Bất cứ ai có thể giải thích về đoạn mã tấn công php này cho tôi?

Question

Tôi đã nhận được yêu cầu về các url không mong muốn trên máy chủ của mình.

Cụ thể một cho /%70%68%70%70%61%74%68/%70%68%70?%2D%64+%61%6C%6C%6F%77%5F%75%72%6C%5F%69%6E%63%6C%75%64%65%3D%6F%6E+%2D%64+%73%61%66%65%5F%6D%6F%64%65%3D%6F%66%66+%2D%64+%73%75%68%6F%73%69%6E%2E%73%69%6D%75%6C%61%74%69%6F%6E%3D%6F%6E+%2D%64+%64%69%73%61%62%6C%65%5F%66%75%6E%63%74%69%6F%6E%73%3D%22%22+%2D%64+%6F%70%65%6E%5F%62%61%73%65%64%69%72%3D%6E%6F%6E%65+%2D%64+%61%75%74%6F%5F%70%72%65%70%65%6E%64%5F%66%69%6C%65%3D%70%68%70%3A%2F%2F%69%6E%70%75%74+%2D%6E

Điều này dường như xảy ra mỗi vài giờ.

Tôi chạy url qua http://www.url-encode-decode.com/ và nó đi ra như:

phppath/php -d allow_url_include = on safe_mode -d = off -d suhosin.simulation = on disable_functions -d = "" - d open_basedir = none -d auto_prepend_file = php: // input -n

Kẻ tấn công đang cố gắng làm gì ở đây?

Answer 1

Attacker đang cố gắng tận dụng CVE-2012-1823, điều này chỉ áp dụng nếu PHP của bạn được sử dụng trong chế độ CGI (mod_php không dễ bị tổn thương này).

Sử dụng phép tiêm thông số -d cho kẻ tấn công nhị phân PHP vô hiệu hóa các cơ chế bảo vệ khác nhau mà PHP có thể có và thực thi mã PHP trực tiếp bằng cách sử dụng auto_prepend_file (tự động thực thi mã PHP trước khi xử lý bất kỳ tệp PHP nào), trong khi php: // input là một luồng dữ liệu yêu cầu POST.

Trừ khi nhật ký máy chủ web của bạn là tùy chỉnh, có thể bạn sẽ không tìm ra kẻ tấn công có trong yêu cầu POST (dữ liệu POST không được ghi nhật ký bình thường).

Kiểm tra PHP của bạn, ví dụ: sử dụng tập lệnh như sau:

<?php phpinfo(); 

Phiên bản PHP nằm trên dòng đầu tiên, so sánh với định nghĩa CVE. Nếu bạn đang sử dụng phiên bản dễ bị tổn thương, hãy cập nhật ASAP, cũng tìm kiếm dòng máy chủ API ở đó, nếu nó không chứa thứ gì đó với CGI, bạn nên an toàn trong lúc này, nhưng sử dụng phiên bản PHP lỗi thời không bao giờ tốt.

Answer 2

kẻ tấn công là cố gắng cập nhật tập tin của bạn cấu hình php (php.ini) allow_url_include, safe_mode là thiết lập cấu hình php khác nhau đó là quan trọng đối với an ninh, vì vậy chúng bị tắt theo mặc định