研究人员再揭PHP反串行化安全漏洞,恐使WordPress曝露远程程序攻击风险

来自英国网络安全公司Secarma的研究总监Sam Thomas本月相继于黑帽(Black Hat)及BSides两大安全会议上展示了PHP程序语言的反序化(Deserialization )安全漏洞,指出该漏洞影响所有接纳用户数据的PHP应用程序与函数库,包括WordPress等内容管理系统(CMS)在内,成功的开采将允许远程程序攻击。

串行化(Serialization)与反串行化(Deserialization)是所有程序语言都具备的功能,串行化是将对象转成字符串,以将数据迁移至不同的服务器、服务或应用上,再通过反串行化将字符串还原成对象。

网络安全研究人员Stefan Essar在2009年时就曾披露于PHP中反串行化黑客所控制数据的风险,而相关漏洞不仅存在于PHP,也存在于其它的程序语言, Thomas公布的是针对PHP的新攻击技术,可在各种场景中使用,诸如搭配XML External Entity(XEE)漏洞或服务器端伪造请求(SSFR)漏洞等。

Thomas表示,过去外界认为XXE漏洞带来的最大问题就是信息外泄,但现在却可能引发程序执行。相关的攻击分为两阶段,先是把一个含有恶意对象的Phar存盘上传到攻击目标的本地端文件系统上,之后触发一个基于phar://并指涉该对象的文件操作,就能造成恶意程序执行。

Thomas已利用PHP的反串行化程序成功攻陷了WordPress与Typo3内容管理平台,以及Contao所采用的TCPDF函数库。

发表评论