open_basedir后可能存在的安全隐患

henda

　　目前php站点的安全配置基本是open_basedir+safemode，确实很无敌、很安全，即使在权限没有很好设置的环境中，这样配 置都是相当安全的，当然了，不考虑某些可以绕过的情况。本文讨论两点开启open_basedir后可能导致的安全隐患（现实遇到的），一个也许属于 php的一个小bug，另外一个可能是由于配置不当产生的。
　　一、open_basedir中处理文件路径时没有严格考虑目录的存在，这将导致本地包含或者本地文件读取的绕过。
　　看一个本地文件任意读取的例子：
   　　虽然file是任意提交的，但是限制了前缀必须为img，我们如果想跳出目录读文件，比如，读取网站根目录下的 config.php，我们得提交?file=img/../../config.php，但是此处有个限制条件，就是upload目录下不存在img文 件夹，在windows文件系统里，系统不会去考虑目录存在不存在，会直接跳转目录从而导致漏洞；但linux文件系统非常严谨，它会仔细判断每一层目录 是否存在，比如这里由于不存在img，则跳出去读取文件的时候直接报错。看如下一个示意图：

　　再看一个类似的本地包含的例子：
   　　由于linux文件系统的限制，我们无法利用旁注去包含tmp下的文件。
　　linux严谨的考虑在php那里显然没有得到深刻的体会。在开启了open_basedir的时候，php对传入的文件路径进行了取真实路径的处理，然后跟open_basedir中设置的路径进行比较：

　　……
　　/* normalize and expand path */
　　if (expand_filepath(path, resolved_name TSRMLS_CC) == NULL) {
　　return -1;
　　}
　　path_len = strlen(resolved_name);
　　memcpy(path_tmp, resolved_name, path_len + 1); /* safe */
　　……

　　（见fopen_wrappers.c）
　　但 php在处理的时候忽略了检查路径是否存在，于是在开启了open_basedir时，上面那个文件读取的例子，我们可以使用?file=img/.. /../config.php来直接读取了，此时提交的路径已经被处理成/home/www/config.php了，所以不存在任何读取问题了。
　　问题由***测试的时候遇到绕过的情况从而导致疑问，经分析环境差异，然后xi4oyu牛指点有可能是open_basedir的问题后测试总结出这是php的一个小的bug，但是很有可能导致安全隐患。
　　二、open_basedir的值配置不当，有可能导致目录跨越。
　　很多管理员都知道设置open_basedir，但在配置不当的时候可能发生目录跨越的问题。
　　错误的配置：/tmp:/home/www，正确的配置：/tmp/:/home/www/

　　……
　　/* Resolve open_basedir to resolved_basedir */
　　if (expand_filepath(local_open_basedir, resolved_basedir TSRMLS_CC) != NULL) {
　　/* Handler for basedirs that end with a / */
　　resolved_basedir_len = strlen(resolved_basedir);
　　if (basedir[strlen(basedir) - 1] == PHP_DIR_SEPARATOR) {
　　if (resolved_basedir[resolved_basedir_len - 1] != PHP_DIR_SEPARATOR) {
　　resolved_basedir[resolved_basedir_len] = PHP_DIR_SEPARATOR;
　　resolved_basedir[++resolved_basedir_len] = '\0';
　　}
　　} else {
　　resolved_basedir[resolved_basedir_len++] = PHP_DIR_SEPARATOR;
　　resolved_basedir[resolved_basedir_len] = '\0';
　　}
　　……

　　（见fopen_wrappers.c）
　　php考虑了以/结束的路径，但是如果没有/，就直接带入下文比较了。
　　于是，当新建一个网站为 /home/wwwoldjun/（均已经分别设置open_basedir），如果配置错误，则可以从/home/www/目录跳转到/home/wwwoldjun/目录。
　　本地测试：

　　举 个***实例，某idc商在租用虚拟主机的时候如此分配空间/home/wwwroot/userxxx/、/home/wwwroot/useryyy /...，而open_basedir是这样错误配置的：/tmp:/home/wwwroot/userxxx、/tmp:/home/wwwroot /useryyy。如果我们想通过配置的错误轻易***下userxxx站点，我们该怎么做？