HTTPOXY漏洞说明

再加上有同学对我昨天转发的微博HTTPOXY漏洞表示不理解， 问会不会影响普通应用， 于是就写篇文章介绍下， 等早高峰过了吧；）…..

不过要注意的是， 这里我只是介绍PHP这个角度， 关于Go和Python等其他角度的，因为我也不是”很”懂，你们还是看原文吧 :)

漏洞原文在这里， https://httpoxy.org/, 没看懂的一定都是英语没过6级的 :)

这里有一个核心的背景是， 长久一来我们习惯了使用一个名为”HTTP_PROXY”的环境变量来设置我们的请求代理， 比如在命令行我们经常这么用:

  1. http_proxy=127.0.0.1:9999 wget http://www.laruence.com/

通过设置一个http_proxy的环境变量， 让wget使用代理请求http://www.laruence.com/

时间久了， 大家就都会习惯用http_proxy来作为代理的一个命名， 于是很多PHP的类库，或者你自己写的代码都会很有可能写下如下类似的代码:

  1. <?php
  2. $http_proxy = getenv("HTTP_PROXY");
  3. $context = array(
  4.     'http' => array(
  5.         'proxy' => $http_proxy,
  6.         'request_fulluri' => true,
  7.     ),
  9. );
  10. $s_context = stream_context_create($context);
  11. $ret = file_get_contents("http://www.laruence.com/", false, $s_context);

比如很多常见的类库:

就有这种类似的写法.

那么问题来了， 在CGI(RFC 3875)的模式的时候， 会把请求中的Header， 加上HTTP_ 前缀， 注册为环境变量, 所以如果你在Header中发送一个Proxy:xxxxxx, 那么PHP就会把他注册为HTTP_PROXY环境变量， 于是getenv(“HTTP_PROXY”)就变成可被控制的了. 那么如果你的所有类似的请求， 都会被代理到攻击者想要的地址，之后攻击者就可以伪造，监听，篡改你的请求了…

比如：

  1.  curl -H "Proxy:127.0.0.1:8000" http://host.com/httpoxy.php

所以， 这个漏洞要影响你， 有几个核心前提是:

如果你没有满足上面的条件， 那么恭喜你，你不受此次漏洞影响 :) .

那知道了原理修复起来也很简单了, 以Nginx为例, 在配置中加入:

  1.    fastcgi_param HTTP_PROXY "";

而如果你是一个类库的作者，或者你因为什么原因没有办法修改服务配置, 那么你就需要在代码中加入对sapi的判断， 除非是cli模式， 否则永远不要相信http_proxy环境变量，

  1. <?php
  2. if (php_sapi_name() == 'cli' && getenv('HTTP_PROXY')) {
  3.    //只有CLI模式下, HTTP_PROXY环境变量才是可控的
  4. }

就好比Guzzle的这个修复：
https://github.com/guzzle/guzzle/commit/9d521b23146cb6cedd772770a2617fd6cbdb1596#diff-ff73e042e738204c6da009e2ed19f783L166

thanks

 

【原文：HTTPOXY漏洞说明 作者: Laruence  安全脉搏整理发布】

源链接

Hacking more

...