
049$browserver=$temp[0];
050
051$browser='Chrome';
052
053}
054
055if(ereg('Mozilla',$Agent) &&ereg('Opera',$Agent)) {
056
057$temp=explode('(',$Agent);
058
059$Part=$temp[1];
060
061$temp=explode(')',$Part);
062
063$browserver=$temp[1];
064
065$temp=explode(' ',$browserver);
066
067$browserver=$temp[2];
068
069$browserver= preg_replace('/([d.]+)/','\1',$browserver);
070
071$browserver=$browserver;
072
073$browser='Opera';
074
075}
076
077if(ereg('Mozilla',$Agent) &&ereg('MSIE',$Agent)){
078
079$temp=explode('(',$Agent);
080
081$Part=$temp[1];
082
083$temp=explode(';',$Part);
084
085$Part=$temp[1];
086
087$temp=explode(' ',$Part);
088
089$browserver=$temp[2];
090
091$browserver= preg_replace('/([d.]+)/','\1',$browserver);
092
093$browserver=$browserver;
094
095$browser='Internet Explorer';
096
097}
098
099if($browser!=''){
100
101$browseinfo=$browser.' '.$browserver;
102
103}else{
104
105$browseinfo='Unknow Browser';
106
107}
108
109return$browseinfo;
110
111}
112
113
114
115functiongetIP() {
116
117returnisset($_SERVER[“HTTP_X_FORWARDED_FOR”])?$_SERVER[“HTTP_X_FORWARDED_FOR”]
118
119:(isset($_SERVER[“HTTP_CLIENT_IP”])?$_SERVER[“HTTP_CLIENT_IP”]
120
121:$_SERVER[“REMOTE_ADDR”]);
122
123}
124
125
126
127functiongetOS () {
128
129global$_SERVER;
130
131$agent=$_SERVER['HTTP_USER_AGENT'];
132
133$os= false;
134
135if(eregi('win',$agent) &&strpos($agent,'95')){
136
137$os='Windows 95';
138
139}
140
141elseif(eregi('win 9x',$agent) &&strpos($agent,'4.90')){
142
143$os='Windows ME';
144
145}
146
147elseif(eregi('win',$agent) &&ereg('98',$agent)){
148
149$os='Windows 98';
150
151}
152
153elseif(eregi('win',$agent) &&eregi('nt 6.1',$agent)){
154
155$os='Windows 7';
156
157}
158
159elseif(eregi('win',$agent) &&eregi('nt 6',$agent)){
160
161$os='Windows Vista';
162
163}
164
165elseif(eregi('win',$agent) &&eregi('nt 5.1',$agent)){
166
167$os='Windows XP';
168
169}
170
171elseif(eregi('win',$agent) &&eregi('nt 5',$agent)){
172
173$os='Windows ';
174
175}
176
177elseif(eregi('win',$agent) &&eregi('nt',$agent)){
178
179$os='Windows NT';
180
181}
182
183elseif(eregi('win',$agent) &&ereg('32',$agent)){
184
185$os='Windows 32';
186
187}
188
189elseif(eregi('linux',$agent)){
190
191$os='Linux';
192
193}
194
195elseif(eregi('unix',$agent)){
196
197$os='Unix';
198
199}
200
201elseif(eregi('sun',$agent) &&eregi('os',$agent)){
202
203$os='SunOS';
204
205}
206
207elseif(eregi('ibm',$agent) &&eregi('os',$agent)){
208
209$os='IBM OS/2';
210
211}
212
213elseif(eregi('Mac',$agent) &&eregi('PC',$agent)){
214
215$os='Macintosh';
216
217}
218
219elseif(eregi('PowerPC',$agent)){
220
221$os='PowerPC';
222
223}
224
225elseif(eregi('AIX',$agent)){
226
227$os='AIX';
228
229}
230
231elseif(eregi('HPUX',$agent)){
232
233$os='HPUX';
234
235}
236
237elseif(eregi('NetBSD',$agent)){
238
239$os='NetBSD';
240
241}
242
243elseif(eregi('BSD',$agent)){
244
245$os='BSD';
246
247}
248
249elseif(ereg('OSF1',$agent)){
250
251$os='OSF1';
252
253}
254
255elseif(ereg('IRIX',$agent)){
256
257$os='IRIX';
258
259}
260
261elseif(eregi('FreeBSD',$agent)){
262
263$os='FreeBSD';
264
265}
266
267elseif(eregi('teleport',$agent)){
268
269$os='teleport';
270
271}
272
273elseif(eregi('flashget',$agent)){
274
275$os='flashget';
276
277}
278
279elseif(eregi('webzip',$agent)){
280
281$os='webzip';
282
283}
284
285elseif(eregi('offline',$agent)){
286
287$os='offline';
288
289}
290
291else{
292
293$os='Unknown';
294
295}
296
297return$os;
298
299}
篇2：对山西省一次暴雪过程的分析研究
对山西省一次暴雪过程的分析研究
204月11-12日,山西省出现了历史上罕见的暴雪天气.通过对此次暴雪天气的`大尺度环流形势场和主要影响系统进行分析,并对水汽条件、动力条件等物理量特征进行剖析,从而了解和掌握了暴雪的成因和规律.对暴雪预报和防灾减灾起到了积极的作用.
