código arbitrario de encarcelamiento PHP

Question

Tenemos una aplicación IRC de Java donde los usuarios pueden ejecutar PHP arbitrario y obtener el resultado. Aquí está un ejemplo de lo que este se utiliza para:

btc: <php>$btc = json_decode(file_get_contents('https://btc-e.com/api/2/1/ticker'), true); $ticker = $btc['ticker']; echo "Current BTC Ticker: High: $".$ticker['high']." Low: $".$ticker['low']." Average: $" . $ticker['avg']; 

También tenemos una configuración pitón, pero nos gusta porque PHP PHP no requiere nuevas líneas en el código en cualquier lugar. (Debido a que este es el IRC, no podemos damos saltos de línea a menos que Exec un archivo .py cargado web)

La cuestión es cómo evitar que la gente tratando de explotar el sistema, como por ejemplo en:

<php>echo readfile("/etc/passwd"); 

Lo cual, claramente, leerá el archivo de contraseña para que todos lo vean.
También estamos teniendo este problema, después de que hemos tratado de bloquear readfile():

<php>$rf = readfile; echo $rf("/etc/passwd"); 

¿Cómo deberíamos ir sobre la seguridad de este sistema? (El código completo está en github, para cualquier interesado: https://github.com/clone1018/Shocky)

Como un lado, no se está exponiendo información realmente sensible, ya que todo está en una máquina virtual, por lo que no es una "bomba de tiempo" ni nada . Sin embargo, todavía queremos bloquearlo.

Answer 1

Eso suena como tapar un agujero en un colador. La seguridad del sistema de archivos debe ser manejada por el sistema operativo, no por la aplicación. Y en cuanto va /etc/passwd, el sistema operativo ya lo está asegurando.

Esta es la primera línea de mi /etc/passwd - Sí, voy a publicar en público:

root:x:0:0:root:/root:/bin/bash 

Por lo general, las contraseñas no se almacenan realmente en /etc/passwd. La información del usuario es, pero las contraseñas se reemplazan por x, con la contraseña real solo disponible para el usuario raíz.

Sin embargo, debe bloquear PHP hasta cierto punto. Puede cambiar muchas opciones de PHP durante el tiempo de ejecución con ini_set, incluido open_basedir. http://www.php.net/manual/en/ini.core.php#ini.open-basedir

Answer 2

Si sólo desea restringir el archivo de lectura tal vez esto puede ayudar http://www.php.net/manual/en/ini.core.php#ini.open-basedir

Si está utilizando una versión antigua de php < 5.4 puede considerar usar el modo seguro de PHP

http://php.net/manual/en/ini.sect.safe-mode.php

Establezca los siguientes vars para modo seguro para restringir php

safe_mode_exec_dir 
disable_functions = readfile,system 

y muchos otros

Además, el usuario no podrá leer ningún archivo cuyo uid sea diferente, p./etc/contraseña. Tenga en cuenta que el modo seguro se deprecia/elimina de las últimas versiones de php