搜索

[6173] 2019-09-22_phpStudy隐藏后门预警

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2019-09-22_phpStudy隐藏后门预警 p h p S t u d y 隐 藏 后 门 预 警 安 恒 应 急 响 应 中 心   E 安 全   2 0 1 9 - 0 9 - 2 2 1 、 、 事 件 背 景 事 件 背 景 近 日 ， 使 用 广 泛 的 P H P 环 境 集 成 程 序 包 p h p S t u d y 被 公 告 疑 似 遭 遇 供 应 链 攻 击 ， 程 序 包 自 带 P H P 的 p h p _ x m l r p c . d l l 模 块 隐 藏 有 后 门 ， 安 恒 应 急 响 应 中 心 和 研 究 院 随 即 对 国 内 下 载 站 点 提 供 下 载 的 p h p S t u d y 安 装 包 进 行 分 析 ， 确 认 p h p S t u d y 2 0 1 6 、 p h p S t u d y 2 0 1 8 的 部 分 版 本 有 后 门 ， 建 议 使 用 该 版 本 的 用 户 立 即 进 行 安 全 加 固 处 理 。 2 、 、 后 门 分 析 后 门 分 析 通 过 分 析 ， 后 门 代 码 存 在 于 e x t p h p _ x m l r p c . d l l 模 块 中 ， 至 少 有 2 个 版 本 ： p h p S t u d y 2 0 1 6 和 p h p S t u d y 2 0 1 8 自 带 的 p h p - 5 . 2 . 1 7 、 p h p - 5 . 4 . 4 5 p h p S t u d y 2 0 1 6 1 1 0 3 p h p p h p - 5 . 2 . 1 7 e x t p h p _ x m l r p c . d l l p h p p h p - 5 . 4 . 4 5 e x t p h p _ x m l r p c . d l l p h p S t u d y 2 0 1 8 0 2 1 1 P H P T u t o r i a l p h p p h p - 5 . 2 . 1 7 e x t p h p _ x m l r p c . d l l P H P T u t o r i a l p h p p h p - 5 . 4 . 4 5 e x t p h p _ x m l r p c . d l l 分 析 过 程 ： 对 比 官 网 的 x m l r p c 源 代 码 可 以 知 道 ， 默 认 x m p l r p c 模 块 的 几 个 初 始 化 函 数 都 是 被 设 置 为 N U L L ： 而 污 染 过 的 版 本 中 “ r e q u e s t _ s t a r t u p _ f u n c ” 函 数 被 恶 意 攻 击 者 自 定 义 ： 用 户 所 有 的 请 求 都 会 经 过 自 定 义 的 函 数 “ s u b _ 1 0 0 0 3 1 F 0 ” ，
进 一 步 分 析 函 数 “ s u b _ 1 0 0 0 3 1 F 0 ” ， 当 攻 击 者 （ 或 普 通 用 户 ？ ） 发 起 的 H T T P 数 据 包 中 包 含 “ A c c e p t - E n c o d i n g “ 字 段 信 息 时 ， 会 进 入 攻 击 者 自 定 的 流 程 ： 当 A c c e p t - E n c o d i n g 字 段 信 息 为 “ c o m p r e s s , g z i p ” 时 ， 它 会 触 发 搜 集 系 统 信 息 功 能 ， 如 其 中 函 数 “ s u b _ 1 0 0 0 4 3 8 0 ” 搜 集 网 卡 信 息 ： 同 时 会 执 行 内 存 p h p 代 码 ：
D U M P 出 P H P 进 一 步 分 析 ： 解 密 出 B a s e 6 4 加 密 字 符 串 ： 通 过 H T T P 包 构 造 工 具 测 试 发 包 ， 成 功 触 发 访 问 恶 意 “ 3 6 0 s e [ . ] n e t ” 域 名 ：
分 析 发 现 ， 当 A c c e p t - E n c o d i n g 字 段 信 息 为 “ g z i p , d e f l a t e ” 时 ， 它 会 接 着 判 断 是 否 设 置 “ A c c e p t - C h a r s e t ” 字 段 : 再 判 断 是 否 设 定 的 特 定 的 “ A c c e p t - C h a r s e t ” 字 段 ， 在 满 足 特 定 条 件 以 后 可 以 执 行 黑 客 给 定 的 p h p 命 令 ， 实 现 控 制 服 务 器 的 目 的 ， 隐 蔽 性 非 常 高 。 3 、 影 响 版 本 、 影 响 版 本 目 前 测 试 发 现 p h p S t u d y 2 0 1 6 和 p h p S t u d y 2 0 1 8 版 本 存 在 后 门 ， I O C ： 0 f 7 a d 3 8 e 7 a 9 8 5 7 5 2 3 d f b c e 4 b c e 4 3 a 9 e 9 c 3 3 9 4 8 2 f d 2 b 2 3 3 f b 0 a 5 5 5 b 6 2 9 c 0 e a 5 d 5 3 6 0 s e [ . ] n e t   用 户 可 以 通 过 搜 索 p h p _ x m l r p c . d l l 模 块 中 包 含 “ @ e v a l ” 关 键 字 快 速 判 断 是 否 是 存 在 后 门 的 版 本 ， 命 令 参 考 ： f i n d s t r   / m   / s   / c : " @ e v a l "   * . * 4 、 缓 解 措 施 、 缓 解 措 施 p h p S t u d y 启 动 时 默 认 加 载 p h p - 5 . 4 . 4 5 版 本 的 P H P ， 该 版 本 存 在 后 门 ， 可 以 从 P H P 官 网 下 载 原 始 p h p - 5 . 4 . 4 5 版 本 或 p h p - 5 . 2 . 1 7 版 本 ， 替 换 其 中 的 p h p _ x m l r p c . d l l ， 下 载 地 址 ： h t t p s : / / w i n d o w s . p h p . n e t / d o w n l o a d s / r e l e a s e s / a r c h i v e s / p h p - 5 . 2 . 1 7 - W i n 3 2 - V C 6 - x 8 6 . z i p h t t p s : / / w i n d o w s . p h p . n e t / d o w n l o a d s / r e l e a s e s / a r c h i v e s / p h p - 5 . 4 . 4 5 - W i n 3 2 - V C 9 - x 8 6 . z i p

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理