phpmkdir函数_探究PHP中的Mkdir函数

原标题&＃xff1a;探究PHP中的Mkdir函数

一、起因

在复现分析Wordpress-5.0.0 RCE 的时候&＃xff0c;因为在写图片的过程中&＃xff0c;根据图片的dirname创建目录&＃xff0c;而后根据basename写入图片。在目录创建成功的前提下&＃xff0c;应该是可以写入文件的。但是情况却不是如此&＃xff0c;过程中我要在写目标图片前&＃xff0c;必须还要再写一个辅助图片。其实这个辅助图片不是很重要&＃xff0c;而重要的是这个辅助图片的目录创建。

此过程中例如需要写入目标文件为&＃xff1a;

首先需要先写一张

为什么会这样&＃xff1f;假设直接写目标文件&＃xff0c;过程中会首先创建目录&＃xff1a;

其实这个过程是没有创建任何目录的&＃xff0c;因为判断是directoryalready ,到下一步写入图片这里是Imagick::writeImage&＃xff0c;在这里就会出问题。invaildfile path.报错。因为这里不存在/var/www/html/wordpress/wp-content/uploads/2019/03/1.jpg?这个目录&＃xff0c;这涉及到系统调用&＃xff0c;因系统的不同相对于的系统处理函数处理的方式也不同。

列如在kali 下Imagick::writeImage写入./1?/../1.png,./1?这个目录是会报错的。具体系统调用如下&＃xff1a;

首先判断了这个文件的状态&＃xff0c;而后调用openat打开这个文件并不存在。AT_FDCWD表示打开的文件位置相对于当前目录。这是我在做的时候遇到的情况。

但是在WORDPRESS IMAGE 远程代码执行漏洞分析 一文中&＃xff0c;甚至其他另一篇。都没提到两次写图片。难道因为window和linux的不同吗&＃xff1f;就这个问题我进行了一次对mkdir的探究。发现其实有很有趣。

二、PHP内核 && 系统差异 之mkdir2.1 Linux &&PHP 7.3.2-3

mkdir(‘./1?/../1′,777,true)&＃xff1b;

mkdir(‘./1&＃xff1f;/../1′,777&＃xff0c;false)&＃xff1b;

当第三参数为$recursive为true时可以写目录&＃xff0c;先说一下这个参数的含义$recursive用来循环创建目录。什么意思呢&＃xff0c;当false时只能创建1级目录&＃xff0c;即目录连接符最后的一个目录。而当true时是可以创建多级目录至到最后一个目录。列如./a/b/c当abc都不存在时&＃xff0c;会通过系统函数mkdir循环创建目录&＃xff0c;abc都会被创建&＃xff0c;但若为false会因为走到a处目录不存在&＃xff0c;则不回去创建最后一个c。

但是第一个mkdir即使为true却也没有创建1?目录,这里我们从php内部mkdir执行情况和 系统mkdir执行情况来探究。

2.1.1PHP_FUNTCION(mkdir)

PHP内调过程如下图&＃xff1a;

我们在出现分支的地方细分

/php-src/main/streams/plain_wrapper.c

2.1.1.1 $recursive &＃61;fasle

其中出现的分支的地方在判断$recursive若是不需要循环创建则直接进入php_mkdir

/php-src/ext/standard/file.c

跟进php_mkdir_ex

首先会检查open_basedir,接着会进入VCWD_MKDIR,VCWD_MKDIR是个宏命令&＃xff0c;有三种不同定义&＃xff1a;

在这里我刚开始并没有考虑太多&＃xff0c;跟着gdb的流程走&＃xff0c;直接执行mkdir&＃xff0c;会直接调用系统的_mkdir.mkdir(“./1?/../1″,01411)&＃61;-1ENOENT(Nosuch file or directory)

会直接报错。在预料之类&＃xff0c;linux系统下mkdir是不允许这样创建目录的&＃xff0c;会效验每一层目录的有效性。回到第一次出现分叉的时候。

2.1.1.2 $recursive &＃61;true

这里会进入expand_filepath_with_mode,这里其实很熟悉&＃xff0c;之前也是在看路径处理的时候看到过这个函数&＃xff0c;它是一个展开函数&＃xff0c;会通过递归的方式展开需要被创建的目录。在其过程会先把相对目录和当前脚本执行目录评价起来,若是绝对目录则忽略.

