Type Juggling PHP-s: lõdvad võrdlused turvariskina

Lühidalt: PHP Type Juggling tähendab automaatset tüübiteisendust, mis otsustab lõdva võrdluse puhul märgiga == tulemuse. PHP 8.0-st on reeglid rangemad, kuid numbrilisi sõnesid võrreldakse endiselt arvudena ning true, false ja null järgivad oma reegleid. Turvaküsimuste kontrollide jaoks kehtib seetõttu: ===, in_array(..., true), match switch-i asemel, hash_equals() tokenite jaoks ja password_verify() paroolide jaoks.

Võrdlus, mis on tõene, kuigi ei peaks olema

Paljud PHP-rakenduste turvaaugud ei peitu keerukates funktsioonides, vaid ühes ainsas märgis: ==, kus oleks pidanud olema ===. Kood näeb õige välja, testid tavaliste sisenditega lähevad läbi ja ometi laseb kontroll teatud tingimustel läbi midagi, mida see peaks peatama.

Põhjus on PHP omadus, mis igapäevaselt on praktiline: väärtused teisendatakse vajaduse korral teise tüüpi. Vormist pärit sõne saab nii ilma ringkäiguta võrrelda andmebaasist pärit arvuga. Sisselogimiste, tokenite, rollide või olekuväljade puhul võib just see helde suhtumine ohtlikuks muutuda.

Kuidas PHP märgiga == võrdleb

PHP käsiraamat kirjeldab lõdvade võrdluste reegleid põhjalikult. Turvalisuse jaoks on olulised eelkõige need juhud:

PHP 8.0 muudatus leevendas tervet klassi vigu: varem muutus mittenumbriline sõne arvuga võrdlemisel väärtuseks 0. See puudutas ka switch-lauseid. Tabeli ülejäänud read näitavad aga, et lõdvad võrdlused sisaldavad endiselt üllatusi.

Ka operaatorid <, > ja võrdlusoperaator <=> järgivad neid reegleid. Sorteerimise puhul on see enamasti kahjutu, kuid kontrollide puhul nagu „summa väiksem kui limiit“ päringust pärit väärtustega peaks tüüp olema eelnevalt kindel.

Eriti salakaval on eksponentkujuga rida. Räsiväärtused ja tokenid koosnevad sageli numbritest ja tähtedest. Kui selline väärtus näeb juhuslikult välja nagu arv eksponentkujul, võrdleb == kaks erinevat räsi võib-olla võrdseks. See on taust paljudele aruannetele sisselogimise möödapääsemise kohta vanemates PHP-rakendustes.

PHP Type Juggling tüüpilistes turvakontrollides

Lõdvad võrdlused peituvad rohkemates kohtades kui ainult operaatoris ==:

1. in_array() ja array_search() võrdlevad ilma kolmanda parameetrita lõdvalt. Rollide või ID-de lubatud väärtuste nimekiri muutub seeläbi pehmemaks, kui arvate.
2. switch võrdleb lõdvalt. PHP 8.0-st saadaval olev avaldis match võrdleb käsiraamatu kohaselt seevastu tüübikindlalt märgiga === ja viskab vea, kui ükski haru ei sobi.
3. JSON-sisendid annavad tegelikud tüübid. Väli, mida ootate sõnena, võib saabuda väärtusena true või arvuna ja märgiga == üllatavalt kokku langeda.
4. strcmp() saladuste jaoks ei sobi, sest tööaeg sõltub sisust ja veajuhud hinnatakse kergesti valesti.
5. Tagastusväärtuste kontroll: funktsioonid nagu strpos() tagastavad 0 leiu korral alguses ja false leiu puudumisel. if (!strpos(...)) ajab mõlemad segi.

Turvalised võrdlused: vastandamine

Järgmised näited näitavad igal juhul ebaturvalist ja turvalist varianti:

<?php
declare(strict_types=1);

// Rolli kontroll
$erlaubteRollen = ['admin', 'redaktion'];
in_array($rolle, $erlaubteRollen);          // ebaturvaline: lõdv
in_array($rolle, $erlaubteRollen, true);    // turvaline: range

// Oleku hindamine
$aktion = match ($status) {                 // range, tundmatu väärtuse korral viga
    'offen'      => 'bearbeiten',
    'erledigt'   => 'archivieren',
};

