Type Juggling f'PHP: tqabbil laxk bħala riskju ta' sigurtà

Fil-qosor: PHP Type Juggling hija l-konverżjoni awtomatika tat-tip li fit-tqabbil laxk b'== tiddeċiedi r-riżultat. Minn PHP 8.0 ir-regoli huma aktar stretti, imma strings numeriċi jibqgħu jitqabblu bħala numri, u true, false u null isegwu regoli proprji. Għal verifiki rilevanti għas-sigurtà għalhekk japplika: ===, in_array(..., true), match minflok switch, hash_equals() għal tokens u password_verify() għal passwords.

Tqabbil li huwa veru anke jekk m'għandux ikun

Ħafna vulnerabbiltajiet f'applikazzjonijiet PHP mhumiex f'funzjonijiet ikkumplikati, imma f'karattru wieħed: == fejn kellu jkun ===. Il-kodiċi jidher korrett, it-testijiet b'inputs normali jgħaddu, u madankollu, taħt ċerti kundizzjonijiet, il-verifika tħalli tgħaddi xi ħaġa li kellha twaqqaf.

Il-kawża hija karatteristika ta' PHP li fl-użu ta' kuljum hija prattika: il-valuri jiġu kkonvertiti f'tip ieħor meta jkun hemm bżonn. String minn formola tista' b'hekk titqabbel mingħajr triq twila ma' numru mid-database. Fil-logins, tokens, rwoli jew oqsma tal-istatus, eżattament din il-ġenerożità tista' ssir perikoluża.

Kif PHP jaqabbel b'==

Il-manwal ta' PHP jiddeskrivi fid-dettall ir-regoli għat-tqabbil laxk. Għas-sigurtà huma importanti l-aktar dawn il-każijiet:

Il-bidla f'PHP 8.0 naqqset klassi sħiħa ta' żbalji: qabel, string mhux numeriku fit-tqabbil ma' numru sar 0. Dan kien jolqot ukoll struzzjonijiet switch. Il-linji l-oħra tat-tabella, madankollu, juru li tqabbil laxk xorta jaħbi sorpriżi.

Anke l-operaturi <, > u l-operatur tat-tqabbil <=> isegwu dawn ir-regoli. Fl-issortjar dan ġeneralment huwa bla ħsara, imma f'verifiki bħal „ammont iżgħar mil-limitu“ b'valuri mit-talba t-tip għandu jkun magħruf minn qabel.

Partikolarment qarrieqa hija l-linja bin-notazzjoni esponenzjali. Valuri ta' hash u tokens spiss jikkonsistu minn ċifri u ittri. Jekk valur bħal dan b'kumbinazzjoni jidher bħal numru f'notazzjoni esponenzjali, == jista' jqabbel żewġ hashes differenti bħala indaqs. Dan huwa l-isfond ta' ħafna rapporti dwar evitar tal-login f'applikazzjonijiet PHP aktar qodma.

PHP Type Juggling f'verifiki tipiċi ta' sigurtà

Tqabbil laxk jinħeba f'aktar postijiet mill-operatur == biss:

1. in_array() u array_search() jaqabblu mingħajr it-tielet parametru b'mod laxk. Lista ta' permess b'rwoli jew IDs b'hekk issir iktar artab milli taħsbu.
2. switch jaqabbel b'mod laxk. L-espressjoni match, disponibbli minn PHP 8.0, skont il-manwal tqabbel minflok b'mod sigur għat-tip b'=== u tjib żball jekk l-ebda fergħa ma taqbel.
3. Inputs JSON jagħtu tipi veri. Qasam li tistennew bħala string jista' jaslu bħala true jew bħala numru u b'== jaqbel b'mod sorprendenti.
4. strcmp() għal sigrieti mhuwiex adattat, għax il-ħin tat-tħaddim jiddependi mill-kontenut u każijiet ta' żball faċilment jiġu evalwati ħażin.
5. Verifika ta' valuri mrritornati: funzjonijiet bħal strpos() jagħtu 0 għal hit fil-bidu u false għal l-ebda hit. if (!strpos(...)) jikkonfondi t-tnejn.