作 者：高清兰 陈红萍 白桂巨 樊光海 梁丽珍 GAO Qing-lan CHEN Hong-ping BAI Gui-ju FAN Guang-hai LIANG Li-zhen 作者单位：高清兰,白桂巨,梁丽珍,GAO Qing-lan,BAI Gui-ju,LIANG Li-zhen(大同市气象局,山西,大同,037004)陈红萍,CHEN Hong-ping(晋中市气象局,山西,晋中,030600)
樊光海,FAN Guang-hai(山西省气象培训中心,山西,太原,030006)
刊 名：太原科技 英文刊名：TAIYUAN SCIENCE & TECHNOLOGY 年，卷(期)： “”(2) 分类号：P458.121 关键词：暴雪 影响系统 物理量特征 山西省篇3：如何对PHP程序中的常见漏洞进行攻击
style=“display:block;padding:0px 10px;” class=“ContentFont”><-- ad -->之所以翻译这篇文章，是因为目前关于CGI安全性的文章都是拿Perl作为例子，而专门介绍ASP，PHP或者JSP安全性的文章则很少， Shaun Clowes的这篇文章比较全面地介绍了PHP的安全问题，原文可以在http: //www.securereality.com.au /studyinscarlet.txt找到。
由于原文比较长，而且有相当一部分是介绍文章的背景或PHP的基础知识，没有涉及到PHP安全方面的内容，因此我没有翻译。如果你想了解这方面的知识，请参考原文。
文章主要从全局变量，远程文件，文件上载，库文件，Session文件，数据类型和容易出错的函数这几个方面分析了PHP的安全性，并且对如何增强PHP的安全性提出了一些有用的建议。
好了，废话少说，我们言归正传！
[全局变量]
PHP 中的变量不需要事先声明，它们会在第一次使用时自动创建，它们的类型也不需要指定，它们会根据上下文环境自动确定。从程序员的角度来看，这无疑是一种极其 方便的处理方法。很显然，这也是快速开发语言的一个很有用的特点。一旦一个变量被创建了，就可以在程序中的任何地方使用。这个特点导致的结果就是程序员很 少初始化变量，毕竟，当它们第一次创建时，他们是空的。
很显然，基于PHP的应用程序的主函数一般都是接受用户的输入（主要是表单变量，上载文件和Cookie等），然后对输入数据进行处理，然后把结果返回到客户端浏览器。为了使PHP代码访问用户的输入尽可能容易，实际上PHP是把这些输入数据看作全局变量来处理的。
例如：
很 显然，这会显示一个文本框和提交按钮。当用户点击提交按钮时，“test.php”会处理用户的输入，当“test.php”运行时，“$hello” 会 包含用户在文本框输入的数据。从这里我们应该看出，攻击者可以按照自己的意愿创建任意的全局变量。如果攻击者不是通过表单输入来调用 “test.php”，而是直接在浏览器地址栏输入server/test.php?hello=hi&setup=no，那么， 不止是“$hello”被创建，“$setup”也被创建了。
译者注：这两种方法也就是我们通常说的“POST”和“GET”方法。
下面的用户认证代码暴露了PHP的全局变量所导致的安全问题：
if ($pass == “hello”)
$auth = 1;
...
if ($auth == 1)
echo “some important information”;
?>
上面的代码首先检查用户的密码是否为“hello”，如果匹配的话，设置“$auth”为“1”，即通过认证。之后如果“$suth”为“1”的话，就会显示一些重要信息。
表 面看起来是正确的，而且我们中有相当一部分人是这样做的，但是这段代码犯了想当然的错误，它假定“$auth”在没有设置值的时候是空的，却没有想到攻击 者可以创建任何全局变量并赋值，通过类似“代码，使它相信我 href=“server/test.php?auth=1”的方法，我们完全可以欺骗这段代码，使它相信我” target=_blank>server/test.php?auth=1”的方法，我们完全可以欺骗这段代码，使它相信我 们是已经认证过的。
因此，为了提高PHP程序的安全性，我们不能相信任何没有明确定义的变量。如果程序中的变量很多的话，这可是一项非常艰巨的任务。
一种常用的保护方式就是检查数组HTTP_GET[]或POST_VARS[]中的变量，这依赖于我们的提交方式（GET或POST）。当PHP配置为打开“track_vars”选项的话（这是缺省值），用户提交的变量就可以在全局变量和上面提到的数组中获得。
但 是值得说明的是，PHP有四个不同的数组变量用来处理用户的输入。HTTP_GET_VARS数组用来处理GET方式提交的变量， HTTP_POST_VARS数组用于处理POST方式提交的变量，HTTP_COOKIE_VARS数组用于处理作为cookie头提交的变量，而对于 HTTP_POST_FILES数组（比较新的PHP才提供），则完全是用户用来提交变量的一种可选方式。用户的一个请求可以很容易的把变量存在这四个数 组中，因此一个安全的PHP程序应该检查这四个数组。
[远程文件]
PHP是一种具有丰富特性的语言，提供了大量的函数，使编程者实现某个功能很容易。但是从安全的角度来看，功能越多，要保证它的安全性就越难，远程文件就是说明这个问题的一个很好的例子：
if (!($fd = fopen(“$filename”, “r”))
echo(“Could not open file: $filename
”);
?>
上 面的脚本试图打开文件“$filename”，如果失败就显示错误信息。很明显，如果我们能够指定“$filename”的话，就能利用这个脚本浏览系统 中的任何文件。但是，这个脚本还存在一个不太明显的特性，那就是它可以从任何其它WEB或FTP站点读取文件。实际上，PHP的大多数文件处理函数对远程 文件的处理是透明的。
例如：
如果指定“$filename”为“target/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir”
则上面的代码实际上是利用主机target上的unicode漏洞，执行了dir命令。
这使得支持远程文件的include，require()，include_once()和require_once()在上下文环境中变得更有趣。这些函数主要功能是包含指定文件的内容，并且把它们按照PHP代码解释，主要是用在库文件上。
例如：
include($libdir . “/languages.php”);
?>
