Phpstudy 2016和2018被暴存在隐藏后门-附检测方法

由狼语分享时间：2019-09-27 加入收藏我要投稿点赞

1.事件背景Phpudy软件是国内的一款免费的PHP调试环境的程序集成包，通过集成Apache、PHP、MySQL、phpMyAdmi、ZedOpimize多款软件一次性安装，无需配置即可直接安装使用，具......
以下是【狼语】分享的内容全文：

1.事件背景

Phpstudy软件是国内的一款免费的PHP调试环境的程序集成包，通过集成Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer多款软件一次性安装，无需配置即可直接安装使用，具有PHP环境调试和PHP开发功能，在国内有着近百万PHP语言学习者、开发者用户

北京时间9月20日，杭州公安发布《杭州警方通报打击涉网违法犯罪暨‘净网2019’专项行动战果》一文，文章曝光了国内知名PHP调试环境程序集成包“PhpStudy软件”遭到黑客篡改并植入“后门”。截至案发，近百万PHP用户中超过67万用户已被黑客控制，并大肆盗取账号密码、聊天记录、设备码类等敏感数据多达10万多组，非法牟利600多万元。

2.影响版本

软件作者声明phpstudy 2016版PHP5.4存在后门。

实际测试官网下载phpstudy2018版php-5.2.17和php-5.4.45也同样存在后门

3.后门检测方法

通过分析，后门代码存在于\ext\php_xmlrpc.dll模块中
phpStudy2016和phpStudy2018自带的php-5.2.17、php-5.4.45
phpStudy2016路径
php\php-5.2.17\ext\php_xmlrpc.dll
php\php-5.4.45\ext\php_xmlrpc.dll
phpStudy2018路径
PHPTutorial\php\php-5.2.17\ext\php_xmlrpc.dll
PHPTutorial\php\php-5.4.45\ext\php_xmlrpc.dl

用记事本打开此文件查找@eval，文件存在@eval(%s(‘%s’))证明漏洞存在

附后门文件MD5值：

MD5: 0F7AD38E7A9857523DFBCE4BCE43A9E9
MD5: C339482FD2B233FB0A555B629C0EA5D5

3.修复方法

1）对服务器进项全盘查杀,检查web程序是否存在后门和Webshell，检查操作系统是否有隐藏的账号以及后门

2) 可以从PHP官网下载原始php-5.4.45版本或php-5.2.17版本，替换其中的php_xmlrpc.dll，下载地址：
https://windows.php.net/downloads/releases/archives/php-5.2.17-Win32-VC6-x86.zip
https://windows.php.net/downloads/releases/archives/php-5.4.45-Win32-VC9-x86.zip

3）目前phpstudy官网上的版本不存在后门，可在phpsudy官网下载安装包进行更新

Phpstudy

福利经验

金聪线报提示：[ Phpstudy 2016和2018被暴存在隐藏后门-附检测方法 ] 仅为会员分享交流，仅供学习、参考使用，请勿用于其他用途，如果想商业使用或者代理，请自行联系版权方获取授权。任何未获取授权的商业使用与本站无关，请自行承担相应责任。
本站不存储任何资源文件，敬请周知！

此资源仅供个人学习、研究使用，禁止非法转播或商业用途，请在获取后24小时内删除，如果你觉得满意，请寻求购买正版或获取授权！

免责申明：本站仅提供学习的平台，所有资料均来自于网络分享线索，版权归原创者所有！本站不提供任何保证，并不承担任何法律责任，如果对您的版权或者利益造成损害，请提供相应的资质证明，我们将于3个工作日内予以处理。版权申诉相关说明
本网站采用 BY-NC-SA 协议进行授权转载请注明原文链接:Phpstudy 2016和2018被暴存在隐藏后门-附检测方法