【漏洞情报】从php Zend 内核层分析PHP built-in server http请求走私漏洞

❝

由于传播、利用本公众号"隼目安全"所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,公众号"隼目安全"及作者不为此承担任何责任,一旦造成后果请自行承担!如有侵权烦请告知,我们会立即删除并致歉谢谢！

扫描上方二维码即可加入“重庆_网安一家亲”微信群（仅限重庆地区）

PHP built-in server http请求走私漏洞

漏洞演示

先给大家演示一下该漏洞的效果

当前目录下，只有一个图片文件，但是图片文件中的是php代码

我在此目录下启动php服务

正常访问该图片，就是我刚刚展示的php代码内容，并且没有被我提前包含和其他任何操作

在我发送payload之后，你会发现，

这里面的php代码被执行了

Zend内核层原理深入剖析

php源码下载

https://www.php.net/distributions/php-7.3.4.tar.gz  https://www.php.net/distributions/php-7.3.4.tar.bz2  \# 64位 NTS编译好的二进制文件  https://windows.php.net/downloads/releases/archives/php-7.3.4-nts-Win32-VC15-x64.zip  

漏洞描述

PHP Built-in Server 在处理 HTTP 请求时，使用了基于回调的事件驱动解析器php_http_parser。当解析器在单次调用中接收到多个连续的 HTTP 请求时，会依次触发各个请求的回调函数。 由于回调函数对php_cli_server_request结构体的字段进行直接覆盖，而没有正确的边界检查，导致：

第一个请求的 path_translated + 第二个请求的 ext = 类型混淆  

最终，一个扩展名为 .xxx(任意三字后缀，例如.png .jpg .bak .gif .zip .rar .wav等等) 的备份文件会因为扩展名被错误地更新为 .php，而被 PHP 解释器当作脚本执行。

示意图

漏洞分析

核心结构

请求结构体定义

文件位置: sapi/cli/php_cli_server：php_cli_server_request

typedef struct php_cli_server_request {  enum php_http_method request_method; // GET, POST, etc.  int protocol_version; // HTTP版本号  <br/>char \*request_uri; // 原始URI  size_t request_uri_len;  <br/>char \*vpath; // 虚拟路径（从URL解析）  size_t vpath_len;  <br/>char \*path_translated; // 文件系统路径  size_t path_translated_len; // 实际执行的文件  <br/>char \*path_info; // PATH_INFO  size_t path_info_len;  <br/>char \*query_string; // 查询字符串  size_t query_string_len;  <br/>HashTable headers; // HTTP头部  HashTable headers_original_case;  <br/>char \*content; // POST数据  size_t content_len;  <br/>const char \*ext; // 扩展名指针  size_t ext_len; // 指向vpath内部！  <br/>zend_stat_t sb; // 文件状态  } php_cli_server_request;  

字段说明

1. ext 是一个指针，指向 vpath 字符串的某个位置

2. 当 vpath 被释放并重新分配时，ext 会变成悬空指针

3. path_translated 是独立分配的，只有文件存在时才会更新

客户端

文件: sapi/cli/php_cli_server.c：php_cli_server_request

typedef struct php_cli_server_client {  struct php_cli_server \*server;  php_socket_t sock;  struct sockaddr \*addr;  socklen_t addr_len;  char \*addr_str;  size_t addr_str_len;  php_http_parser parser;  unsigned int request_read:1;  char \*current_header_name;  size_t current_header_name_len;  unsigned int current_header_name_allocated:1;  char \*current_header_value;  size_t current_header_value_len;  enum { HEADER_NONE=0, HEADER_FIELD, HEADER_VALUE } last_header_element;  size_t post_read_offset;  php_cli_server_request request;  unsigned int content_sender_initialized:1;  php_cli_server_content_sender content_sender;  int file_fd;  } php_cli_server_client;  