上 例中“$libdir”一般是一个在执行代码前已经设置好的路径，如果攻击者能够使得“$libdir”没有被设置的话，那么他就可以改变这个路径。但是 攻击者并不能做任何事情，因为他们只能在他们指定的路径中访问文件languages.php（perl中的“Poison null byte”攻击对PHP没有作用）。但是由于有了对远程文件的支持，攻击者就可以做任何事情。例如，攻击者可以在某台服务器上放一个文件 languages.php，包含如下内容：
passthru(“/bin/ls /etc”);
?>
然后把“$libdir”设置为“
需要注意的是，攻击服务器（也就是evilhost）应该不能执行PHP代码，否则攻击代码会在攻击服务器，而不是目标服务器执行，如果你想了解具体的技术细节，请参考：www.securereality.com.au/sradv00006.txt
[文件上载]
PHP自动支持基于RFC 1867的文件上载，我们看下面的例子：
上 面的代码让用户从本地机器选择一个文件，当点击提交后，文件就会被上载到服务器。这显然是很有用的功能，但是PHP的响应方式使这项功能变的不安全。当 PHP第一次接到这种请求，甚至在它开始解析被调用的PHP代码之前，它会先接受远程用户的文件，检查文件的长度是否超过 “$MAX_FILE_SIZE variable”定义的值，如果通过这些测试的话，文件就会被存在本地的一个临时目录中。
因此，攻击者可以发送任意文件给运行PHP的主机，在PHP程序还没有决定是否接受文件上载时，文件已经被存在服务器上了。
这里我就不讨论利用文件上载来对服务器进行DOS攻击的可能性了。
让 我们考虑一下处理文件上载的PHP程序，正如我们上面说的，文件被接收并且存在服务器上（位置是在配置文件中指定的，一般是/tmp），扩展名一般是随机 的，类似“phpxXuoXG”的形式。PHP程序需要上载文件的信息以便处理它，这可以通过两种方式，一种方式是在PHP 3中已经使用的，另一种是在我们对以前的方法提出安全公告后引入的。
但是，我们可以肯定的说，问题还是存在的，大多数PHP程序还是使用老的方式来处理上载文件。PHP设置了四个全局变量来描述上载文件，比如说上面的例子：
$hello = Filename on local machine (e.g “/tmp/phpxXuoXG”)
$hello_size = Size in bytes of file (e.g 1024)
$hello_name = The original name of the file on the remote system (e.g “c: emphello.txt”)
$hello_type = Mime type of uploaded file (e.g “text/plain”)
然后PHP程序开始处理根据“$hello”指定的文件，问题在于“$hello”不一定是一个PHP设置的变量，任何远程用户都可以指定它。如果我们使用下面的方式：
vulnhost/vuln.php?hello=/etc/passwd&hello_size=10240&hello_type=text/plain&hello_name=hello.txt
就导致了下面的PHP全局变量（当然POST方式也可以（甚至是Cookie））：
$hello = “/etc/passwd”
$hello_size = 10240
$hello_type = “text/plain”
$hello_name = “hello.txt”
上面的表单数据正好满足了PHP程序所期望的变量，但是这时PHP程序不再处理上载的文件，而是处理“/etc/passwd”（通常会导致内容暴露）。这种攻击可以用于暴露任何敏感文件的内容。
我 在前面已经说了，新版本的PHP使用HTTP_POST_FILES[]来决定上载文件，同时也提供了很多函数来解决这个问题，例如有一个函数用来判断某 个文件是不是实际上载的文件。这些函数很好的解决了这个问题，但是实际上肯定有很多PHP程序仍然使用旧的方法，很容易受到这种攻击。
作为文件上载的攻击方法的一个变种，我们看一下下面的一段代码：
if (file_exists($theme)) // Checks the file exists on the local system (no remote files)
include(“$theme”);
?>
如 果攻击者可以控制“$theme”的话，很显然它可以利用“$theme”来读取远程系统上的任何文件，
攻击者的最终目标是在远程服务器上执行任意指令， 但是他无法使用远程文件，因此，他必须得在远程服务器上创建一个PHP文件。这乍看起来好象是不可能的，但是文件上载帮了我们这个忙，如果攻击者先在本地 机器上创建一个包含PHP代码的文件，然后创建一个包含名为“theme”的文件域的表单，最后用这个表单通过文件上载把创建的包含PHP代码的文件提交 给上面的代码，PHP就会把攻击者提交的文件保存起来，并把“$theme”的值设置为攻击者提交的文件，这样file_exists()函数会检查通 过，攻击者的代码也将执行。
获得执行任意指令的能力之后，攻击者显然想提升权限或者是扩大战果，而这又需要一些服务器上没有的工具 集，而文件上载又一次帮了我们这个忙。攻击者可以使用文件上载功能上载工具，把她们存在服务器上，然后利用他们执行指令的能力，使用chmod()改变文 件的权限，然后执行。例如：攻击者可以绕过防火墙或IDS上载一个本地root攻击程序，然后执行，这样就获得了root权限。
[库文件]
正如我们前面讨论的那样，include()和require()主要是为了支持代码库，因为我们一般是把一些经常使用的函数放到一个独立的文件中，这个独立的文件就是代码库，当需要使用其中的函数时，我们只要把这个代码库包含到当前的文件中就可以了。
最 初，人们开发和发布PHP程序的时候，为了区别代码库和主程序代码，一般是为代码库文件设置一个“.inc”的扩展名，但是他们很快发现这是一个错误，因 为这样的文件无法被PHP解释器正确解析为PHP代码。如果我们直接请求服务器上的这种文件时，我们就会得到该文件的源代码，这是因为当把PHP作为 Apache的模块使用时，PHP解释器是根据文件的扩展名来决定是否解析为PHP代码的。扩展名是站点管理员指定的，一般是 “.php”， “.php3”和“.php4”。如果重要的配置数据被包含在没有合适的扩展名的PHP文件中，那么远程攻击者很容易得到这些信息。
最简单的解决方法就是给每个文件都指定一个PHP文件的扩展名，这样可以很好的防止泄露源代码的问题，但是又产生了新的问题，通过请求这个文件，攻击者可能使本该在上下文环境中运行的代码独立运行，这可能导致前面讨论的全部攻击。
下面是一个很明显的例子：
In main.php:
$libDir = “/libdir”;
$langDir = “$libdir/languages”;
...
