š ️ PHP2Shell:当心余震

转发——来自 Vincent Strubel 的内容

⚠ PHP2Shell:当心余震

上周 PHP 严重漏洞的发布有些混乱,但这引发了全球范围内一次引人注目的动员,紧急为数量惊人的网站应用补丁。我们对此感到欣慰。

但我们不应过早认为问题已经解决:风险正在从网站转移到大量嵌入 PHP 版本(随意地出现在 Web 管理界面中)的第三方产品上:路由器、防火墙、工业控制器、广义上的联网对象……它们也必须更新。

一个有用的资源,可以避免淹没在这个问题的复杂性中:我们 🇳🇱 国家网络安全中心(NCSC-NL)同行的倡议,他们在 GitHub 仓库中整合了有关嵌入 PHP 产品更新的可用信息。

这使我们至少能在欧洲范围内联合我们的努力,并避免工作或信息的重复。向他们致敬并表示感谢!ANSSI 现在在其自己的警报中引用了这个仓库,并将其自己的信息注入到公共目录中。

GitHub 仓库:https://lnkd.in/eXTxysrt

LinkedIn 来源

文章 ⚠️ PHP2Shell:当心余震 首次发表于 les plumes qui mordent。



常见问题
常见问题 PHP2Shell 当心余震

问 什么是 PHP2Shell
答 这是一种攻击类型的名称,PHP 代码中的缺陷让攻击者能在你的服务器上运行自己的命令——通常是在相关漏洞被修复后紧接着发生。余震是在第一次攻击被修补之前或之后发生的后续攻击

问 这里的余震是什么意思
答 这是来自地震的比喻。一次利用之后,攻击者会继续探测遗留的漏洞、遗漏的文件或薄弱的补丁。那些后续打击就是余震——它们同样具有破坏性

问 PHP2Shell 是特定的 CVE 还是真实产品
答 不是。它是一个描述性标签,不是单个漏洞编号或工具。将其视为一种警告模式:导致 shell 执行的 PHP 缺陷加上后续攻击

问 攻击者如何从 PHP 进入 shell
答 通常通过不安全的输入处理——例如将用户输入传递给 system、exec、shell_exec、popen 或反引号,或通过文件上传、使用用户控制路径的 include/require,或反序列化漏洞。一旦代码运行,他们就能生成一个 shell

问 如果我已经修补了主要漏洞,为什么还要关心
答 因为余震针对的是你遗漏的东西:未修补的副本、备份文件、调试端点、缓存的代码或共享相同凭据的其他服务。干净的补丁无法撤销已经造成的损害

问 攻击的常见警告信号有哪些
答 意外的出站连接、Web 目录中新出现或更改的文件、异常的 cron 任务、未知用户或 SSH 密钥、异常进程以及错误日志或 500 错误的激增

问 如何检查我的应用是否存在漏洞
答 在代码中搜索危险函数,看是否有任何函数接收用户输入。还要检查文件上传、include 路径和 unserialize 调用。运行静态分析工具和依赖