發布日期：2002-04-3
漏洞類別：PHP，遠程WEB接口，拒絕服務

bugtraq ID 4432、4434

存在問題的版本：

    phpBB 1.44，更低的版本及 phpBB 2.0 未測試。


描述：

    phpBB是一個被廣泛應用的基于PHP的論壇。發現其BBcode中對于“源代碼”類的引用處
理存在漏洞，通過發送特殊格式的轉義字符串可導致數據庫的損壞以及服務器的 CPU、內存
資源大量消耗。


詳細：

    phpBB在對“源代碼”類的引用處理不當，主要是為了要支持鑲套的標記
而造成的。有問題的代碼是functions.php中的bbencode_code函數。

    當我們提交一個這樣的貼子：





實際向數據庫中存儲的數據是這樣：

[1code]
\0\0\0\0\0\0\0
[/code1][1code]
\0\0\0\0\0\0\0
[/code1][1code]
\0\0\0\0\0\0\0
[/code1][1code]
\0\0\0\0\0\0\0
[/code1][1code]
\0\0\0\0\0\0\0
[/code1][1code]
\0\0\0\0\0\0\0
[/code1][1code]
\0\0\0\0\0\0\0
[/code1]

即實際系統要負擔的數據量是輸入的“\0”的數量的平方，如果發送 1 MByte的數據，系統
實際處理的數據將接近 1 TByte。

這是我們在實驗機器上發送一個包含''*800的帖子時的資源占用情況：

PID  USER      PRI  NI  SIZE  RSS SHARE STAT %CPU %MEM   TIME COMMAND
8643 nobody    13   0   212M  81M 13604 D     8.0 65.7   0:07 httpd

提交貼子后會提示出錯：

Could not enter post text!

但實際上貼子的標題和提交者這兩個數據已存到數據庫中，但內容和其他一些數據沒有，所
以打開的時候會出現錯誤頁面。而且這樣的帖子無法用正常的方法刪掉，只能用直接連接到
數據庫來刪除。以下是提交不同數據量的結果：

''* =<583  正常貼上，可以刪除
''* 584    正常貼上，可以編輯，但不能刪除
''* 585    提示 Could not enter post text! 但貼子也沒有
''* 586    正常貼上，可以刪除
''* 587    提示 Could not enter post text! 但貼子也沒有
''* 588    正常貼上，可以刪除
''* 589    提示 Could not enter post text! 但貼子也沒有
''* >=590  提示 Could not enter post text! 出現刪不掉的帖子

如果發送鑲套的標記則占用資源更多，我們在實驗機器上發送這樣的帖子：