include(“$libdir/loadlanguage.php”:
?>
In libdir/loadlanguage.php:
...
include(“$langDir/$userLang”);
?>
当 “libdir/loadlanguage.php” 被“main.php”调用时是相当安全的，但是因为“libdir/loadlanguage” 具有“.php”的扩展名，因此远程攻击者可以直接请求 这个文件，并且可以任意指定“$langDir”和“$userLang”的值。
[Session文件]
PHP 4 或更新的版本提供了对sessions的支持，它的主要作用是在PHP程序中保存页与页之间的状态信息。例如，当一个用户登陆进入网站，他登陆了这个事 实以及谁登陆进入这个网站都被保存在session中，当他在网站中到处浏览时，所有的PHP代码都可以获得这些状态信息。
事实上， 当一个session启动时（实际上是在配置文件中设置为在第一次请求时自动启动），就会生成一个随机的“session id”，如果远程浏览器总是在发送请求时提交这个“session id”的话，session就会一直保持。这通过Cookie很容易实现，也可以通过在每页提交一个表单变量（包含“session id”）来实现。PHP程序可以用session注册一个特殊的变量，它的值会在每个PHP脚本结束后存在session文件中，也会在每个PHP脚本开 始前加载到变量中。下面是一个简单的例子：
session_destroy(); // Kill any data currently in the session
$session_auth = “shaun”;
session_register(“session_auth”); // Register $session_auth as a session variable
?>
新版本的PHP都会自动把“$session_auth”的值设置为“shaun”，如果它们被修改的话，以后的脚本都会自动接受修改后的值，这对无状态的Web来说的确是种很不错的工具，但是我们也应该小心。
一个很明显的问题就是确保变量的确来自session，例如，给定上面的代码，如果后续的脚本是下面这样的话：
if (!empty($session_auth))
// Grant access to site here
?>
上 面的代码假定如果“$session_auth”被置位的话，就是从session，而不是从用户输入来置位的，如果攻击者通过表单输入来置位的话，他就 可以获得对站点的访问权。注意攻击者必须在session注册该变量之前使用这种攻击方法，一旦变量被放进了session，就会覆盖任何表单输入。
Session 数据一般是保存在文件中（位置是可配置的，一般是“/tmp”），文件名一般是类似 “sess_
Session机制也为攻击者把自己的输入保存在远程系统的文件中提供了另一个方便的地方，对于上面的例子来说，攻击者需要在远 程系统放置一个包含PHP代码的文件，如果不能利用文件上载做到的话，他通常会利用session为一个变量按照自己的意愿赋一个值，然后猜测 session文件的位置，而他知道文件名是“php
另外，攻击者可以任意指定“session id”（例如“hello”），然后用这个“session id”创建一个session文件（例如“/tmp/sess_hello”），但是“session id”只能是字母和数字组合。
[数据类型]
PHP 具有比较松散的数据类型，变量的类型依赖于它们所处的上下文环境。例如：“$hello”开始是字符串变量，值为“”，但是在求值时，就变成了整形变量 “0”，这有时可能会导致一些意想不到的结果。如果“$hello”的值为“000”还是为“0”是不同的，empty()返回的结果也不会为真。
PHP中的数组是关联数组，也就是说，数组的索引是字符串型的。这意味着“$hello[“000”]”和“$hello[0]”也是不同的。
开发程序的时候应该仔细地考虑上面的问题，例如，我们不应该在一个地方测试某个变量是否为“0”，而在另外的地方使用empty()来验证。
[容易出错的函数]
我们在分析PHP程序中的漏洞时，如果能够拿到源代码的话，那么一份容易出错的函数列表则是我们非常需要的。如果我们能够远程改变这些函数的参数的话，那么我们就很可能发现其中的漏洞。下面是一份比较详细的容易出错的函数列表：
require()：读取指定文件的内容并且作为PHP代码解释
include()：同上
eval()：把给定的字符串作为PHP代码执行
preg_replace()：当与“/e”开关一起使用时，替换字符串将被解释为PHP代码
<命令执行>
exec()：执行指定的命令，返回执行结果的最后一行
passthru()：执行指定命令，返回所有结果到客户浏览器
``：执行指定命令，返回所有结果到一个数组
system()：同passthru()，但是不处理二进制数据
popen()：执行指定的命令，把输入或输出连接到PHP文件描述符
<文件泄露>
fopen()：打开文件，并对应一个PHP文件描述符
readfile()：读取文件的内容，然后输出到客户浏览器
file()：把整个文件内容读到一个数组中
译者注：其实这份列表还不是很全，比如“mail()”等命令也可能执行命令，所以需要自己补充一下。
[如何增强PHP的安全性]
我在上面介绍的所有攻击对于缺省安装的PHP 4都可以很好的实现，但是我已经重复了很多次，PHP的配置非常灵活，通过配置一些PHP选项，我们完全可能抵抗其中的一些攻击。下面我按照实现的难度对一些配置进行了分类：
*低难度
**中低难度
***中高难度
****高难度
上面的分类只是个人的看法，但是我可以保证，如果你使用了PHP提供的所有选项的话，那么你的PHP将是很安全的，即使是第三方的代码也是如此，因为其中很多功能已经不能使用。
**** 设置“register_globals”为“off”
这 个选项会禁止PHP为用户输入创建全局变量，也就是说，如果用户提交表单变量“hello”，PHP不会创建“$ hello”，而只会创建 “HTTP_GET/POST_VARS['hello']”。这是PHP中一个极其重要的选项，关闭这个选项，会给编程带来很 大的不便。
