PHP的整数溢出攻击：在处理用户提供的数组大小时绕过Zval边界检查 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

PHP 整数溢出攻击：绕过 Zval 边界检查处理用户提供的数组大小

大家好！今天我们要深入探讨一个PHP安全领域中非常有趣的课题：整数溢出攻击，以及如何利用它绕过Zval的边界检查，特别是当处理用户提供的数组大小时。 这是一个相对高级的主题，但理解它对于编写安全可靠的PHP代码至关重要。

什么是整数溢出？

首先，我们需要理解什么是整数溢出。在计算机科学中，整数溢出发生在算术运算的结果超出了给定的整数类型所能表示的范围时。例如，一个32位有符号整数的范围是 -2,147,483,648 到 2,147,483,647。如果你对 2,147,483,647 加 1，理论上结果应该是 2,147,483,648，但由于超过了最大值，就会发生溢出。结果通常会“回绕”到最小值，在这种情况下，结果会变成 -2,147,483,648。

整数溢出在PHP中的意义

PHP使用C语言编写，因此继承了C语言整数类型的特性。PHP中的整数类型通常是平台相关的，可以是32位或64位。整数溢出在PHP中可能导致各种问题，包括：

安全漏洞: 导致缓冲区溢出，任意代码执行等。
程序崩溃: 由于不可预期的值导致程序逻辑错误。
数据损坏: 导致计算结果不准确。

Zval 和数组大小限制

在PHP中，zval 是一个非常重要的数据结构。它是PHP变量的容器，用于存储变量的类型和值。对于数组来说，zval 也维护着数组的相关信息，比如数组的大小。

PHP为了防止耗尽服务器资源，对数组的大小设置了限制。这个限制通常由 memory_limit 和内部的数组大小限制共同控制。然而，问题在于，计算数组大小或者偏移量时，经常涉及到整数运算。这就给整数溢出攻击留下了空间。

漏洞场景：用户可控的数组大小

现在，我们来考虑一个常见的漏洞场景：应用程序允许用户控制数组的大小。例如，用户可以通过GET或POST请求指定数组的长度。

<?php

// 接收用户输入的数组大小
$size = (int)$_GET['size']; //强制转换为整数，但并不能防止溢出

// 创建一个指定大小的数组
$array = array_fill(0, $size, 'A');

//  ... 对数组进行一些操作 ...

echo "数组大小: " . count($array);

?>

这段代码看起来很简单，但它存在安全隐患。即使我们使用 (int) 强制将用户输入转换为整数，也无法阻止整数溢出。如果用户提供一个非常大的值，比如 2147483647，强制转换后仍然是 2147483647。但是，如果用户提供一个更大的值，例如 4294967295 （ 2^32 - 1，对应于无符号32位整数的最大值），强制转换后在32位系统上可能会变为 -1 或者其他负数。这可能会导致 array_fill 函数出错，或者在后续的数组操作中引发问题。

利用整数溢出绕过边界检查

攻击者可以精心构造一个输入值，使得在计算数组大小时发生整数溢出，从而绕过PHP的边界检查。让我们看一个更具体的例子：

假设PHP内部使用以下方式计算数组需要的内存大小：

//  模拟的C代码，用于说明问题
size_t calculate_memory_needed(size_t element_size, size_t num_elements) {
    return element_size * num_elements;
}

如果 element_size 和 num_elements 的乘积超过了 size_t 能表示的最大值，就会发生溢出。结果可能是一个很小的数字，甚至为零。然后，PHP可能会尝试分配一个非常小的内存块，但实际上后续的代码会尝试访问超出这个内存块的数据，导致缓冲区溢出。

代码示例：模拟整数溢出漏洞

为了更好地理解，我们来创建一个模拟的PHP代码示例，演示整数溢出漏洞。由于PHP本身不容易直接触发底层内存分配的溢出，我们使用一个扩展来模拟这个过程。

首先，我们需要一个简单的C扩展，它可以分配一个指定大小的内存块，并将数据写入其中。

// my_extension.c
#ifdef HAVE_CONFIG_H
#include "config.h"
#endif

#include "php.h"

zend_module_entry my_extension_module_entry = {
    STANDARD_MODULE_HEADER,
    "my_extension",
    NULL, /* functions */
    NULL, /* MINIT */
    NULL, /* MSHUTDOWN */
    NULL, /* RINIT */
    NULL, /* RSHUTDOWN */
    NULL, /* MINFO */
    "1.0",
    STANDARD_MODULE_PROPERTIES
};

#ifdef COMPILE_DL_MY_EXTENSION
ZEND_GET_MODULE(my_extension)
#endif

PHP_FUNCTION(allocate_and_write) {
    long size;
    char *data;
    size_t data_len;

    if (zend_parse_parameters(ZEND_NUM_ARGS(), "ls", &size, &data, &data_len) == FAILURE) {
        RETURN_NULL();
    }

    if (size <= 0) {
        php_error(E_WARNING, "Size must be positive");
        RETURN_FALSE;
    }

    void *buffer = emalloc(size);  //分配内存

    if (buffer == NULL) {
        php_error(E_WARNING, "Failed to allocate memory");
        RETURN_FALSE;
    }

    // 注意：这里没有检查 data_len 是否小于 size，存在潜在的溢出风险
    memcpy(buffer, data, data_len); // 写入数据

