【初心者向け・脆弱性のコード解説】PHP 8.1.0-dev RCE バックドア【セキュリティ】

こちらの動画で用いたスライドです。
https://www.youtube.com/watch?v=UrE8RblYmb4
コード
https://zenn.dev/rayzerov/articles/ec7865f3388b9a

Transcript

1. 本日のテーマ
 意図的に挿入された脆弱性の実例
 PHP 8.1.0-dev RCE バックドアを例にとって説明
 RayZeroV @rayzerov
2. この動画について
 この動画が解決する疑問 
 バックドアって、どういう条件で発動するの？
 どのように隠されるの？どうやって隠されるの？
 疑問の答え 
 例えば、PHP 8.1.0-dev RCE脆弱性がある。
 説明方法
 実際にバックドアを利用してみて、脆弱性の再現とデバッガでの追跡を行う。
 
 RayZeroV @rayzerov
3. この動画の対象者
 セキュリティの学習者 • セキュリティの勉強をしていて「バックドア」という響きに惹かれた。 • ニュース記事を読んでも表面的な話しかなくて、「中で何が起きているのか」「どう やって仕込まれるのか」という好奇心が満たされていない。 • PHP 8.1.0-dev RCE バックドアについて知りたい RayZeroV @rayzerov
4. 脆弱性の一つ、バックドアとは
 コンピュータシステムまたはそのシステムに含まれるデータにアクセスするために、 
 認証手続き等を迂回する方法 
 例: ログインするためにはユーザー名とパスワードによる認証が必要だが、それを知らなくてもログインできるように する
 システムバックドア 
 システムレベルでデータおよびプロセスへのアクセスを許可する 
 初期アクセスを獲得するために脆弱性を利用し、その脆弱性が修正された場合でもシステムアクセスを保持できる ようにする。
 例: 「トロイの木馬」や「ボット」などのマルウェア 
 アプリケーションバックドア（今回のバックドア） 
 特定の条件下でセキュリティ機構を迂回するように修正された正規ソフトウェアのバージョン 
 例: ソースコードが保存されているシステム(GitHubなど)を侵害して、アプリケーションのソースコードを書き換える 
 Source: Static Detection of Application Backdoors (Chris Wysopal, Chris Eng. Veracode. 2014. LINK )
 RayZeroV @rayzerov
5. PHP 8.1.0-dev RCE脆弱性とは
 PHPの公式リポジトリに挿入されたバックドア
 「特定の条件でOSコマンドを実行する」というコードが挿入されている
 →サーバーでシステム乗っ取りや情報漏洩、マルウェア感染を引き起こす
 RayZeroV @rayzerov
6. 第1章 バックドアの潜伏個所と発動条件 RayZeroV @rayzerov
7. 該当箇所のコード
 ext/zlib/zlib.cに挿入された
 コード
 一度コミットされ、 revert されたものが再度 revert によりコミットされている 
 解消すべき疑問
 • どういう処理をしているのか？ 
 • そもそもはどういう処理をする 
 場所なのか？
 • 攻撃に成功する条件は？ 
 • なぜここに書き込んだのか？ 
 • 誰が、どうやって公式リポジトリに 
 書き込んだのか？
 Source: https://github.com/php/php-src/commit/2b0f239b211c7544ebc7a4cd2c977a5b7a11ed8a (PHPの公式リポジトリ) 
 RayZeroV @rayzerov
8. どういう処理をしているのか？
 概要 
 送られてきたリクエストヘッダー内の ‘HTTP_USER_AGENTT’の中身に’zerodium’が含 まれるとき、9文字め以降の文字列を全部PHPの命令として実行
 Source: https://github.com/php/php-src/commit/2b0f239b211c7544ebc7a4cd2c977a5b7a11ed8a (PHPの公式リポジトリ) 
 RayZeroV @rayzerov
9. どういう処理をしているのか？
 1行目 
 $_SERVER （RFC3875 で定義された、Web サーバーによって生成される、ヘッダ、パス、スクリプトの位置のような 情報を有 する配列）があることを確認
 →コマンドラインからではなくWebサーバーからの実行であることを確認 
 Source: https://www.php.net/manual/ja/reserved.variables.server.php (PHPの言語リファレンス) 
 https://datatracker.ietf.org/doc/html/rfc3875 (RFC 3875) 
 RayZeroV @rayzerov
10. どういう処理をしているのか？
 2 行目 
 サーバーから渡された配列の中から’HTTP_USER_AGENTT’があることを確認
 RayZeroV @rayzerov
11. どういう処理をしているのか？
 3 行目 
 見つかった ‘USER_AGENTT’ の中身を、確実に文字列として扱えるように変換
 RayZeroV @rayzerov
12. どういう処理をしているのか？
 4 行目 
 ‘USER_AGENTT’ にzerodiumが含まれているか調べる
 （strstrはマッチした文字列より後ろの文字列もしくは false を戻り値として返す） 
 Source: https://www.php.net/manual/ja/function.strstr.php (PHPの言語リファレンス) 
 RayZeroV @rayzerov
13. どういう処理をしているのか？
 5-7 行目 
 ‘USER_AGENTT’ の9文字め以降をPHPコードとして実行
 RayZeroV @rayzerov
14. そもそもはどういう処理をする場所なのか？
 zlib
 サイトコンテンツをgzip圧縮するライブラリ 
 →重要な機能のため、（おそらく）多くのレンタルサーバーではデフォルトで有効 
 php_zlib_output_compression_start() 
 主にRINIT(PHPが1つのリクエストを受け取るたびに、一番最初に実行する初期化処理)で呼び出される、 圧縮の準備をする関数
 この関数の中の、zlib.output_compression が on かどうかを調べる前の段階で攻撃コードが挟まっている 
 →zlib.output_compression を On にしなくても攻撃は通るはず（実験を参照） 
 →攻撃の結果はレスポンスの前に帰ってくるはず（実験を参照） 
 Source: https://www.php.net/manual/ja/book.zlib.php (PHPの公式マニュアル) 
 https://github.com/php/php-src/blob/2b0f239b211c7544ebc7a4cd2c977a5b7a11ed8a/ext/zlib/zlib.c (PHPの公式リポジトリ) 
 
