Data Type Conversion Attack en PHP

Esta prueba permite a un atacante descubrir el path local de la instalación en servidores utilizando PHP en los que los mensages de error no han sido completamente bloqueados. La idea es utilizar los parámetros http para ejecutar una conversión implícita del tipo de datos con el objetivo de generar una excepción no controlada que muestre la ruta de instalación en el servidor web de ese código. Este trabajo fue publicado por Manu "The Sur" en la lista "Full Disclosure".

Local Path disclosure

Supongamos un código PHP de la sigiente forma que esté ejecutándose en un servidor web:

Dca.php
[?php
$vuln= $_GET["var"] +1;
?]

Como se puede ver, este programa recibe un parámetro numérico que es utilizado para ejecutar una función matemática. La forma normal de invocar este programa sería la siguiente:

- http://www.testserver.com/dca.php?var=1

Con el objetivo de forzar la conversión del tipo de datos, la siguiente sintaxis de llamada puede ser utilizada:

- http://www.testserver.com/dca.php?var[]=1

Esta sintaxis, utilizando los corchetes, forzará al motor PHP a convertir el tipo de datos del parámetro en una estructura de tipo array. Si el parámetro display_errors en el fichero de configuración php.ini está activo, el servidor web mostrará un mensaje de error como el siguiente:

Unsupported operand types in C:\server\htdocs\dca\dca.php on line 2

Este comportamiento es debido al hecho de que no hay una función de sobrecarga para el operador suma en las estructuras de datos array. Existen muchas funciones PHP que están programas de forma similar a la mostrada en el ejemplo DCA.php y que permiten que, si los errores no estén bloqueados, se pueda ver la ruta de instalación.


Ejemplo de Local Path disclosure
Este error puede ser mucho más peligroso si, por ejemplo, se descubren nombre de ficheros o extensiones no protegidas en el servidor web.

Saludos Malignos!