Header-Manipulation-Angriff: Fileupload ohne Schutz

Um sicherzustellen, dass eine Maske zum Hochladen von Dateien auf dem Server nur gewünschte
Dateitypen akzeptiert, empfiehlt z.B. das PHP-Handbuch die Prüfung des Dateitypen, den der
Browser an den Server meldet (http://us3.php.net/manual/de/features.file-upload.php). Die Bezeichnung
des Dateitypen entspricht dem zugeordneten MIME-Type.

Dateitypen und ihre MIME-Types
<br />
Dateityp    MIME-Type<br />
JPEG-Bild    image/jpeg<br />
GIF-Bild    image/gif<br />
PHP-Datei    application/octet-stream<br />


Code zum Prüfen des Dateitypen der hochgeladenen Datei
<br />
<?php
$file_type = $_FILES&#91;'userfile'&#93;&#91;'type'&#93;;
if (($file_type != 'image/jpeg') &#038;&#038; ($file_type != 'image/gif')) {
    // Abbruch: Dateityp nicht erlaubt.
}
?><br />


Diese Art der Prüfung ist weit verbreitet und bietet trügerische Sicherheit. Es ist leicht zu zeigen, dass dieser
Schutz nicht genügt und dass er leicht umgangen werden kann. Dabei ist zu beachten, dass der übergebe Dateityp
vom Webbrowser des Nutzers bestimmt wird und im HTTP-Header der Kommunikation zwischen Client und Server gespeichert wird.

Teil des HTTP-Header beim Hochladen einer PHP-Datei
<br />
&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8211;3104147716707<br />
Content-Disposition: form-data; name=&#8220;userfile&#8220;; filename=&#8220;file_upload_crack.php&#8220;<br />
Content-Type: application/octet-stream</p>
<p><?php
echo('Angriff');
?><br />
&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8211;3104147716707&#8211;<br />


Der HTTP-Header kann durch den Angreifer leicht manipuliert werden. Dazu verwendet er beispielsweise einen lokalen
Proxy, der die Daten zwischen Webbrowser und Server abfängt. Aus einer breiten Auswahl geeigneter Proxies wird
hierfür „Paros“ (http://www.parosproxy.org) verwendet. Er erlaubt unter anderem das Abfangen, Manipulieren und Weitersenden der
HTTP-Kommunikation. Die Anwesenheit des Proxies ist für den Server nicht erkennbar. Er geht davon aus, dass sein
Kommunikationspartner der Webbrowser ist.

Ist ein solcher HTTP-Header in Paros abgefangen, so kann er vor dem Absenden beliebig bearbeitet werden. Um
die oben genannte Dateityp-Prüfung zu umgehen, wird der angegebene „Content-Type“ von „application/octet-stream“
nach dem vom Filter zugelassenen JPEG-Bilddatei-Typ „image/jpeg “ geändert. Anschließend wird Paros angewiesen,
diesen HTTP-Header abzusenden.

Teil des manipulierten HTTP-Headers
<br />
&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8211;3104147716707<br />
Content-Disposition: form-data; name=&#8220;userfile&#8220;; filename=&#8220;file_upload_crack.php&#8220;<br />
Content-Type: image/jpeg</p>
<p><?php
echo('Angriff');
?><br />
&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8212;&#8211;3104147716707&#8211;<br />


Eine Prüfung des Dateitypen auf dem Server meldet jetzt eine Datei vom Typ JPEG, die erlaubt ist. Finden keine
zusätzlichen Prüfungen statt, ist der Angriff geglückt und der Angreifer hat Fremdcode auf dem Server eingespielt.