Local File Inclusion verhindern

[ACiD]

Hi,

Hab beim rumspielen mit ein paar Joomla Erweiterungen gerade folgendes gefunden:

define('DS', DIRECTORY_SEPARATOR);
$dir = dirname(__FILE__);
$files = array();
if (isset($_GET['files']) && $_GET['files']) $files = $_GET['files'];

foreach ($files as $file) {

    $ext = substr($file, strrpos($file, '.') + 1);
    $filepath = $dir . DS . $file;
    
    if (is_file($filepath) and $ext === 'js') {
        include($filepath);
        echo "included \n";
    }
    else{
  echo "nicht included";
  }
}
?> 

"is_file" Verhindert Remote File Inclusions, aber lokale Dateien können
weiter eingebunden werde. Da wird allerdings geprüft, ob der String
auf .js endet, wenn ja wird die Datein includet. Mit einem Nullbyte
tricksen wir die Überprüfung der Dateiendung aus. Der String als solcher
endet auf ".js" beim include wird aber aller inclusive %00 abgeschnitten.

Die Erweiterung nutze ich auch für eine kleine Privatseite. Diese läuft auf einem Linux Host. Zum Testen hab ich die Seite aber auch local via XAMPP
am laufen. In XAMPP kann ich via
"erweiterung.php?files[]=/../../../../../../robots.txt%00.js"
die robots.txt includen und anzeigen lassen. Im Echtsystem online klappt das, trotz gleichen Codes, aber nicht.

Jetzt stellen sich mir 2 Fragen:
1) Wie lass ich den Pfad variabel, sicher den Script aber ab.
2) Warum klappt das nur im Testsystem?

[ACiD]

$file=str_replace("../", "x", $file);

Langt das so nicht schon?

[G.Schuster]

$file=str_replace("../", "x", $file);

Langt das so nicht schon?

?files[]=/var/www/foobar.php%00.js
Also: nein.

Einfach, effektiv, sicher:
GET: ?files[]=abc
Im Script:

$allowedFiles = array('abc' => '/var/www/myfile.js');
if(array_key_exists($file, $allowedFiles)) {
     include $allowedFiles[$file];
} 

Im Übrigen: warum zum Henker includet man JS-Files?

[jw-lighting]

Ich höre gerade (erschreckender Weise) das erste mal von diesem Hackingtrick.

Stumpfe Idee: Vor dem Abgleich, ob .js am Ende steht alles ab einem Nullbyte selber abschneiden, oder Nullbytes entfernen.

Ala

$str = str_replace(urldecode('%00', '', $str)); 

Ist jetzt ungetestet

[nikosch]

Ist jetzt ungetestet

Das sieht man.

[Gast]

Mit trim kann man die Null-Bytes entfernen.

[draco88]

trim tut dies aber nur am Anfang und Ende des String, nullbytes in der Mitte lässt er unberührt.

[jw-lighting]

Das sieht man.

Ist das hier ein Forum, wo man anderen helfen darf?
Ich habe einfach nur einen Gedanken gehabt der vielleicht helfen kann,
und den Beispielcode zur Verdeutlichung gepostet, nicht um ihn 1:1 in ein Produktivsystem übernehmen zu lassen...

Ich hätte gehofft das gerade Moderatoren solche Kommentare (ohne irgendwelchen weiteren Sinn im Post) nicht nötig haben.

--------------

Man kann Zeichen ja auch mit chr() und den Hexadezimalen bzw. Octalen Notationen darstellen.

Zum Beispiel:

// mit chr()
$foo = chr(0);

// octal
$foo = '\000'; // oder \00 bzw. \0

// hexadezimal
$foo = '\x00'; 

LG

[nikosch]

Das dies nicht mal ansatzweise funktionieren kann sieht man ja wohl:

$str = str_replace(urldecode('%00', '', $str)); 

$str = str_replace(      urldecode('%00', '' , $str)      ); 

[jw-lighting]

Stimmt, da hast du völlig recht, entschuldige das ich dann so ausfallend geworden bin.

So wäre es besser:

$str = str_replace(urldecode('%00'), '', $str); 

[ACiD]

ich nutze jetzt einfach:
$file=str_replace(chr(0), '', $file);
und das funktioniert einwandfrei!