// Lingist pärit tokeni kontroll
if ($tokenAusLink == $gespeichertesToken) { /* ebaturvaline */ }
if (is_string($tokenAusLink) && hash_equals($gespeichertesToken, $tokenAusLink)) { /* turvaline */ }

// Parooli kontroll
if (md5($eingabe) == $hash) { /* ebaturvaline: nõrk meetod ja lõdv võrdlus */ }
if (password_verify($eingabe, $hash)) { /* turvaline */ }

// Alamsõne otsimine
if (strpos($text, 'abc') !== false) { /* õige: ka leid positsioonil 0 */ }

hash_equals() ootab käsiraamatu kohaselt esimese parameetrina teadaolevat saladust ja teisena kasutaja väärtust ning võrdleb konstantse ajaga. Kuidas tokeneid üldse turvaliselt luua, kirjeldab Turvalised juhuarvud ja tokenid PHP-s.

Rangetel võrdlustel on teine külg: need ebaõnnestuvad, kui tüübid ei sobi kokku. '42' === 42 on väär. Vormidest ja URL-idest pärit väärtused saabuvad PHP-s sõnedena, andmebaasist pärit väärtused sõltuvalt draiverist ja sättest sõnede või arvudena. Kes viib igale poole sisse ===, ilma tüüpe ühtlustamata, tekitab vigu, mis tööl märgatakse õigustatud kasutajate tagasilükkamisena.

Lahendus on selge piir: sisendid valideeritakse vastuvõtul ja viiakse õigesse tüüpi, näiteks filter_var($wert, FILTER_VALIDATE_INT) abil, ning seejärel käsitletakse koodis ainult tüübideklaratsioonide ja rangete võrdlustega. Tüübideklaratsioonid parameetritel, tagastustel ja omadustel aitavad selles, sest valed tüübid tulevad siis varakult veateatega ilmsiks, selle asemel et vaikselt võrdluses kaduda.

Olemasoleva koodi süstemaatiline kontroll

Kasvanud projektides on lõdvaid võrdlusi sadu. Mitte iga neist ei ole probleem. Keskenduge kohtadele, kus langetatakse otsus juurdepääsu üle:

# Lõdvad võrdlused ridades, kus on turvaküsimustega seotud mõisted
grep -rnE "[^=!]==[^=]" src/ --include="*.php" | grep -iE "token|hash|pass|role|rolle|admin|auth|sign"
# in_array ilma range võrdluseta
grep -rnE "in_array\([^)]*\)" src/ --include="*.php" | grep -v ", true)"

Staatilise analüüsi tööriistad, nagu PHPStan või Psalm, saavad lõdvaid võrdlusi soovi korral püsivalt teatada. Nii ei jõua uued juhud põhiharusse üldse. Tüüpide alused kirjeldab PHP tüübisüsteem; kuidas sisendid enne õigesse tüüpi viia, näitab Sisendi valideerimine ja filtreerimine PHP-s.

Mida see tähendab vanade süsteemide jaoks

Rakendused, mis töötavad veel PHP 7-l, on mõjutatud vanadest, lõdvematest võrdlusreeglitest. Lisandub teine probleem: PHP 8.1 ja vanemate jaoks ei ole PHP projektil enam ametlikke turvauuendusi, ka mitte PHP2Shelli vastu. Olukorra kirjeldab PHP 8.1 ja vanemad: mis nüüd kehtib.

PHP 8-le migreerimisel muutuvad mõned võrdlustulemused. See on tavaliselt parandus, kuid võib rikkuda koodi, mis tugines vanale käitumisele. Planeerige seetõttu teste, mis katavad sihipäraselt võrdlusi arvude, tühjade väärtuste ja null-iga.

Kuidas PHP SOS konkreetselt aitab?

• Me otsime teie koodist lõdvaid võrdlusi kohtades, mis otsustavad sisselogimise, õiguste või maksete üle.
• Me asendame need rangete võrdluste, match-avaldiste ja sobivate kontrollfunktsioonidega.
• Me seadistame staatilise analüüsi nii, et uued lõdvad võrdlused ilmnevad buildis.
• Me toetame migratsioone praegustele PHP versioonidele testidega muutunud võrdlusreeglite jaoks.

Teie tarkvara kontrolli kirjeldab Turvaaudit ja läbitungimistest.

Korduma kippuvad küsimused

Allikad

• PHP käsiraamat: võrdlusoperaatorid
• PHP käsiraamat: match
• OWASP Cheat Sheet Series