*** 设置“safe_mode”为“on”
打开这个选项，会增加如下限制：
1． 限制哪个命令可以被执行
2． 限制哪个函数可以被使用
3． 基于脚本所有权和目标文件所有权的文件访问限制
4． 禁止文件上载功能
这对于ISP来说是一个伟大的选项，同时它也能极大地改进PHP的安全性。
** 设置“open_basedir”
这个选项可以禁止指定目录之外的文件操作，有效地消除了本地文件或者是远程文件被include()的攻击，但是仍需要注意文件上载和session文件的攻击。
** 设置“display_errors”为“off”，设置“log_errors”为“on”
这个选项禁止把错误信息显示在网页中，而是记录到日志文件中，这可以有效的抵制攻击者对目标脚本中函数的探测。
* 设置“allow_url_fopen”为“off”
这个选项可以禁止远程文件功能，极力推荐！
篇4：如何对PHP程序中的常见漏洞进行攻击（下）
原著：Shaun Clowes <“ target=_blank>www.securereality.com.au/>
翻译：analysist <” target=_blank>www.nsfocus.com/>
[库文件]
正如我们前面讨论的那样，include()和require()主要是为了支持代码库，因为我们一般是把一些经常使用的函数放到一个独立的文件中，这个独立的文件就是代码库，当需要使用其中的函数时，我们只要把这个代码库包含到当前的文件中就可以了，
最初，人们开发和发布PHP程序的时候，为了区别代码库和主程序代码，一般是为代码库文件设置一个“.inc”的扩展名，但是他们很快发现这是一个错误，因为这样的文件无法被PHP解释器正确解析为PHP代码。如果我们直接请求服务器上的这种文件时，我们就会得到该文件的源代码，这是因为当把PHP作为Apache的模块使用时，PHP解释器是根据文件的扩展名来决定是否解析为PHP代码的。扩展名是站点管理员指定的，一般是“.php”， “.php3”和“.php4”。如果重要的配置数据被包含在没有合适的扩展名的PHP文件中，那么远程攻击者很容易得到这些信息。
最简单的解决方法就是给每个文件都指定一个PHP文件的扩展名，这样可以很好的防止泄露源代码的问题，但是又产生了新的问题，通过请求这个文件，攻击者可能使本该在上下文环境中运行的代码独立运行，这可能导致前面讨论的全部攻击。
下面是一个很明显的例子：
In main.php:
$libDir = “/libdir”;
$langDir = “$libdir/languages”;
...
include(“$libdir/loadlanguage.php”:
?>
In libdir/loadlanguage.php:
...
include(“$langDir/$userLang”);
?>
当“libdir/loadlanguage.php”被“main.php”调用时是相当安全的，但是因为“libdir/loadlanguage”具有“.php”的扩展名，因此远程攻击者可以直接请求这个文件，并且可以任意指定“$langDir”和“$userLang”的值。
[Session文件]
PHP 4或更新的版本提供了对sessions的支持，它的主要作用是在PHP程序中保存页与页之间的状态信息。例如，当一个用户登陆进入网站，他登陆了这个事实以及谁登陆进入这个网站都被保存在session中，当他在网站中到处浏览时，所有的PHP代码都可以获得这些状态信息。
事实上，当一个session启动时（实际上是在配置文件中设置为在第一次请求时自动启动），就会生成一个随机的“session id”，如果远程浏览器总是在发送请求时提交这个“session id”的话，session就会一直保持。这通过Cookie很容易实现，也可以通过在每页提交一个表单变量（包含“session id”）来实现。PHP程序可以用session注册一个特殊的变量，它的值会在每个PHP脚本结束后存在session文件中，也会在每个PHP脚本开始前加载到变量中。下面是一个简单的例子：
session_destroy(); // Kill any data currently in the session
$session_auth = “shaun”;
session_register(“session_auth”); // Register $session_auth as a session variable
?>
新版本的PHP都会自动把“$session_auth”的值设置为“shaun”，如果它们被修改的话，以后的脚本都会自动接受修改后的值，这对无状态的Web来说的确是种很不错的工具，但是我们也应该小心。
一个很明显的问题就是确保变量的确来自session，例如，给定上面的代码，如果后续的脚本是下面这样的话：
if (!empty($session_auth))
// Grant access to site here
?>
上面的代码假定如果“$session_auth”被置位的话，就是从session，而不是从用户输入来置位的，如果攻击者通过表单输入来置位的话，他就可以获得对站点的访问权。注意攻击者必须在session注册该变量之前使用这种攻击方法，一旦变量被放进了session，就会覆盖任何表单输入。
Session数据一般是保存在文件中（位置是可配置的，一般是“/tmp”），文件名一般是类似“sess_
Session机制也为攻击者把自己的输入保存在远程系统的文件中提供了另一个方便的地方，对于上面的例子来说，攻击者需要在远程系统放置一个包含PHP代码的文件，如果不能利用文件上载做到的话，他通常会利用session为一个变量按照自己的意愿赋一个值，然后猜测session文件的位置，而他知道文件名是“php
另外，攻击者可以任意指定“session id”（例如“hello”），然后用这个“session id”创建一个session文件（例如“/tmp/sess_hello”），但是“session id”只能是字母和数字组合。
[数据类型]
PHP具有比较松散的数据类型，变量的类型依赖于它们所处的上下文环境。例如：“$hello”开始是字符串变量，值为“”，但是在求值时，就变成了整形变量“0”，这有时可能会导致一些意想不到的结果。如果“$hello”的值为“000”还是为“0”是不同的，empty()返回的结果也不会为真。