 RayZeroV @rayzerov
15. 第2章 再現実験 RayZeroV @rayzerov
16. 再現とデバッガでの分析
 再現につかった環境 
 Docker version 28.2.2, build 28.2.2-0ubuntu1~24.04.1
 利用したデバッガ 
 GNU gdb (Debian 10.1-1.7) 10.1.90.20210103-git
 方法
 Docker イメージ内でコミット 2b0f239b211c7544ebc7a4cd2c977a5b7a11ed8a 時点のソー スコードを fetch したものをビルドし、コンテナ内で実行
 RayZeroV @rayzerov
17. デバッグ方法
 Docker を使って当時の依存関係を再現したうえでコンパイルします。 
 Dockerfile や手順は説明欄のZenn記事リンクからどうぞ。 
 https://zenn.dev/rayzerov/articles/ec7865f3388b9a 
 
 
 RayZeroV @rayzerov
18. Dockerfile の重要な部分
 RUN ./buildconf --force && \　 ./configure \　#ビルド設定 --enable-debug \ #デバッグをオンにする 
 --disable-all \
 --with-zlib \ #zlibをビルドに含める
 --prefix=/usr/local/php-backdoor 
 
 CMD ["php","-d","zlib.output_compression=Off","-S","0.0.0.0:8080"] 
 コンテンツの圧縮にZlibを使わないように設定しても 攻撃が成功することを確かめる RayZeroV @rayzerov
19. デモンストレーション（詳しくは動画を参照）
 RayZeroV @rayzerov
20. 導き出される、攻撃に成功する条件
 実験では、
 • ビルド時に with-zlib をオン
 • リクエストヘッダーに「USER_AGENTT: zerodium(ここに命令を入れる)」を入れる
 で毎回攻撃に成功した。
 zlib.output_compression がデフォルト、もしくは Off でも攻撃は通った。
 
 
 
 Source: https://github.com/php/php-src/commit/2b0f239b211c7544ebc7a4cd2c977a5b7a11ed8a (PHPの公式リポジトリ) 
 RayZeroV @rayzerov
21. 第3章 なぜこれが公式にコミットされてしまったのか？ RayZeroV @rayzerov
22. 誰が、どうやって公式リポジトリに書き込んだのか？
 どのようにして挿入されたか 
 git.php.netサーバーの侵害（当時は GitHub がミラーで、こちらが大本だった）
 →この侵害の後、 git.php.net を廃止し、GitHub を大本とするようになった。
 
 誰が書き込んだのか 
 特定はされていないが、明らかに悪意のある人物
 Source: https://news-web.php.net/php.internals/113838 (PHPのメーリングリスト) 
 RayZeroV @rayzerov
23. Gitユーザー偽装とその対策 Gitにコミットするユーザーは簡単に偽装できてしまう。 （当時も対策されていたと思うが、詳細な資料が見つけられなかった） 現在はGitHub上での署名付きコミットが行われている。 Source: https://github.com/php/php-src (PHPの公式リポジトリ) 
 $ git config --local user.name "偽装したいユーザー名" $ git config --local user.email "偽装したいユーザーのメールアドレス " RayZeroV @rayzerov
24. まとめ
 アプリケーションバックドアの実装例:PHP 8.1.0-dev RCE脆弱性 
 バックドアは見落としやすい場所に、しかしできるだけ簡単にアクセスできるように作られる
 信頼しているライブラリや言語であっても、ソースコードそのものが汚染されるリスクがある
 
 
 RayZeroV @rayzerov