原文：http://soft.antted.com/news/8

為臺(tái)江等地區(qū)用戶提供了全套網(wǎng)頁(yè)設(shè)計(jì)制作服務(wù)，及臺(tái)江網(wǎng)站建設(shè)行業(yè)解決方案。主營(yíng)業(yè)務(wù)為網(wǎng)站建設(shè)、網(wǎng)站制作、臺(tái)江網(wǎng)站設(shè)計(jì)，以傳統(tǒng)方式定制建設(shè)網(wǎng)站，并提供域名空間備案等一條龍服務(wù)，秉承以專業(yè)、用心的態(tài)度為用戶提供真誠(chéng)的服務(wù)。我們深信只要達(dá)到每一位用戶的要求，就會(huì)得到認(rèn)可，從而選擇與我們長(zhǎng)期合作。這樣，我們也可以走得更遠(yuǎn)！

背景

一篇《Phpstudy官網(wǎng)于2016年被入*，犯罪分子篡改軟件并植入后門》讓人觸目驚心，從官網(wǎng)的下載官方安裝包也會(huì)有問(wèn)題，由此可想而知目前已經(jīng)有多少網(wǎng)站已經(jīng)淪陷。接到消息的第一時(shí)間，我們對(duì)以前從官網(wǎng)下載的一個(gè)安裝包 phpStudySetup.exe 進(jìn)行了檢測(cè)，發(fā)現(xiàn) md5=fc44101432b8c3a5140fcb18284d2797，果然也已經(jīng)在涉及漏洞的列表中。

來(lái)自文章的原話：”據(jù)主要犯罪嫌疑人馬某供述，其于2016年編寫了“后門”，使用***手段非法侵入了軟件官網(wǎng)，篡改了軟件安裝包內(nèi)容。該“后門”無(wú)法被殺毒軟件掃描刪除，并且藏匿于軟件某功能性代碼中，極難被發(fā)現(xiàn)?！?/p>

技術(shù)上來(lái)講，是篡改了 phpStudy 的擴(kuò)展庫(kù)，我們從安裝包（md5=fc44101432b8c3a5140fcb18284d2797）檢測(cè)到的植入后門的 dll 為下面三個(gè)（其他安裝包可能有不同）：

• PHPTutorial/php/php-5.2.17/ext/php_xmlrpc.dll
• PHPTutorial/php/php-5.4.45-nts/ext/php_xmlrpc.dll
• PHPTutorial/php/php-5.4.45/ext/php_xmlrpc.dll

植入的后門主要是可以直接執(zhí)行遠(yuǎn)程代碼，危害極大，具體可參考《數(shù)十萬(wàn)PhpStudy用戶被植入后門，快來(lái)檢測(cè)你是否已淪為“肉雞”！》。

修復(fù)dll漏洞

此次的安全事故修復(fù)起來(lái)相對(duì)比較麻煩，因?yàn)椴恢酪言馐芎箝T的網(wǎng)站已經(jīng)泄露了什么，因?yàn)樵摵箝T能做的事情總結(jié)起來(lái)就一句話：什么都能干。

既然安全事故已經(jīng)發(fā)生，我們還是需要盡力補(bǔ)救。

phpStudy在第一時(shí)間已經(jīng)在官網(wǎng)給出了漏洞檢測(cè)和修復(fù)工具，可以直接下載，這個(gè)點(diǎn)個(gè)小心心。

順便說(shuō)一下：注意看左下角點(diǎn)擊下載的下載鏈接，不知道PHPStudy的官網(wǎng)小編有多粗心，下載文件的名稱為：phsptudy 安全自檢修復(fù)程序.exe ，phpStudy 都沒(méi)拼對(duì) T_T （2019年9月22日截圖）

下載完成之后，按照軟件的提示，選擇安裝目錄，然后開始檢測(cè)，這樣即可修復(fù)軟件本身的dll漏洞。

使用軟件檢測(cè)修復(fù)之后，我們對(duì)比了一下系統(tǒng)，發(fā)現(xiàn)更新了這三個(gè)dll文件，應(yīng)該就是被惡意篡改的文件。

網(wǎng)站易造成的漏洞排查

上面一個(gè)步驟只是修復(fù)了軟件本身的漏洞，但是其實(shí)你并不能知道，你的網(wǎng)站是否已經(jīng)被留有后門，如果已經(jīng)被留有后門，我們應(yīng)盡可能的找出來(lái)。

使用工具

比如推薦《D盾_防火墻》，對(duì)你的網(wǎng)站文件目錄進(jìn)行檢查，排除一些常見的漏洞問(wèn)題。

人工檢查

第二步就需要靠經(jīng)驗(yàn)，如果使用的是開源系統(tǒng)，可以和最原始的網(wǎng)站源代碼做對(duì)比，可自行找一下diff內(nèi)容對(duì)比工具。

這一步我們只是盡可能的找出已發(fā)現(xiàn)的問(wèn)題，并沒(méi)有通用的方案一定能找出所有問(wèn)題，所以需要在日常持續(xù)觀察異常情況。

安全修補(bǔ)

為了減少系統(tǒng)已產(chǎn)生的后門帶來(lái)的危險(xiǎn)，可以繼續(xù)做以下工作：

• 不需要對(duì)外開放的端口同一關(guān)閉，或者做IP訪問(wèn)限制，防止已有后門繼續(xù)和外界保持通訊
• 對(duì)于所有訪問(wèn)請(qǐng)求的URL進(jìn)行記錄（可以通過(guò)Apache或nginx訪問(wèn)日志記錄），定期分析所有的請(qǐng)求是否有異常情況

教訓(xùn)

多少次的安全事故提醒我們對(duì)待技術(shù)要有一顆敬畏之心，Antted 在遇到安全問(wèn)題是能第一時(shí)間響應(yīng)，一直致力于為大家提供一個(gè)最安全的網(wǎng)站系統(tǒng)。

參考

• 《數(shù)十萬(wàn)PhpStudy用戶被植入后門，快來(lái)檢測(cè)你是否已淪為“肉雞”！》：https://mp.weixin.qq.com/s/HtJIIlCnI_8VLfXm1A4GrQ
• 《Phpstudy官網(wǎng)于2016年被入*，犯罪分子篡改軟件并植入后門》：https://www.anquanke.com/post/id/187152

另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)cdcxhl.cn，海內(nèi)外云服務(wù)器15元起步，三天無(wú)理由+7*72小時(shí)售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國(guó)服務(wù)器、虛擬主機(jī)、免備案服務(wù)器”等云主機(jī)租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡(jiǎn)單易用、服務(wù)可用性高、性價(jià)比高”等特點(diǎn)與優(yōu)勢(shì)，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場(chǎng)景需求。

網(wǎng)站標(biāo)題：phpStudy后門如何檢測(cè)和修復(fù)-創(chuàng)新互聯(lián)
文章出自：http://aaarwkj.com/article2/pghoc.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供外貿(mào)網(wǎng)站建設(shè)、搜索引擎優(yōu)化、微信小程序、網(wǎng)站排名、網(wǎng)站建設(shè)、品牌網(wǎng)站設(shè)計(jì)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)