一、 基本概述
正則表達(dá)式是字符串處理的基本功能，它使用單個(gè)字符串來描述、匹配一系列符合某個(gè)句法規(guī)則的字符串，絕大部分語言庫(kù)都提供了正則表達(dá)式的功能，例如： perl、python、tcl、php 、glibc、uclibc、php等等，并且一般使用開源的正則表達(dá)式基礎(chǔ)庫(kù)來實(shí)現(xiàn)其功能，例如： glibc就使用了GRegex來提供正則表達(dá)式功能，而glibc是GNU 發(fā)布的C運(yùn)行庫(kù)，是Linux系統(tǒng)中最底層的API，幾乎其它任何應(yīng)用庫(kù)都會(huì)依賴于 glibc。所以，如果正則表達(dá)式基礎(chǔ)庫(kù)包含漏洞，則會(huì)影響到上層的各種軟件，風(fēng)險(xiǎn)隱患極大。
最近，360代碼衛(wèi)士團(tuán)隊(duì)對(duì)常見的正則表達(dá)式基礎(chǔ)庫(kù)進(jìn)行了源碼審計(jì)和漏洞挖掘，發(fā)現(xiàn)了10余個(gè)漏洞，均提交至CVE 以及國(guó)家信息安全漏洞庫(kù)，目前已獲得CVE編號(hào)的漏洞有5個(gè)，具體如下：
CVE 編號(hào) 影響軟件和版本 漏洞類型 CVE-2017-11660 PCRE – 8.41 內(nèi)存越界訪問 CVE-2017-11659 PCRE – 8.41 越界讀漏洞 CVE-2017-11164 PCRE – 8.41 遞歸處理不當(dāng) CVE-2017-9729 GRegex 遞歸處理不當(dāng) CVE-2017-9728 GRegex 越界讀一個(gè)字節(jié)
其中，PCRE庫(kù)在Apache、MySQL 、PHP、KDE、Postfix、 Analog、Nmap、Apple Safari、Nginx 等基礎(chǔ)框架或組件中均有使用；GRegex庫(kù)由Isamu Hasegawak開發(fā)，在glibc 、uclibc等標(biāo)準(zhǔn)庫(kù)中有所使用。
本文以PCRE庫(kù)為例，簡(jiǎn)述源碼審計(jì)和漏洞挖掘的過程，并深入分析CVE-2017-11660的原理，說明不當(dāng)?shù)牡讓踊A(chǔ)庫(kù)源碼處理對(duì)上層應(yīng)用軟件的影響和危害，進(jìn)而說明基礎(chǔ)庫(kù)軟件源代碼安全的重要性。
二、 源碼審計(jì)與漏洞挖掘
PCRE庫(kù)的源代碼基本信息如下：
源代碼基本信息表 源代碼名稱 pcre-8.41-IR-1.6.1.zip 開發(fā)語言 C/C++ 源代碼文件數(shù) 43 源代碼行數(shù) 64616
使用360代碼衛(wèi)士掃描后，結(jié)果統(tǒng)計(jì)如下：
等級(jí)統(tǒng)計(jì)表 等級(jí) 數(shù)量 所占 % 高 3 0.68 中 378 85.52 低 61 13.8
總體而言，PCRE的代碼質(zhì)量還是挺高的。各缺陷詳細(xì)信息及分類如下：
表中的越界訪問漏洞就是CVE-2017-11660，主要觸發(fā)原因是代碼中沒有對(duì)循環(huán)邊界進(jìn)行正確檢查，導(dǎo)致越界訪問了分配的內(nèi)存。其主要相關(guān)代碼如下：
for (;;)
{
RMATCH(eptr, ecode, offset_top, md,eptrb, RM18);
if (rrc != MATCH_NOMATCH)RRETURN(rrc);
if (eptr– == pp) break; /* Stop if tried at original pos */
BACKCHAR(eptr);
}
其中的宏定義：#define BACKCHAR(eptr) while((*eptr & 0xc0) == 0×80)eptr–
在這個(gè)循環(huán)中有個(gè)判斷條件退出，當(dāng)“eptr– == pp”的時(shí)候就會(huì)退出，但是后面的宏“BACKCHAR(eptr)”會(huì)對(duì) eptr做遞減，當(dāng)遞減至“eptr
內(nèi)存溢出是代碼缺陷運(yùn)行的結(jié)果。造成此缺陷，從代碼層面講，直接的原因是循環(huán)退出條件判斷不當(dāng)。上述代碼中，對(duì)循環(huán)“for(;;)”的退出，通過條件“if (eptr– == pp)”進(jìn)行判斷，如果 eptr在循環(huán)開始時(shí)，其值已經(jīng)小于pp，那么，該循環(huán)將無法有效終止。此類相似情況可能出現(xiàn)的判斷條件為：
√ 對(duì)獲取的break等可以有效退出循環(huán)的語句進(jìn)行判斷，判斷是否在循環(huán)體中；
√ 判斷執(zhí)行該break，是否依賴于絕對(duì)相等（“==”）這樣的條件；
√ 分析等值判斷的左右值，是否為可被污染的值；
√ 分析循環(huán)體是否有“死循環(huán)”的可能（如“for(;;) { … }、while(true){ … }”等）。
上述代碼中，缺陷如下圖所示：