PHP中的数组是关联数组，也就是说，数组的索引是字符串型的。这意味着“$hello[“000”]”和“$hello[0]”也是不同的。
开发程序的时候应该仔细地考虑上面的问题，例如，我们不应该在一个地方测试某个变量是否为“0”，而在另外的地方使用empty()来验证。
[容易出错的函数]
我们在分析PHP程序中的漏洞时，如果能够拿到源代码的话，那么一份容易出错的函数列表则是我们非常需要的。如果我们能够远程改变这些函数的参数的话，那么我们就很可能发现其中的漏洞。下面是一份比较详细的容易出错的函数列表：
require()：读取指定文件的内容并且作为PHP代码解释
include()：同上
eval()：把给定的字符串作为PHP代码执行
preg_replace()：当与“/e”开关一起使用时，替换字符串将被解释为PHP代码
<命令执行>
exec()：执行指定的命令，返回执行结果的最后一行
passthru()：执行指定命令，返回所有结果到客户浏览器
``：执行指定命令，返回所有结果到一个数组
system()：同passthru()，但是不处理二进制数据
popen()：执行指定的命令，把输入或输出连接到PHP文件描述符
<文件泄露>
fopen()：打开文件，并对应一个PHP文件描述符
readfile()：读取文件的内容，然后输出到客户浏览器
file()：把整个文件内容读到一个数组中
译者注：其实这份列表还不是很全，比如“mail()”等命令也可能执行命令，所以需要自己补充一下。
[如何增强PHP的安全性]
我在上面介绍的所有攻击对于缺省安装的PHP 4都可以很好的实现，但是我已经重复了很多次，PHP的配置非常灵活，通过配置一些PHP选项，我们完全可能抵抗其中的一些攻击。下面我按照实现的难度对一些配置进行了分类：
*低难度
**中低难度
***中高难度
****高难度
上面的分类只是个人的看法，但是我可以保证，如果你使用了PHP提供的所有选项的话，那么你的PHP将是很安全的，即使是第三方的代码也是如此，因为其中很多功能已经不能使用。
**** 设置“register_globals”为“off”
这个选项会禁止PHP为用户输入创建全局变量，也就是说，如果用户提交表单变量“hello”，PHP不会创建“$ hello”，而只会创建“HTTP_GET/POST_VARS['hello']”。这是PHP中一个极其重要的选项，关闭这个选项，会给编程带来很大的不便。
*** 设置“safe_mode”为“on”
打开这个选项，会增加如下限制：
1． 限制哪个命令可以被执行
2． 限制哪个函数可以被使用
3． 基于脚本所有权和目标文件所有权的文件访问限制
4． 禁止文件上载功能
这对于ISP来说是一个伟大的选项，同时它也能极大地改进PHP的安全性。
** 设置“open_basedir”
这个选项可以禁止指定目录之外的文件操作，有效地消除了本地文件或者是远程文件被include()的攻击，但是仍需要注意文件上载和session文件的攻击。
** 设置“display_errors”为“off”，设置“log_errors”为“on”
这个选项禁止把错误信息显示在网页中，而是记录到日志文件中，这可以有效的抵制攻击者对目标脚本中函数的探测。
* 设置“allow_url_fopen”为“off”
这个选项可以禁止远程文件功能，极力推荐！
好了，文章到此为止了，如果你想了解一些其它的相关信息，请参考原文www.securereality.com.au/studyinscarlet.txt。
<全文完>
篇5：如何对PHP程序中的常见漏洞进行攻击（上）
原著：Shaun Clowes <“ target=_blank>www.securereality.com.au/>
翻译：analysist <” target=_blank>www.nsfocus.com/>
之所以翻译这篇文章，是因为目前关于CGI安全性的文章都是拿Perl作为例子，而专门介绍ASP，PHP或者JSP安全性的文章则很少，Shaun Clowes的这篇文章比较全面地介绍了PHP的安全问题，原文可以在www.securereality.com.au/studyinscarlet.txt找到。
由于原文比较长，而且有相当一部分是介绍文章的背景或PHP的基础知识，没有涉及到PHP安全方面的内容，因此我没有翻译。如果你想了解这方面的知识，请参考原文。
文章主要从全局变量，远程文件，文件上载，库文件，Session文件，数据类型和容易出错的函数这几个方面分析了PHP的安全性，并且对如何增强PHP的安全性提出了一些有用的建议。
好了，废话少说，我们言归正传！
[全局变量]
PHP中的变量不需要事先声明，它们会在第一次使用时自动创建，它们的类型也不需要指定，它们会根据上下文环境自动确定。从程序员的角度来看，这无疑是一种极其方便的处理方法。很显然，这也是快速开发语言的一个很有用的特点。一旦一个变量被创建了，就可以在程序中的任何地方使用。这个特点导致的结果就是程序员很少初始化变量，毕竟，当它们第一次创建时，他们是空的。
很显然，基于PHP的应用程序的主函数一般都是接受用户的输入（主要是表单变量，上载文件和Cookie等），然后对输入数据进行处理，然后把结果返回到客户端浏览器。为了使PHP代码访问用户的输入尽可能容易，实际上PHP是把这些输入数据看作全局变量来处理的。
例如：
很显然，这会显示一个文本框和提交按钮。当用户点击提交按钮时，“test.php”会处理用户的输入，当“test.php”运行时，“$hello”会包含用户在文本框输入的数据。从这里我们应该看出，攻击者可以按照自己的意愿创建任意的全局变量。如果攻击者不是通过表单输入来调用“test.php”，而是直接在浏览器地址栏输入server/test.php?hello=hi&setup=no，那么，不止是“$hello”被创建，“$setup”也被创建了。
译者注：这两种方法也就是我们通常说的“POST”和“GET”方法。
下面的用户认证代码暴露了PHP的全局变量所导致的安全问题：
if ($pass == “hello”)
$auth = 1;
...
if ($auth == 1)
echo “some important information”;
?>
上面的代码首先检查用户的密码是否为“hello”，如果匹配的话，设置“$auth”为“1”，即通过认证。之后如果“$suth”为“1”的话，就会显示一些重要信息。
表面看起来是正确的，而且我们中有相当一部分人是这样做的，但是这段代码犯了想当然的错误，它假定“$auth”在没有设置值的时候是空的，却没有想到攻击者可以创建任何全局变量并赋值，通过类似“server/test.php?auth=1”的方法，我们完全可以欺骗这段代码，使它相信我们是已经认证过的。
因此，为了提高PHP程序的安全性，我们不能相信任何没有明确定义的变量。如果程序中的变量很多的话，这可是一项非常艰巨的任务。
一种常用的保护方式就是检查数组HTTP_GET[]或POST_VARS[]中的变量，这依赖于我们的提交方式（GET或POST）。当PHP配置为打开“track_vars”选项的话（这是缺省值），用户提交的变量就可以在全局变量和上面提到的数组中获得。
但是值得说明的是，PHP有四个不同的数组变量用来处理用户的输入。HTTP_GET_VARS数组用来处理GET方式提交的变量，HTTP_POST_VARS数组用于处理POST方式提交的变量，HTTP_COOKIE_VARS数组用于处理作为cookie头提交的变量，而对于HTTP_POST_FILES数组（比较新的PHP才提供），则完全是用户用来提交变量的一种可选方式。用户的一个请求可以很容易的把变量存在这四个数组中，因此一个安全的PHP程序应该检查这四个数组。
[远程文件]
PHP是一种具有丰富特性的语言，提供了大量的函数，使编程者实现某个功能很容易。但是从安全的角度来看，功能越多，要保证它的安全性就越难，远程文件就是说明这个问题的一个很好的例子：
if (!($fd = fopen(“$filename”, “r”))
echo(“Could not open file: $filename
\n”);
?>
上面的脚本试图打开文件“$filename”，如果失败就显示错误信息。很明显，如果我们能够指定“$filename”的话，就能利用这个脚本浏览系统中的任何文件。但是，这个脚本还存在一个不太明显的特性，那就是它可以从任何其它WEB或FTP站点读取文件。实际上，PHP的大多数文件处理函数对远程文件的处理是透明的。
例如：
如果指定“$filename”为“target/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir”
则上面的代码实际上是利用主机target上的unicode漏洞，执行了dir命令。
这使得支持远程文件的include，require()，include_once()和require_once()在上下文环境中变得更有趣。这些函数主要功能是包含指定文件的内容，并且把它们按照PHP代码解释，主要是用在库文件上。
例如：
include($libdir . “/languages.php”);
?>
上例中“$libdir”一般是一个在执行代码前已经设置好的路径，如果攻击者能够使得“$libdir”没有被设置的话，那么他就可以改变这个路径，
但是攻击者并不能做任何事情，因为他们只能在他们指定的路径中访问文件languages.php（perl中的“Poison null byte”攻击对PHP没有作用）。但是由于有了对远程文件的支持，攻击者就可以做任何事情。例如，攻击者可以在某台服务器上放一个文件languages.php，包含如下内容：
passthru(“/bin/ls /etc”);
?>
然后把“$libdir”设置为“/“ target=_blank>
需要注意的是，攻击服务器（也就是evilhost）应该不能执行PHP代码，否则攻击代码会在攻击服务器，而不是目标服务器执行，如果你想了解具体的技术细节，请参考：www.securereality.com.au/sradv00006.txt
[文件上载]
PHP自动支持基于RFC 1867的文件上载，我们看下面的例子：
上面的代码让用户从本地机器选择一个文件，当点击提交后，文件就会被上载到服务器。这显然是很有用的功能，但是PHP的响应方式使这项功能变的不安全。当PHP第一次接到这种请求，甚至在它开始解析被调用的PHP代码之前，它会先接受远程用户的文件，检查文件的长度是否超过“$MAX_FILE_SIZE variable”定义的值，如果通过这些测试的话，文件就会被存在本地的一个临时目录中。
因此，攻击者可以发送任意文件给运行PHP的主机，在PHP程序还没有决定是否接受文件上载时，文件已经被存在服务器上了。
这里我就不讨论利用文件上载来对服务器进行DOS攻击的可能性了。
让我们考虑一下处理文件上载的PHP程序，正如我们上面说的，文件被接收并且存在服务器上（位置是在配置文件中指定的，一般是/tmp），扩展名一般是随机的，类似“phpxXuoXG”的形式。PHP程序需要上载文件的信息以便处理它，这可以通过两种方式，一种方式是在PHP 3中已经使用的，另一种是在我们对以前的方法提出安全公告后引入的。
但是，我们可以肯定的说，问题还是存在的，大多数PHP程序还是使用老的方式来处理上载文件。PHP设置了四个全局变量来描述上载文件，比如说上面的例子：
$hello = Filename on local machine (e.g ”/tmp/phpxXuoXG“)