其中我们的相对目录为 ./1?/../1会变成/var/www/html/WordPress/wp-content/themes/4/5/6/./1?/../1

当前我所在的目录为/var/www/html/WordPress/wp-content/themes/4/5/6

然后通过递归的方式 去掉../,./,//.并且对应目录前移&＃xff0c;会变成/var/www/html/WordPress/wp-content/themes/4/5/6/1

然后在传递给系统的mkdir函数。

在这个函数里面存在win32 和linux的不同分支&＃xff0c;但在具体处理之前win32判断了目录名不能存在*&＃xff0c;&＃xff1f;

注意一下此处&＃xff01;

附上strace &＃xff0c;也是验证上诉分析过程

1. mkdir(“/var/www/html/WordPress/wp-content/themes/4/5/6/1″,01411)&＃61;0

2.1.2 Mkdir In Linux

在linux中单纯的mkdir是会层层验证目录&＃xff0c;而后在创建一级目录。mkdir 也可以带参 -p&＃xff0c;代表系统层面循环的创建目录。

当执行mkdir -p 时 &＃xff1a;

strace-f-e trace&＃61;mkdir mkdir-p./1?/../1

mkdir(“1?”,0777)&＃61;0

mkdir(“1″,0777)&＃61;0

我们能看到它并不像php内部那样&＃xff0c;展开而后处理 。它会层层按照输入的目录创建。

2.2 window&& PHP 7.0.12

这里是我为什么要探究的一个重要问题点所在&＃xff0c;在前面我提到的那篇文章中作者在window下实验当$recursive为false才能创建成功&＃xff0c;正好是反着的。作者的解释的false的时候不会去层层判断&＃xff0c;但是真的是这样吗&＃xff1f;

而后我也做了一个验证性的实验&＃xff0c;在window上用 php 5.6做了这个测试&＃xff0c;但是结果让我疑惑了&＃xff0c;无论在false还是true的情况都不会创建目录.而且报错也很有意思&＃xff0c;在false的情况下报错 no error 但是就是无法创建。在true的情况下报错 invaild path。

难道是php-cli 问题&＃xff1f;我又用cgi测了一遍&＃xff0c;发现同样是这样。有意思&＃xff0c;而后我通过邮件联系了那篇文章作者&＃xff0c;询问其版本号。很快&＃xff0c;得到了他的答复&＃xff0c;php-7.0.12。

于是下载php-7.0.12源码 重新编译加debug&＃xff0c;此处省略1000字…

在编译完成后我迫不及待的试了一下&＃xff0c;同样如此和我的php5.6 一摸一样&＃xff0c;无论在cli 模式 或者 cgi 模式下都是无法复现作者文中的情况。这到底问题出在哪呢&＃xff1f;

先调了再说&＃xff0c;VS调试php 网上基本上没有详细的介绍&＃xff0c;有的都是Vscode。我不知道如何启动并调试&＃xff0c;只好想了个attach的办法。在mkdir前面写上sleep(10),但是这样做&＃xff0c;其实是有一点鸡肋的&＃xff0c;php内核初始化过程你其实抓不到的&＃xff0c;但是用在这里够了&＃xff0c;还是在php_plain_files_mkdir这个地方下断&＃xff0c;刷新页面&＃xff0c;attach到启动的php-cgi 上。

2.2.1PHP_FUNCTION(mkdir)

2.2.1.1 $recursive&＃61;&＃61; false

还是先分析false的情况&＃xff0c;前面都一样&＃xff0c;不同的是在php_mkdir_ex中VCWD_MKDIR调用的函数不一样

这次走到不一样的调用上

跟进virtual_mkdir

同样调用了virtual_file_ex,前面有一点没提到&＃xff0c;在expand展开路径的过程中最后其实也是进入的这个函数&＃xff0c;前面说过在处理的过程中若是win32的情况会判断路径存不存在*,?.若是存在则会直接返回1&＃xff0c;不会进入后面写路径。为什么那篇文章的作者会在false的情况下写成功呢&＃xff1f;

2.2.1.1 $recursive&＃61;&＃61; true

这里前面说过这里会进行expand过程&＃xff0c;但是同样会判断路径名中存不存在*,?,会报错 Invaild Path。

2.2.2 mkdir inwindow

这里因为没有都没有执行到写目录。此处我们还无法探究window系统mkdir 函数是如何执行的。

三、程安全与非线程安全

重新梳理一下&＃xff0c;现在是三种不一样的情况&＃xff1a;

linux /true 可写

window/7.0.12 &＃xff1a;

1. false 可写

2. true/false 都不可写

window出现了两种情况。仔细在走一遍window/false的情况&＃xff0c;现在我唯一没有考虑到是VCWD_MKDIR选择情况。前面都是跟着调试流程走的&＃xff0c;这是唯一可能出现分叉的地方&＃xff0c;重新看一下它的两种种宏定义&＃xff1a;

若非那片文章作者&＃xff0c;是走的第二个define&＃xff0c;于是我把第一个define先注释掉了&＃xff0c;换上了第二个define&＃xff0c;再重新编译一边&＃xff0c;结果竟然出现了和那篇作者一样的情况。但是这里有一个小小不同&＃xff0c;写入的目录是相对于php-cgi.exe解释器的&＃xff0c;不是相对于WWW的网站根目录下的&＃xff0c;当你看了下面的分析以后&＃xff0c;应该会给你一个答案&＃xff0c;那么很显然问题现在出现在VIRTUAL_DIR定义的情况&＃xff0c;在它没有定义的情况下&＃xff0c;才会走到第二个define&＃xff0c;我看看VIRTUAL_DIR

是在哪被定义的

/php-src/Zend/zend_virtual_cwd.h

熟悉php内核的朋友不会陌生ZTS&＃xff0c;这是php 线程安全的标志。用来应对那些使用线程来处理并发请求的Web服务器&＃xff0c;列如window下的IIS&＃xff0c;worker_mpm模式下的apahce&＃xff0c;生活在线程里面的php需要考虑线程间的读写同时也要保证线程间是安全&＃xff0c;所以php需要自己提供ZTS层来管理线程间的操作。当定义了ZTS时候&＃xff0c;就也同时定义了虚拟目录(VIRTUAL_DIR)。为什么会存在虚拟目录这一说法呢&＃xff0c;其实很简单你通过对应virtual_file_ex可以看出来&＃xff0c;这个函数的目的在于针对相对路径替换出完整的绝对路径。举很简单的例子&＃xff0c;php脚本中写的相对路径&＃xff0c;其相对路径一定是针对于该脚本的。在执行脚本的过程中&＃xff0c;会进入相应的php 内核里面的php_execute_,其中有一步是VCWD_CHDIR_FILE(filename),这是用来根据要执行的脚本位置去切换当前目录&＃xff0c;同样这个宏定义有两个不同的函数&＃xff0c;一个是在虚拟目录下切换目录&＃xff0c;一个是非线程安全环境下单线程切换目录&＃xff0c;不同是在线程安全下切换目录&＃xff0c;并不是直接调用系统的_chdir,而是将执行脚本的目录存储在TSRMG中&＃xff0c;并给定一个cwd_globals_id&＃xff0c;要用的时候再去取&＃xff0c;比如创建目录&＃xff0c;写文件。因为在多线程环境不能直接修改当前进程的目录&＃xff0c;只能预定义一个变量保存各线程的当前目录。可以看到在线程安全的模式下&＃xff0c;若是给的相对路径&＃xff0c;都会出现当前目录和相对目录的拼接。且都在win32的环境都会检测目录是否包含*,?.

四、结论汇总

我有注意到那篇的文章作者是在window 上用的phpstudy&＃xff0c;我也去看了一下phpstudy的是否有7.0.12的版本&＃xff0c;存在一个php-7.0.12-nts&＃43;Apache确实也是非线程安全。也印证上面我修改php7.0.12 重新编译的结果&＃xff0c;但是一个很有趣的东西是,window的系统调用API_mkdir是存在和php内部一样的路径展开功能&＃xff0c;即他是允许这样写的./1?/../1可以在当前目录下写入文件夹1的&＃xff0c;这和linux不一样&＃xff0c;linux的系统函数是逐层判断。在php7.1之后&＃xff0c;改变了系统创建目录的API&＃xff0c;从_mkdir变成了CreateDirectoryW&＃xff0c;但是不变的是还是可以存在路径展开的功能。即便你这样写&＃xff1a;&＃64;&＃64;#&＃64;$&＃64;#$^%$&&**/&＃64;!#&＃64;!$!%/../../evil也是可以创建目录evil的&＃xff0c;可以算是一个小技巧。但是条件是在window下php为非线程安全模式和PHP_FUNCTION(mkdir)第三个参数为false的情况下是可以这样写目录的。可以算是一个小tips吧。结合相应的应用特点&＃xff0c;是可以用到的&＃xff0c;而且php版本一般都是非线程安全的&＃xff0c;在nginx下都是多进程处理php&＃xff0c;即非线程安全。apache只有在worker_mpm才是多线程的&＃xff0c;一般也不常用。一般都是prefork_mpm &＃43; php_mod&＃xff0c;即便是fastcgi也是多进程。利用环境还是比较常见的。

*本文作者&＃xff1a;alphalab&＃xff0c;转载请注明来自FreeBuf.COM返回搜狐&＃xff0c;查看更多

责任编辑&＃xff1a;