在上述for循環(huán)中，缺少每次進(jìn)入循環(huán)的有效判斷，創(chuàng)造了死循環(huán)的可能性；if語句判斷條件為等值判斷，只有在左右兩值相等的情況下，才能觸發(fā)執(zhí)行語句；等值判斷的左右值，存在被污染的可能性。這樣， if等值條件可能無法被滿足，循環(huán)退出語句break無法被執(zhí)行，因此進(jìn)入死循環(huán)。檢測(cè)流程示意圖如下：
進(jìn)行檢測(cè)時(shí)，界面顯示效果如下：
分析發(fā)現(xiàn)，這段代碼是PCRE中“match”函數(shù)處理“OP_NCLASS ”、“OP_CLASS”操作碼的代碼，并且這段代碼在其它地方也出現(xiàn)了，對(duì)應(yīng)著“OP_XCLASS”操作碼。
三、 漏洞驗(yàn)證分析
正則表達(dá)式包括查找符合某些復(fù)雜規(guī)則的字符串的描述規(guī)則，這些規(guī)則有通用的標(biāo)準(zhǔn)，涉及到上述漏洞的元字符包括：
元字符 功能說明 PCRE 對(duì)應(yīng)的處理碼 C 匹配任意字符 OP_ANYBYTE [ ] 字符類，匹配[]之間的字符，另外[]之間^ 表示非的意思 OP_NCLASS, OP_CLASS * 重復(fù)零次或更多次 OP_CRSTAR
根據(jù)代碼審計(jì)的分析結(jié)果，我們構(gòu)造了一個(gè)精簡(jiǎn)觸發(fā)的驗(yàn)證POC：
此POC編譯后運(yùn)行，程序崩潰：
POC的實(shí)現(xiàn)從subjectmp的內(nèi)存往前搜索字符串“AABB”，直到匹配到 “AABB”的內(nèi)存內(nèi)容或者是訪問了內(nèi)存邊界從而導(dǎo)致段訪問錯(cuò)誤。gdb中調(diào)試信息如下：
從調(diào)試信息中，我們可以看到subject的地址為0xbfffafc7：
正是提供的搜索內(nèi)容“xddx88x42x41”。pp 和 eptr 的值為：
pp的值正是subject+1，為正常的值，而eptr遠(yuǎn)遠(yuǎn)小于 pp，且達(dá)到了內(nèi)存邊界，從而導(dǎo)致了內(nèi)存訪問異常。
四、 漏洞利用與危害分析
在上述POC中往內(nèi)存前搜索字符串“AABB”，當(dāng)然也可以搜索其它字符串，這樣會(huì)引發(fā)嚴(yán)重的信息泄露。PHP 使用了PCRE正則表達(dá)式庫(kù)，因此我們嘗試在PHP中對(duì)此漏洞進(jìn)行利用和危害分析，確認(rèn)PCRE 的這個(gè)漏洞是否影響到PHP。下載PHP最新版7.2.0，并編譯，構(gòu)造 PHP的精簡(jiǎn)POC如下：
其中，preg_match函數(shù)的功能就是執(zhí)行匹配正則表達(dá)式，其底層實(shí)現(xiàn)采用了PCRE。PHP 7.2.0 使用了PCRE 4.1。分析發(fā)現(xiàn)，PHP對(duì)PCRE中的函數(shù)進(jìn)行封裝調(diào)用，且對(duì)結(jié)果值做了檢測(cè)。相關(guān)代碼在 ext/pcre/php_prce.c文件中的php_pcre_match_impl內(nèi)：
if((offsets[1] – offsets[0] < 0) || pcre_get_substring_list(subject, offsets,count, &stringlist) < 0) {
efree(subpat_names);
efree(offsets);
if (match_sets) efree(match_sets);
php_error_docref(NULL TSRMLS_CC, E_WARNING, “Getsubpatterns list failed”);
RETURN_FALSE;
}
“offsets[1] – offsets[0]<0”對(duì)返回的結(jié)果進(jìn)行了檢測(cè)，當(dāng)漏洞觸發(fā)后，返回的結(jié)果中offsets[1] 是負(fù)數(shù)，所以條件成立，然后就返回了RETURN_FALSE。
所以，雖然此漏洞存在于PCRE中，但由于PHP對(duì)PCRE 中的函數(shù)進(jìn)行了封裝調(diào)用，并對(duì)結(jié)果值做了檢測(cè)，因此PHP并不受CVE-2017-11660這個(gè)漏洞的影響。但本次源碼審計(jì)和漏洞挖掘發(fā)現(xiàn)的另外一個(gè)PCRE 的漏洞CVE-2017-11164，就確認(rèn)影響到了PHP，可以在PHP中造成拒絕服務(wù)。
即可造成：
CVE-2017-11164漏洞影響到PHP的庫(kù)函數(shù)preg_match，因此基于 PHP的各種web應(yīng)用如果使用了pcre_match這個(gè)庫(kù)函數(shù)則也會(huì)受到影響，存在被拒絕服務(wù)攻擊的風(fēng)險(xiǎn)。比如， web應(yīng)用中使用preg_match來實(shí)現(xiàn)搜索功能，那么攻擊者在搜索的原始內(nèi)容中插入“x6Cx6FxE5xA2x80x2D”內(nèi)容，然后在匹配的時(shí)候使用特殊構(gòu)造的字符即可拒絕服務(wù)攻擊。