Jetzt hab ich allerdings noch ein Verständnisproblem. Nehmen wir an die URL
eines Scriptes das LFI anfällig ist sieht wie folgt aus:

http://www.deinserver.de/scripte/bla...ript.php?file=

in manchen Fällen, reicht es das jetzt ein /etc/passwd anzuhängen, um ebend diese
Daten angezeigt zu bekommen. Bei Anderen wiederrum muß man erst via /../ etliche Verzeichnisse runter springen. Wo und wie wird denn festgelegt, wo das root-Verzeichnis ist?

Bzw. die Frage warum das im Testsystem mit gleichen Scripten geht, im Echtsystem aber nicht wurde auch noch nicht beantwortet.

Grüße und einen schönen Feierabend

[jw-lighting]

Wo das root-verzeichnis liegt, ist ja vom System festgelegt, immer auf Wurzelebene mit dem absoluten Pfad '/'.

Alle Pfade mit einem '/' am Anfang gehen von root aus immer weiter rein, sind also absolut.
Fehlt der '/' am Pfadbeginn, bezieht sich der Pfad auf das aktuelle Verzeichnis und wir von dort dann zu einem absoluten Pfad aufgelöst:

# Wir sind hier (absolut)
/home/homer/Documents/Downloads/../

# Der relative Pfad (kein Slash am Anfang!)
../../bart/privates/fotos

Das wird jetzt aufgelöst:

#Zunächst wird der absolute Pfad zu
/home/homer/Documents

# Dann wird der relative Pfad von hier aufgelöst:
/home/bart/privates/fotos

Wenn du in einem PHP Code von Anfang an einen absoluten Pfad vorgibst, indem du an den Anfang einen Slash stellst, geht jeder daran angehängte Pfad von hier aus. Beginnt er mit einem Slash, wird er durch den Doppelslash ungültig:

$pfad = '/home/bart/privates/fotos'; // hier hat jmd. schmutzige Gedanken...

Include '/home/homer/Documents'.'/'.$pfad; // Wird zu '/home/homer/Documents//home/bart/...' und ist durch den Doppelslash ungültig 

Das man in der Verzeichnisebene hoch geht um doch noch an die schmutzigen Inhalte zu kommen, kannst du ganz einfach verhindern:

// $pfad = '../../bart/privates/fotos';

$pfad = str_replace(array('../','..\\'), '', $pfad); // Entfernt den Sprung nach oben
Include '/home/homer/Documents'.'/'.$pfad; // Wird zu /home/homer/Documents/bart/privates/fotos, was nicht existiert 

[McSodbrenner]

Das man in der Verzeichnisebene hoch geht um doch noch an die schmutzigen Inhalte zu kommen, kannst du ganz einfach verhindern:

// $pfad = '../../bart/privates/fotos';

$pfad = str_replace(array('../','..\\'), '', $pfad); // Entfernt den Sprung nach oben
Include '/home/homer/Documents'.'/'.$pfad; // Wird zu /home/homer/Documents/bart/privates/fotos, was nicht existiert 

Und was ist mit diesem Pfad?

$pfad = '....//....//bart/privates/fotos'; 

[notyyy]

ich erlaube idr nur kleine buchstaben und verwende zudem noch basename. ist zwar doppelt gemoppelt aber was solls.

[McSodbrenner]

Bei Anderen wiederrum muß man erst via /../ etliche Verzeichnisse runter springen. Wo und wie wird denn festgelegt, wo das root-Verzeichnis ist?

Verstehe ich nicht. Aber zur Verdeutlichung:
Includest du so

include($file); 

würde es tatsächlich reichen, einen absoluten Pfad zu übergeben. Aber der Normalfall sieht eher so aus:

include('controller/' . $file . '.class.php'); 

Da hier jetzt vor deiner Variable ein Pfad steht, kannst du nicht direkt über einen absoluten Pfad einsteigen, sondern musst per Directory Traversal arbeiten, also mit '../'.
Zum Root des Servers zu kommen, ist dabei eigentlich ganz einfach. Du musst einfach mehr "../" angeben als du Ebenen vom aktuellen Pfad hast. Gibt du also einfach 20-mal '../' an, kannst du sicher sein, im Root zu sein.

So kommst du z.B. über das zweite Code-Beispiel an die etc/passwd
$file = "../../../../../../../../../../../../../etc/passwd\0";

Richtig verstanden die Frage?