Ядовитая гифка. Эксплуатируем уязвимость в расширении gd для PHP

Содержание статьи

Готовимся к эксплуатации
Уязвимость
Демонстрация уязвимости (видео)
Заключение

Все любят забавные гифки, но особый юмор — это повесить сервер на PHP при помощи специально сформированного файла GIF. Успешная эксплуатация бага, который мы разберем, приводит процесс в состояние бесконечного цикла. Создав множество таких процессов, атакующий исчерпает ресурсы системы. Жертвой может стать любой сервис, который производит манипуляции с картинками, написан на PHP и использует библиотеку gd или libgd.

Уязвимость получила идентификатор CVE-2018-5711, а обнаружил ее исследователь Orange Tsai (@orange_8361) из тайваньской компании Devcore. О деталях он написал в своем блоге.

WARNING

Вся информация предоставлена исключительно в ознакомительных целях. Ни редакция, ни автор не несут ответственности за любой возможный вред, причиненный материалами данной статьи.

Готовимся к эксплуатации

Главное, что нам понадобится, чтобы испытать баг, — это уязвимая версия PHP. Их у нас целый пучок:

PHP 5 < 5.6.33,
PHP 7.0 < 7.0.27,
PHP 7.1 < 7.1.13,
PHP 7.2 < 7.2.1.

Выбирай любую, как говорится. Если хочешь контролировать процесс эксплуатации и рассмотреть уязвимость поближе, то тебе понадобится версия, которая содержит дополнительную отладочную информацию (dbg-версия). Большинство дистрибутивов Linux позволяют установить dbg-версию с помощью пакетного менеджера. Я буду использовать Debian 8 в контейнере Docker.

docker run --rm -ti --cap-add=SYS_PTRACE --security-opt seccomp=unconfined --name=phpgd --hostname=phpgd debian:jessie-20171210 /bin/bash
apt-get update

В моем случае в репозитории имелись две версии дистрибутива: 5.6.33 и 5.6.30.

apt-cache policy php5-dbg

Различные версии PHP в дистрибутиве Debian

Другие статьи в выпуске:

Xakep #227. Meltdown и Spectre

Версия PHP 5.6.30 точно уязвима, поэтому ее и установим.

apt-get install -y php5-dbg=5.6.30+dfsg-0+deb8u1 \
        php5-common=5.6.30+dfsg-0+deb8u1 \
        libapache2-mod-php5=5.6.30+dfsg-0+deb8u1 \
        php5-cgi=5.6.30+dfsg-0+deb8u1 \
        php5-cli=5.6.30+dfsg-0+deb8u1 \
        php5-fpm=5.6.30+dfsg-0+deb8u1 \
        libphp5-embed=5.6.30+dfsg-0+deb8u1 \
        php5-curl=5.6.30+dfsg-0+deb8u1 \
        php5-enchant=5.6.30+dfsg-0+deb8u1 \
        php5-gd=5.6.30+dfsg-0+deb8u1 \
        php5-gmp=5.6.30+dfsg-0+deb8u1 \
        php5-imap=5.6.30+dfsg-0+deb8u1 \
        php5-interbase=5.6.30+dfsg-0+deb8u1 \
        php5-intl=5.6.30+dfsg-0+deb8u1 \
        php5-ldap=5.6.30+dfsg-0+deb8u1 \
        php5-mcrypt=5.6.30+dfsg-0+deb8u1 \
        php5-readline=5.6.30+dfsg-0+deb8u1 \
        php5-mysql=5.6.30+dfsg-0+deb8u1 \
        php5-odbc=5.6.30+dfsg-0+deb8u1 \
        php5-pgsql=5.6.30+dfsg-0+deb8u1 \
        php5-pspell=5.6.30+dfsg-0+deb8u1 \
        php5-recode=5.6.30+dfsg-0+deb8u1 \
        php5-snmp=5.6.30+dfsg-0+deb8u1 \
        php5-sqlite=5.6.30+dfsg-0+deb8u1 \
        php5-sybase=5.6.30+dfsg-0+deb8u1 \
        php5-tidy=5.6.30+dfsg-0+deb8u1 \
        php5-xmlrpc=5.6.30+dfsg-0+deb8u1 \
        php5-xsl=5.6.30+dfsg-0+deb8u1 \
        curl vim nano

Установленная уязвимая версия PHP 5.6.30

Такая огромная портянка получилась, потому что дистрибутив отказывался устанавливаться, ссылаясь на то, что я пытаюсь установить версию PHP ниже, чем версии его зависимостей. Это показалось мне самым простым решением, не исключено, что есть и более элегантный способ.

Возможно, на тот момент, когда ты будешь читать эту статью, в репозиториях появятся пропатченные версии дистрибутива. Тогда ничего не останется, кроме как скомпилировать PHP из исходников вручную. Для этого можно воспользоваться тем же контейнером, только теперь нужно установить среду для компиляции и все необходимые зависимости.

apt-get install -y build-essential git autoconf automake libtool re2c bison libxml2-dev libgd-dev curl vim nano gdb

Для разнообразия теперь возьмем версию 7.0.26.

git clone --branch PHP-7.0.26 --depth 1 https://github.com/php/php-src.git

Осталось только сконфигурировать. По сути, из расширений нам нужен только gd.

cd php-src
./buildconf --force
./configure --with-gd --enable-debug

Ну а затем стандартное:

make
make install

Свежескомпилированная уязвимая версия PHP

Уязвимость

Первым делом скачаем эксплоит — это специально сформированная гифка, которая и вызывает проблемы у парсера.

curl -L https://git.io/vN0n4 | xxd -r > poc.gif

Уязвимы функции imagecreatefromgif и imagecreatefromstring, которые в качестве параметров принимают GIF: первая в виде файла, вторая в виде строки. Поэтому проверить работоспособность PoC можно следующим образом:

php -r 'imagecreatefromgif("poc.gif");'

Посмотрим, как работает эта уязвимость. Нас интересует цикл while из функции LWZReadByte_, что находится в файле gd_gif_in.c.

/ext/gd/libgd/gd_gif_in.c

430: static int
431: LWZReadByte_(gdIOCtx *fd, LZW_STATIC_DATA *sd, char flag, int input_code_size, int *ZeroDataBlockP)
432: {
...
461:            GetCode(fd, &sd->scd, sd->code_size, FALSE, ZeroDataBlockP);

Во время его выполнения вызывается функция GetCode, это простая обертка над GetCode_ из того же файла.