问题所在：request 是一个共享的单例对象，多个 HTTP 请求会反复修改同一个 request 结构以及没有针对管道化请求的隔离机制

内存状态变化总结

┌─────────────────────────────────────────────────────────┐  │ php_cli_server_client (客户端结构) │  ├─────────────────────────────────────────────────────────┤  │ parser: \[状态机\] │  │ request_read: 0 → 1 (第一个请求完成后) │  │ request: ───────┐ │  └──────────────────┼───────────────────────────────────────┘  │  ▼  ┌─────────────────────────────────────────────────────────┐  │ php_cli_server_request (请求对象) │  ├─────────────────────────────────────────────────────────┤  │ │  │ 第一个请求完成时： │  │ ┌────────────────────────────────────────────┐ │  │ │ vpath: 0x001000 → "s3Cr37_f1L3.php.bak" │ │  │ │ └──┐ │ │  │ │ ext: 0x001012 ──────────────┘ ("bak") │ │  │ │ ext_len: 3 │ │  │ │ │ │  │ │ path_translated: 0x002000 → │ │  │ │ "/var/www/s3Cr37_f1L3.php.bak" │ │  │ └────────────────────────────────────────────┘ │  │ │  │ 第二个请求的 on_path() 调用后： │  │ ┌────────────────────────────────────────────┐ │  │ │ vpath: 0x001000 → "phantom.php" (覆盖) │ │  │ │ └──┐ │ │  │ │ ext: 0x001012 ─────┐ │ (悬空指针！) │ │  │ │ ▼ ▼ │ │  │ │ (指向已释放的内存或垃圾数据) │ │  │ │ │ │  │ │ path_translated: 0x002000 → (未改变!) │ │  │ │ "/var/www/s3Cr37_f1L3.php.bak" │ │  │ └────────────────────────────────────────────┘ │  │ │  │ 第二个请求的 on_message_complete() 调用后： │  │ ┌────────────────────────────────────────────┐ │  │ │ vpath: 0x001000 → "phantom.php" │ │  │ │ └──┐ │ │  │ │ ext: 0x001008 ────────┘ ("php") │ │  │ │ ext_len: 3 │ │  │ │ │ │  │ │ path_translated: 0x002000 → (仍未改变!) │ │  │ │ "/var/www/s3Cr37_f1L3.php.bak" │ │  │ │ │ │  │ │ 类型混淆状态 │ │  │ └────────────────────────────────────────────┘ │  └─────────────────────────────────────────────────────────┘  

请求读取入口

文件: sapi/cli/php_cli_server.c：php_cli_server_client_read_request

static int php_cli_server_client_read_request(  php_cli_server_client \*client,  char \*\*errstr)  {  char buf\[16384\]; // 16KB缓冲区，可容纳多个请求  <br/>static const php_http_parser_settings settings = {  php_cli_server_client_read_request_on_message_begin,  php_cli_server_client_read_request_on_path, // ！  php_cli_server_client_read_request_on_query_string,  php_cli_server_client_read_request_on_url,  php_cli_server_client_read_request_on_fragment,  php_cli_server_client_read_request_on_header_field,  php_cli_server_client_read_request_on_header_value,  php_cli_server_client_read_request_on_headers_complete,  php_cli_server_client_read_request_on_body,  php_cli_server_client_read_request_on_message_complete // ！  };  <br/>size_t nbytes_consumed;  int nbytes_read;  <br/>// 【检查点1】: 如果已读取完成，直接返回  if (client->request_read) {  return 1; // ！ 只在函数入口检查一次  }  <br/>// 【关键操作】: 从socket读取数据  // 如果客户端发送了多个请求，可能一次性读入buf  nbytes_read = recv(client->sock, buf, sizeof(buf) - 1, 0);  if (nbytes_read < 0) {  // 错误处理...  int err = php_socket_errno();  if (err == SOCK_EAGAIN) {  return 0;  }  \*errstr = php_socket_strerror(err, NULL, 0);  return -1;  } elseif (nbytes_read == 0) {  \*errstr = estrdup(php_cli_server_request_error_unexpected_eof);  return -1;  }  <br/>client->parser.data = client;  <br/>// 【漏洞触发点】: 调用HTTP解析器  // 这个函数会解析buf中的所有完整请求  // 每解析完一个请求，都会调用on_message_complete  nbytes_consumed = php_http_parser_execute(&client->parser,  &settings,  buf,  nbytes_read);  <br/>if (nbytes_consumed != (size_t)nbytes_read) {  // 解析错误...  if (buf\[0\] & 0x80 || buf\[0\] == 0x16) {  \*errstr = estrdup("Unsupported SSL request");  } else {  \*errstr = estrdup("Malformed HTTP request");  }  return -1;  }  <br/>// 处理当前header...  if (client->current_header_name) {  char \*header_name = safe_pemalloc(  client->current_header_name_len, 1, 1, 1);  memmove(header_name, client->current_header_name,  client->current_header_name_len);  client->current_header_name = header_name;  client->current_header_name_allocated = 1;  }  <br/>return client->request_read ? 1 : 0;  }  

问题分析

这个检查只在函数入口执行一次，并且无法阻止 php_http_parser_execute() 内部解析多个请求

解析器会处理 buf 中的所有完整请求

每遇到 \r\n\r\n（请求结束标记），就触发 on_message_complete

路径回调

文件: sapi/cli/php_cli_server.c：php_cli_server_client_read_request_on_path

static int php_cli_server_client_read_request_on_path(  php_http_parser \*parser,  const char \*at, // 指向解析缓冲区中的路径字符串  size_t length) // 路径长度  {  php_cli_server_client \*client = parser->data;  {  char \*vpath;  size_t vpath_len;  <br/>// 规范化虚拟路径（处理URL编码、相对路径等）  normalize_vpath(&vpath, &vpath_len, at, length, 1);  <br/>// 漏洞点: 无条件覆盖  // 问题1: 没有检查client->request_read标志  // 问题2: 直接覆盖指针，导致ext成为悬空指针  // 问题3: 没有释放旧的vpath内存（normalize_vpath内部会处理）  client->request.vpath = vpath;  client->request.vpath_len = vpath_len;  }  return 0;  }  

路径翻译函数

文件: sapi/cli/php_cli_server.c：php_cli_server_request_translate_vpath

这个函数有一百多行，就简化逻辑展示了，感兴趣的师傅可以自己去阅读源码