43
  • O que é o PHP Injection?
  • Qual a diferença dele para o SQL Injection?
  • Como evitar o PHP Injection na minha aplicação?
  • Quais são as principais formas de ataque do tipo PHP Injection?

Atualização

Observação: Lembrando que o SQL injection não é a mesma coisa que o PHP Injection.

Code Injection in PHP

What is SQL Injection?

3
  • 2
    PHP injection, vc quer dizer abusos de eval(), extract() e coisas piores como o register globals, magic quotes?
    – rray
    Commented 13/08/2015 às 21:32
  • 2
    Wallace não é exatamente/completamente o mesmo assunto mas deve ajudar: pt.stackoverflow.com/a/10931/3635
    – Syzoth
    Commented 13/08/2015 às 22:29
  • @rray O que um extract() pode fazer de mal?
    – Francisco
    Commented 16/11/2017 às 1:57

2 Respostas 2

38
+50

Devido a inúmeros comentários publicados (na época que a pergunta foi feita por mim), creio que há alguma dúvida quanto ao PHP Injection. Então vou explicar alguns pontos.

O que é PHP Injection?

É uma forma de ataque onde o atacante se utiliza de um script PHP para atacar uma aplicação escrita em PHP.

De acordo com o Google:

[...] PHP Injection é uma técnica utilizada na internet que consiste em injetar scripts maliciosos, fazendo com que a página vulnerável fique a controle do atacante [...]

Geralmente, esse tipo ataque se consolida quando o desenvolvedor deixa brechas em formulários de upload. Por exemplo, a pessoa má intencionada pode enviar um script PHP através desse formulário e, em seguida, executá-lo.

O resultado poderá ser desastroso se o atacante conseguir listar diretórios, deletar arquivos, roubar dados sensíveis, etc...

Send assim, PHP Injection não tem relação com SQL Injection, como alguns haviam apontado nos comentários anteriores.

E o SQL Injection?

SQL Injection é um ataque que consiste na inserção (conhecido como injeção) de uma query via aplicação web.

Ou seja, não há relação direta com o PHP Injection.

Formas de evitar o PHP Injection

Cuidado na hora de fazer upload!

Como dito anteriormente, uma das maiores formas desse ataque é através de formulários de upload, onde o atacante manipula o conteúdo enviado (geralmente, enviando um script PHP não esperado no servidor) e, através dele, tem acesso a informações do servidor.

Evite o eval

Outra coisa perigosa em relação ao PHP Injection é a utilização da função eval, que tem o poder de tornar uma string em um código PHP válido.

Veja mais informações sobre o eval na pergunta abaixo:

Cuidado como o modificador e da função preg_replace

Recentemente, o PHP depreciou o modificador e da função preg_replace, pois esse modificador poderia utilizar um código PHP válido como retorno, sendo também utilizado por atacantes.

Veja que o preg_replace e o modificador e nessa pergunta causou alguns problemas para o desenvolvedor:

Nessa pergunta feita pelo @RodrigoBorth, fica claro que o código foi injetado por um cracker no servidor onde fica a aplicação dele.

Apesar de ter sido depreciada, é bom ficar atento em versões antigas de bibliotecas ou aplicações legadas que possam usar esse modificador.

Null Byte Attack

Parece que o Null Byte Attack também já foi um problema no PHP em versões anteriores também.

Veja mais sobre isso aqui:

SQL Injection tem relação com o PHP Injection ?

Não. São assuntos diferentes e, em cada caso, o cuidado em relação à segurança deverá será diferente.

Veja sobre SQL Injection na pargunta abaixo para tirar as suas conclusões sobre as diferenças:

O que mais não confundir?

Outra coisa é confundir Ataque XSS com PHP Injection. XSS pode ser feito em qualquer outra linguagem que não tome os devidos cuidados. PHP Injection é algo específico do PHP.

3
  • 2
    Antigamente era comum a prática de fazer includes com base na URL, exemplo meusite.com/?page=contato onde contato era um arquivo do site, então essa brecha era aproveitada colocando ali o caminho para arquivos maliciosos...
    – KaduAmaral
    Commented 14/08/2015 às 12:02
  • 5
    @KaduAmaral, ainda tem muito código assim, é so ver algumas perguntas ...
    – rray
    Commented 14/08/2015 às 12:07
  • 3
    Como eu disse "não é exatamente/completamente o mesmo assunto mas deve ajudar", não discordo da sua pergunta e resposta, tanto que dei +1 pra ambas, o dificil é aturar estes votos pra baixo "roboticos" :( -- parabéns pela resposta!
    – Syzoth
    Commented 14/08/2015 às 16:58
6

Apenas para contribuir com a discussão e tendo em vista que passei por esta má experiência em um site que administro vou detalhar o ocorrido.

Neste site é permitido pelo usuário o envio de arquivos ZIP e imagens (JPG/PNG). Pois bem, um infeliz subiu um arquivo JPG que na verdade não era uma imagem e sim um script PHP, ele simplesmente alterou sua extensão, subiu o arquivo com um cabeçalho de imagem obviamente mas no final do arquivo existe um script php que criava um console de acesso remoto com o nome de copyright.php , de lá ele conseguia listar os arquivos do servidor e consequentemente ver eles em detalhe (com direito a conexão ao banco de dados).

Deu trabalho para identificar isso, corrigir foi simples, mas ver a php injection acontecendo foi trabalhoso, e cá para nós nunca que você vai imaginar isso. O interessante é que ele tambem usou um browser de texto para visitar a imagem, para vir um cabeçalho binário e na sequência o código ser mostrado no navegador.

3
  • 5
    Nem precisa alterar a extensão, dependendo do cenário. Isso é muito comum se o mime magic do apache estiver habilitado, pq ai a extensão é ignorada e são usados metadados para determinar a ação do servidor. Em outras postagens eu já recomendei (ao próprio autor da pergunta, inclusive) justamente desabilitar este recurso. httpd.apache.org/docs/current/mod/mod_mime_magic.html
    – Largato
    Commented 16/10/2018 às 19:30
  • O @Bacco tem um caso de amor com esse mime_magic, só pode, kkkkk. Commented 16/10/2018 às 20:45
  • Valeu pela dica @Bacco , nao sabia dessa fragilidade
    – MCunha98
    Commented 16/10/2018 às 21:27

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .