对于很多靠卖PHP程序养家糊口的人来说,授权是必不可少的一部分,为了防止被他人恶意破解,通常还会加入一些后门留一手,可我们这种正版用户就不答应了,凭什么我付费买的程序居然还留着一个后门,万一哪天有Bug那我不就GG了么?
一.远程代码执行后门
这个相信大家都很熟悉了,eval等等函数都能实现,不过,特别提醒:在查杀时一定要注意以下几个函数,此类后门比较隐蔽,不容易被查杀(fwrite/file_put_contents+include(_once)/require(_once)
这类后门其实是利用写出一个PHP文件然后include导致的远程代码执行,以及,注意unserialize导致的PHP对象注入引起文件写入+ 远程代码执行
查杀方式:对于第一类后门,先使用webshell专杀工具杀掉,然后手动查杀顽固后门(先搜索fwrite/file_put_contents然后看看是否有对指定文件写入变量的功能,然后追溯到这个变量的来由,若发现出自$_GET $_POST $_SERVER[“HTTP_xxxxx”],且输出后缀名为.php或include/require本文件或有任意include(通过GET参数include对应文件且可以够到通过file_put_contents类函数创建的文件(没有对目录过滤),则很可能为后门,此类后门解决方案如下:
对于include本文件的,尝试注释掉include语句并查看是否有影响正常功能,若影响,请删除注释符号然后对$_GET之类的过滤PHP代码
,然后搜索unserialize函数,若参数来自GET,则判断有后门,此类后门仅在PHP版本>7.0,使用第二个参数传入[‘allowed_classes’ => [允许的类]或false]
来限制unserialize可以序列化的对象
二.管理员密码上传后门
这一个后门主要是影响CMS等有管理员后台的程序(比如某人开发的EMLOG模板中就包含了此后门),通过file_put_contents向网站目录中写入加密后的密码或通过file_get_contents/curl向授权服务器发送管理员用户名密码(不一定是用户名密码,比如数据库密码皆有可能)
解决方式:搜索以上字符串,若为函数则搜索这个函数名,直到找到未包含机密信息则可排除,若找到将机密信息随便乱改(比如后门获取数据库密码改为获取值888888)
PS:请注意eval包裹的加密代码
下载说明：
1、本站所有资源均从互联网上收集整理而来，仅供学习交流之用，因此不包含技术服务请大家谅解！
2、本站不提供任何实质性的付费和支付资源，所有需要积分下载的资源均为网站日常活跃所需，积分可通过日常活跃免费获得！
3、本站所有资源仅用于学习及研究使用，您必须在下载后的24小时内删除所下载资源，切勿用于商业用途，否则由此引发的法律纠纷及连带责任本站和发布者概不承担！
4、本站站内提供的所有可下载资源，本站保证未做任何负面改动（不包含修复bug和完善功能等正面优化或二次开发），但本站不保证资源的准确性、安全性和完整性，用户下载后自行斟酌，我们以交流学习为目的，并不是所有的源码都100%无错或无bug！如有链接无法下载、失效或广告，请联系客服处理！
5、本站资源除标明原创外均来自网络整理，版权归原作者或本站特约原创作者所有，如侵犯到您的合法权益，请立即告知本站，本站将及时予与删除并致以最深的歉意！
6、如果您也有好的资源或教程，您可以投稿发布，成功分享后有站币奖励，同时还能获得对应的人气！
7、如果您喜欢该资源，请支持官方正版资源，以得到更好的正版服务！
8、请您认真阅读上述内容，注册本站用户或下载本站资源即您同意上述内容！
原文链接：http://www.yonghengzy.cn/blog/18135.html，转载请注明出处。
评论0