क्या कोई मुझे इस PHP कोड इंजेक्शन हमले की व्याख्या कर सकता है?

Question

मुझे अपने सर्वर पर अप्रत्याशित यूआरएल के लिए अनुरोध प्राप्त हो रहे हैं।

विशेष रूप से एक के लिए /%70%68%70%70%61%74%68/%70%68%70?%2D%64+%61%6C%6C%6F%77%5F%75%72%6C%5F%69%6E%63%6C%75%64%65%3D%6F%6E+%2D%64+%73%61%66%65%5F%6D%6F%64%65%3D%6F%66%66+%2D%64+%73%75%68%6F%73%69%6E%2E%73%69%6D%75%6C%61%74%69%6F%6E%3D%6F%6E+%2D%64+%64%69%73%61%62%6C%65%5F%66%75%6E%63%74%69%6F%6E%73%3D%22%22+%2D%64+%6F%70%65%6E%5F%62%61%73%65%64%69%72%3D%6E%6F%6E%65+%2D%64+%61%75%74%6F%5F%70%72%65%70%65%6E%64%5F%66%69%6C%65%3D%70%68%70%3A%2F%2F%69%6E%70%75%74+%2D%6E

यह हर कुछ घंटों हो रहा जा रहा है।

मैं http://www.url-encode-decode.com/ के माध्यम से यूआरएल भाग गया और यह के रूप में बाहर आता है: -d disable_functions पर

phppath/php -d allow_url_include = -d सेफ_मोड = बंद -d suhosin.simulation = पर = "" - d open_basedir = none -d auto_prepend_file = php: // input -n

हमलावर यहां क्या करने का प्रयास कर रहा है?

Answer 1

हमलावर के उपयोग करने के लिए कोशिश कर रहा है द्वारा अक्षम किए गए CVE-2012-1823, यह केवल तब लागू होता है जब आपका PHP सीजीआई मोड में उपयोग किया जाता है (mod_php इस के लिए कमजोर नहीं है)।

PHP बाइनरी हमलावर को -d पैरामीटर इंजेक्शन का उपयोग करने से आपके PHP में हो सकता है कि विभिन्न PHP तंत्र को स्वचालित रूप से auto_prepend_file (स्वचालित रूप से किसी भी PHP फ़ाइल को संसाधित करने से पहले PHP कोड निष्पादित करता है) का उपयोग करके PHP कोड निष्पादित करता है, जबकि php: // इनपुट है POST अनुरोध डेटा की एक धारा।

जब तक आपका वेब सर्वर लॉगिंग कस्टम नहीं होता है, तो संभवतः आप नहीं पता होंगे कि हमलावर के पास POST अनुरोध में क्या था (POST डेटा सामान्य रूप से लॉग नहीं किया जा रहा है)।

अपने PHP की जांच करें, उदाहरण के लिए। इस तरह की एक स्क्रिप्ट का उपयोग करके:

<?php phpinfo(); 

PHP संस्करण पहली पंक्ति पर है, इसकी तुलना सीवी परिभाषा से करें। यदि आप एक कमजोर संस्करण का उपयोग कर रहे हैं, तो इसे ASAP अपडेट करें, सर्वर एपीआई लाइन भी देखें, यदि इसमें सीजीआई के साथ कुछ नहीं है तो आपको इस पल के लिए सुरक्षित होना चाहिए, लेकिन एक अप्रचलित PHP संस्करण का उपयोग करना कभी अच्छा नहीं होता है।

Answer 2

हमलावर अपने php विन्यास फाइल (php.ini) allow_url_include, सेफ_मोड अपडेट करने का प्रयास है अलग php विन्यास सेटिंग्स जो सुरक्षा के लिए महत्वपूर्ण हैं, इसलिए वे डिफ़ॉल्ट