$hello_size = Size in bytes of file (e.g 1024)
$hello_name = The original name of the file on the remote system (e.g ”c:\\temp\\hello.txt“)
$hello_type = Mime type of uploaded file (e.g ”text/plain“)
然后PHP程序开始处理根据“$hello”指定的文件，问题在于“$hello”不一定是一个PHP设置的变量，任何远程用户都可以指定它。如果我们使用下面的方式：
vulnhost/vuln.php?hello=/etc/passwd&hello_size=10240&hello_type=text/plain&hello_name=hello.txt
就导致了下面的PHP全局变量（当然POST方式也可以（甚至是Cookie））：
$hello = ”/etc/passwd“
$hello_size = 10240
$hello_type = ”text/plain“
$hello_name = ”hello.txt“
上面的表单数据正好满足了PHP程序所期望的变量，但是这时PHP程序不再处理上载的文件，而是处理“/etc/passwd”（通常会导致内容暴露）。这种攻击可以用于暴露任何敏感文件的内容。
我在前面已经说了，新版本的PHP使用HTTP_POST_FILES[]来决定上载文件，同时也提供了很多函数来解决这个问题，例如有一个函数用来判断某个文件是不是实际上载的文件。这些函数很好的解决了这个问题，但是实际上肯定有很多PHP程序仍然使用旧的方法，很容易受到这种攻击。
作为文件上载的攻击方法的一个变种，我们看一下下面的一段代码：
if (file_exists($theme)) // Checks the file exists on the local system (no remote files)
include(”$theme");
?>
如果攻击者可以控制“$theme”的话，很显然它可以利用“$theme”来读取远程系统上的任何文件。攻击者的最终目标是在远程服务器上执行任意指令，但是他无法使用远程文件，因此，他必须得在远程服务器上创建一个PHP文件。这乍看起来好象是不可能的，但是文件上载帮了我们这个忙，如果攻击者先在本地机器上创建一个包含PHP代码的文件，然后创建一个包含名为“theme”的文件域的表单，最后用这个表单通过文件上载把创建的包含PHP代码的文件提交给上面的代码，PHP就会把攻击者提交的文件保存起来，并把“$theme”的值设置为攻击者提交的文件，这样file_exists()函数会检查通过，攻击者的代码也将执行。
获得执行任意指令的能力之后，攻击者显然想提升权限或者是扩大战果，而这又需要一些服务器上没有的工具集，而文件上载又一次帮了我们这个忙。攻击者可以使用文件上载功能上载工具，把她们存在服务器上，然后利用他们执行指令的能力，使用chmod()改变文件的权限，然后执行。例如：攻击者可以绕过防火墙或IDS上载一个本地root攻击程序，然后执行，这样就获得了root权限。
<未完待续>
篇6：认知中的突显观对翻译过程的启示
认知中的突显观对翻译过程的启示
图形/背景理论起源于心理学,后来主要用于对语言结构的研究,是语言组织概念内容的一个基本认知原则.图形/背景的特性,反映了语言在空间和时间上所遵循的规律.由于认知思维模式,观察和描述事件时间角度的不同,影响到图形背景的选择和图形背景的`位置顺序.本文着重以认知语言学中的图形/背景理论为视角,探讨翻译的过程,力图通过这个视角对翻译的过程有更明确的认识.
作 者：张丹丹 作者单位：武汉科技大学中南分校,湖北,武汉,430223 刊 名：湖北广播电视大学学报 英文刊名：JOURNAL OF HUBEI RADIO & TELEVISION UNIVERSITY 年，卷(期)： 28(1) 分类号：H059 关键词：图形 背景 已知信息 未知信息 突显篇7：青藏高原东侧陡峭地形对一次强降水天气过程的影响
青藏高原东侧陡峭地形对一次强降水天气过程的影响
利用高分辨率中尺度模式分析资料, 研究了青藏高原东侧陡峭地形对一次暴雨天气发生发展的影响.结果显示, 青藏高原地形对大气环流的动力阻挡作用形成了本次暴雨过程的水汽输送通道, 青藏高原东侧陡峭地形结构造成了四川西北部和黄河上游的强水汽辐合中心, 并使低层高能舌和能量锋区位于海拔较低的四川盆地, 在四川盆地对流层低层建立起位势不稳定层结.青藏高原东侧陡峭地形结构引起了低层偏东气流强烈的垂直上升运动, 最强的垂直上升运动出现在东西风垂直切变与陡峭地形交汇处, 激发不稳定能量释放, 促使强对流猛烈发展, 暴雨过程中高原东侧还有一个中尺度涡旋的.发生发展相伴.青藏高原东侧暴雨区最显著的热力特征是高温高湿区域仅出现在对流层低层, 最显著的动力特征是强涡度柱也仅出现在对流层低层.
作 者：李川 陈静 何光碧 LI Chuan CHEN Jing HE Guang-bi 作者单位：中国气象局,成都高原气象研究所,四川,成都,610072 刊 名：高原气象 ISTIC PKU英文刊名：PLATEAU METEOROLOGY 年，卷(期)：2006 25(3) 分类号：P458.1+21 关键词：青藏高原 陡峭地形 四川盆地强降水【对某国的一次APT攻击过程(中)】相关文章：
文档为doc格式