Tqabbil sigur: il-paragun

L-eżempji li ġejjin juru kull darba l-verżjoni mhux sigura u s-sigura:

<?php
declare(strict_types=1);

// Ivverifika r-rwol
$erlaubteRollen = ['admin', 'redaktion'];
in_array($rolle, $erlaubteRollen);          // mhux sigur: laxk
in_array($rolle, $erlaubteRollen, true);    // sigur: strett

// Evalwa l-istatus
$aktion = match ($status) {                 // strett, żball b'valur mhux magħruf
    'offen'      => 'bearbeiten',
    'erledigt'   => 'archivieren',
};

// Ivverifika token minn link
if ($tokenAusLink == $gespeichertesToken) { /* mhux sigur */ }
if (is_string($tokenAusLink) && hash_equals($gespeichertesToken, $tokenAusLink)) { /* sigur */ }

// Ivverifika password
if (md5($eingabe) == $hash) { /* mhux sigur: proċedura dgħajfa u tqabbil laxk */ }
if (password_verify($eingabe, $hash)) { /* sigur */ }

// Fittex substring
if (strpos($text, 'abc') !== false) { /* korrett: anke hit fil-pożizzjoni 0 */ }

hash_equals() skont il-manwal jistenna s-sigriet magħruf bħala l-ewwel parametru u l-valur tal-utent bħala t-tieni u jaqabbel f'ħin kostanti. Kif toħolqu tokens b'mod sigur fl-ewwel lok jiddeskrivi Numri każwali u tokens sikuri f'PHP.

Tqabbil strett għandu naħa oħra: jfalli meta t-tipi ma jaqblux. '42' === 42 huwa falz. Valuri minn formoli u URLs jaslu f'PHP bħala strings, valuri mid-database skont id-driver u l-issettjar bħala strings jew numri. Min iddaħħal === kullimkien mingħajr ma jaqbel it-tipi, joħloq żbalji li fl-operat jidhru bħala rifjut ta' utenti leġittimi.

Is-soluzzjoni hija fruntiera ċara: l-inputs jiġu vvalidati meta jaslu u jinġiebu fit-tip t-tajjeb, pereżempju b'filter_var($wert, FILTER_VALIDATE_INT), u wara fil-kodiċi jiġu trattati biss b'dikjarazzjonijiet tat-tip u tqabbil strett. Dikjarazzjonijiet tat-tip fuq parametri, ritorni u proprjetajiet jgħinu f'dan, għax tipi ħżiena jidhru kmieni b'messaġġ ta' żball, minflok ma jisparixxu bil-kwiet f'tqabbil.

Ivverifika kodiċi eżistenti b'mod sistematiku

Fi proġetti li kibru insibu tqabbil laxk bi mijiet. Mhux kull wieħed huwa problema. Ikkonċentraw fuq postijiet fejn tittieħed deċiżjoni dwar l-aċċess:

# Tqabbil laxk f'linji b'termini rilevanti għas-sigurtà
grep -rnE "[^=!]==[^=]" src/ --include="*.php" | grep -iE "token|hash|pass|role|rolle|admin|auth|sign"
# in_array mingħajr tqabbil strett
grep -rnE "in_array\([^)]*\)" src/ --include="*.php" | grep -v ", true)"

Għodod ta' analiżi statika bħal PHPStan jew Psalm jistgħu, jekk irid, jirrapportaw tqabbil laxk b'mod permanenti. B'hekk każijiet ġodda ma jaslux fil-fergħa ewlenija fl-ewwel lok. Bażi dwar it-tipi tiddeskriviha It-tip sistema ta' PHP; kif l-inputs jinġiebu minn qabel fit-tip t-tajjeb turi Ivvalida u iffiltra l-inputs f'PHP.

Dak li dan ifisser għal sistemi antiki

Applikazzjonijiet li għadhom jaħdmu fuq PHP 7 huma affettwati mir-regoli antiki u aktar laxki tat-tqabbil. Ta' dan jiżdied it-tieni problema: għal PHP 8.1 u aktar qodma l-proġett PHP ma joffrix aktar aġġornamenti uffiċjali tas-sigurtà, anke mhux kontra PHP2Shell. Is-sitwazzjoni tiddeskriviha PHP 8.1 u aktar qodma: x'japplika issa.

Fi migrazzjoni għal PHP 8 xi riżultati tat-tqabbil jinbidlu. Dan ġeneralment huwa titjib, imma jista' jkisser kodiċi li kien jiddependi mill-imġiba l-qadima. Ippjanaw għalhekk testijiet li jkopru b'mod mirat tqabbil ma' numri, valuri vojta u null.

Kif tgħin PHP SOS b'mod konkret?

• Infittxu fil-kodiċi tagħkom tqabbil laxk f'postijiet li jiddeċiedu dwar il-login, id-drittijiet jew il-ħlasijiet.
• Nissostitwixxuhom b'tqabbil strett, espressjonijiet match u funzjonijiet ta' verifika adattati.
• Nistabbilixxu analiżi statika b'mod li tqabbil laxk ġdid jidher fil-build.
• Nakkumpanjaw migrazzjonijiet għal verżjonijiet attwali ta' PHP b'testijiet għal regoli mibdula tat-tqabbil.

Verifika tas-softwer tagħkom tiddeskriviha Awditu tas-sigurtà u test ta' penetrazzjoni.

Mistoqsijiet frekwenti

Sorsi

• Manwal ta' PHP: operaturi tat-tqabbil
• Manwal ta' PHP: match
• OWASP Cheat Sheet Series