    RETURN_TRUE; //返回真
}

ZEND_FUNCTION_BEGIN_ARG_INFO(arginfo_allocate_and_write, ZEND_ARG_INFO(0, size))
    ZEND_ARG_INFO(0, data)
ZEND_FUNCTION_END_ARG_INFO()

static const zend_function_entry my_extension_functions[] = {
    PHP_FE(allocate_and_write, arginfo_allocate_and_write)
    PHP_FE_END
};

zend_module_entry my_extension_module_entry = {
    STANDARD_MODULE_HEADER,
    "my_extension",
    my_extension_functions,
    NULL,
    NULL,
    NULL,
    NULL,
    NULL,
    "1.0",
    STANDARD_MODULE_PROPERTIES
};

#ifdef COMPILE_DL_MY_EXTENSION
ZEND_GET_MODULE(my_extension)
#endif

这个C扩展提供了一个函数 allocate_and_write，它接受一个大小和一个字符串作为参数。它分配指定大小的内存，并将字符串写入该内存。 关键的漏洞在于，它没有检查字符串的长度是否超过了分配的内存大小。

接下来，我们编写PHP代码来利用这个漏洞：

<?php

// 动态加载扩展
dl('my_extension.so'); // 假设你的扩展名为 my_extension.so

//  计算一个可能导致溢出的size
$size = 10; // 分配较小的内存
$data = str_repeat('A', 20); // 写入大量数据

// 调用扩展函数，故意造成溢出
allocate_and_write($size, $data);

echo "执行完毕";

?>

在这个例子中，我们分配了 10 字节的内存，但尝试写入 20 字节的数据。由于 allocate_and_write 函数没有进行边界检查，这会导致缓冲区溢出。

编译和运行扩展

编译扩展: 你需要使用 phpize 和 php-config 来编译这个C扩展。具体的步骤可以参考PHP官方文档。
```
phpize
./configure --with-php-config=/path/to/php-config
make
sudo make install
```
启用扩展: 在 php.ini 文件中添加 extension=my_extension.so 来启用扩展。
运行PHP脚本: 运行上面的PHP脚本。

风险和防御

整数溢出漏洞可能导致各种各样的安全问题，从信息泄露到远程代码执行。以下是一些防御整数溢出攻击的方法：

输入验证: 严格验证用户输入，确保它们在合理的范围内。不要仅仅依赖 (int) 强制类型转换，因为它不能防止溢出。使用 filter_var 函数并设置合适的 min_range 和 max_range 选项。
使用安全的算术运算函数: PHP 7.0 引入了 intdiv() 函数，它可以防止除零错误。对于其他算术运算，可以考虑使用GMP或BCMath扩展，它们提供了任意精度的数学运算，可以避免整数溢出。
代码审查: 仔细审查代码，特别是在处理用户输入和进行算术运算的地方。
使用静态分析工具: 静态分析工具可以帮助你发现潜在的整数溢出漏洞。
更新PHP版本: 保持你的PHP版本是最新的，因为新版本通常会修复已知的安全漏洞。
扩展开发注意事项: 在编写PHP扩展时，务必进行严格的边界检查，防止缓冲区溢出。

表格总结防御措施

防御方法	描述	优点	缺点
输入验证	严格检查用户输入，确保其在合理范围内。使用 `filter_var` 函数，设置 `min_range` 和 `max_range`。	简单易行，可以有效防止许多类型的整数溢出。	需要仔细考虑输入范围，避免限制过于严格或过于宽松。
安全算术运算函数	使用 `intdiv()` 函数防止除零错误。对于其他算术运算，考虑使用GMP或BCMath扩展，它们提供任意精度数学运算。	可以有效避免整数溢出，保证计算结果的准确性。	性能开销较大，不适合对性能要求高的场景。
代码审查	仔细审查代码，特别是在处理用户输入和进行算术运算的地方。	可以发现潜在的整数溢出漏洞和其他安全问题。	需要专业的安全人员进行，成本较高。
静态分析工具	使用静态分析工具自动检测代码中的整数溢出漏洞。	可以快速发现大量潜在的漏洞，提高代码质量。	可能会产生误报，需要人工进行验证。
更新PHP版本	保持PHP版本最新，及时修复已知的安全漏洞。	可以获得最新的安全补丁和功能改进。	升级过程可能存在兼容性问题。
扩展开发注意事项	在编写PHP扩展时，务必进行严格的边界检查，防止缓冲区溢出。	可以从根本上防止整数溢出漏洞。	需要专业的C/C++开发人员进行，开发成本较高。

真实的案例研究

虽然直接利用整数溢出绕过Zval边界检查的公开案例不多，但整数溢出漏洞在其他PHP应用中并不少见。例如，某些图像处理库在处理图像大小时，如果使用了不安全的算术运算，就可能导致整数溢出，从而导致缓冲区溢出。

结论：理解和防范整数溢出漏洞至关重要

整数溢出是一个常见的安全漏洞，可能导致严重的后果。通过理解整数溢出的原理，并采取适当的防御措施，我们可以编写更安全可靠的PHP代码。特别是当处理用户提供的数组大小或者其他用户可控的数值时，务必格外小心，避免整数溢出漏洞的发生。

保证代码安全的关键在于防御

理解整数溢出的原理是防御的基础，输入验证是第一道防线，选择安全的算术运算方式是重要保障，代码审查和静态分析能有效发现潜在问题，及时更新PHP版本则可以获得最新的安全补丁。

PHP 整数溢出攻击：绕过 Zval 边界检查处理用户提供的数组大小

发表回复 取消回复

发表回复取消回复