[tutorial] PHP Code Injection

[the binary]

elias, schick mal pm..


Edit:
btw: hut ab, daumen hoch und danke, für das schliessen einiger wissenslücken...

[Frohni]

Zitat von rechtschreibfan

doch.

Aha...
dann injizier doch mal hier Code:

PHP-Code:

<?
$test=$_POST[test];
$test=urlencode($test);
echo $test;
eval($test);
?>
<form name='form1' method='POST'>
<input type='text' name='test'>
<input type='submit' value='senden'>
</form>

Gruß, Frank

[elias]

Frohni, das mag vielleicht funktionieren. Aber wenn du eine größere Anwendung
schreibst dann wirst du kaum im Auge behalten können welche Daten in eine
unsichere Funktion gelangen und wie bzw. womit die hin und her kodiert wurden.
Selbst wenn 'du' es schaffst, was ist mit anderen Mitarbeitern?
Eval ist in den Meisten fällen einfach völlig unnötig und include in diesem Fall auch.

[Frohni]

Elias, das leuchtet mir absolut ein. Solche Sachen sollten immer mit einer Whitelist verifiziert werden (wie Du schon selber geschrieben hast). Es ging mir halt nur um das "was wäre wenn".
Im Nachhinein geht das urlencode im counterscript auch nicht, da die zugrundeliegende Datei "included" wird und somit ausführbar sein muß/soll.

eval: gerade bei meinem aktuellem Projekt komme ich nicht um eval herum. Solange die Aufrufe jedoch nicht auf GET/POST Variablen beruhen, sondern im Code festgelegt sind, sehe ich da kein Problem.

Gruß, Frank

[elias]

Nochmal zurück zum Thema. Es gab bei der Code Injection ein kleines Problem
was verhindert hat das ich " oder ' injizieren konnte. Leider konnte ich das
Verhalten nicht mehr reproduzieren, ich vermute es liegt an PHP 4 oder
magic_quotes.
Jedefalls ist man ohne Quotes schon ziemlich aufgeschmissen wenn z.B. Pfade
(also Strings) zu Dateien injizieren möchte. Deswegen habe ich den kompletten
Code kodiert und in ein eval gesteckt:

PHP-Code:

$s = str_split("readfile('/full/path/to/passwords');");
$s = array_map('ord', $s);
$s = 'eval(chr('.implode(').chr(', $s).'));';
echo "http://example.com/counter.php?daten=".urlencode('<?php '.$s.' ?>');

Das ist keine große Kunst aber zwei Dinge möchte ich dazu sagen.

1. Gibt es sehr viel trickreichere Wege Code über 10 Ecken einzuschleusen, z.B. tricks mit Multibyte Charsets führen immer zu netten "Aha" effekten.
Ich will damit sagen das eine Lösung auf dem ersten Blick nicht umbedingt eine sein muss.

2. Ohne eval hätte der Angriff nicht funktioniert.

[x!sign.dll]

lol...
DAS is mal echt derbe - vorallem die Nutzlosigkeit von magic_quotes in dem Fall.