标签: PHP

新的 PHP 漏洞可能使黑客入侵在 Nginx 服务器上运行的网站

如果您正在 NGINX 服务器上运行任何基于 PHP 的网站,并且启用了 PHP-FPM 功能,请当心最近新公开的一个漏洞,黑客有可能利用这个漏洞远程入侵您的网站服务器。 PHP-FPM 是一个PHPFastCGI管理器,可为用 PHP 编程语言编写的脚本提供高级且高效的处理。 主要漏洞是 PHP-FPM 模块中的“ env_path_info”下溢内存损坏问题,攻击者可能借助这个漏洞在易受攻击的 Web 服务器上远程执行任意代码。 尽管公开发布的PoC漏洞专门针对运行PHP 7+版本的易受攻击的服务器,但PHP-FPM下溢错误也影响到了早期的PHP版本,并且可以采用其他方式进行武器化。 简而言之,如果存在以下情况,则网站容易受到攻击: NGINX经过配置,会将PHP页面请求转发到PHP-FPM处理器, fastcgi_split_path_info指令存在于配置中,并且是以’^’符号开头和以’$’符号结尾的正则表达式, PATH_INFO变量是使用fastcgi_param指令定义的, 没有诸如try_files $ uri = 404或if(-f $ uri)之类的检查来确定文件是否存在。 受影响的提供商之一就是Nextcloud,该公司昨天发布通知,警告其用户“Nextcloud NGINX的默认配置也会受到此漏洞影响”,并建议管理员立即采取行动。 在专家们向PHP开发人员小组报告该漏洞近一个月后,该漏洞补丁已于10月25号发布。 即使当前的配置不会受到攻击,用户也最好将PHP更新到最新的PHP 7.3.11和PHP 7.2.24。   消息来源:TheHackerNews, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

PHP 5 将于年底停止更新,六成用户将面临安全风险

网络技术应用研究公司 W3Techs 近日表示,根据所有网站使用 PHP 版本的情况,从2019年1月1日起,有近62%的网站将会因为无法获得安全更新,而受到恶意攻击。 根据 W3Techs 的调查,从本月 15 日开始,其研究的网站样本中使用的 PHP 的比例高达 78.9%,使用 PHP 5 的网站的比例达到 61.8%。 在子版本中,使用 PHP 5.6 版的网站的比例为 41.5%,使用版本5的比例最高。 根据 PHP 官方网站列出的支持版本及时刻表(如下),PHP 5.6 于 2014 年发布,主要支持已于2017年1月19日关闭,安全支持将于2018年12月31日终止。即两个半月后,使用 PHP 5.6 版本的网站将不再收到安全漏洞或错误更新,除非用户支付操作系统供应商的更新服务费用。 如果黑客发现并利用旧版 PHP 中的漏洞,可能会使数百万个网站和用户陷入危险。 事实上,PHP 5.6 的主要及安全更新期早就结束,但因使用的网站较多,因此,PHP 维护组织曾一度分别延长其支持时间。 有些人将这种情况描述为 PHP 定时炸弹。 较新的 PHP 7.0 将不再在今年12月1日的 EOL(生命周期结束)提供安全支持。 即便是版本 7.1 也将于12月1日终止。一年后结束安全支持。 目前三大网站内容管理系统(CMS)项目中,只有 Drupal 宣布从明年3月6日起,Drupal 支持网页最低要求 PHP 7,建议采用 7.1 版。Joomla 推荐使用 5.6 或更高版本,支持下限为 5.3.10。 WordPress 建议使用 PHP 7.2 或更高版本,最低支持5.2.4。 根据 ZDNet 报道,WordFence 安全组件研发主管 Sean Murphy 表示,PHP 漏洞利用的主要目标不是在 PHP 本身,而是在 PHP 库和 CMS 系统中,但其他安全专家认为,等截止日期到来,黑客就会积极利用 PHP 5.6 中的漏洞的。   稿源:开源中国,编译自:ZDNet、JAXenter,封面源自网络;

PHP 现反序列化漏洞,或使 WordPress 遭远程攻击

英国安全公司 Secarma 的研究主管 Sam Thomas 本月在 Black Hat 和 BSides 安全会议上展示了 PHP 编程语言的安全漏洞,并指出该漏洞影响了所有接受用户资料的 PHP 应用程序和库,包括 WordPress 等内容管理系统(CMS),并将允许远程程序攻击。 序列化(Serialization)与反序列化(Deserialization)是所有编程语言都具备的功能,序列化将对象转换为字符串,以将数据迁移到不同服务器,服务或应用程序上,然后通过反序列将字符串还原到对象。 安全研究员 Stefan Essar 在 2009 年就透露了 PHP 中反序列化黑客控制的数据带来的风险,而相关的漏洞不仅存在于 PHP 中,还存在于其他编程语言中。 Thomas 公布的是 PHP 的新攻击技术,可用于各种场景,例如 XML External Entity(XEE)漏洞或服务器端伪造请求(SSFR)漏洞等。 Thomas 表示,过去外界认为 XXE 漏洞带来的最大问题是信息外泄,但现在可出发程序执行。相关攻击分为两个阶段。 首先,将包含恶意对象的 Phar 存档上传到攻击目标的本地文件系统,然后触发一个基于 phar:// 的文件操作,就可能导致恶意程序执行。 Thomas 已利用 PHP 的反序列化程序成功攻击了 WordPress 与 Typo3 内容管理平台,以及 Contao 所采用的 TCPDF 库。   稿源:开源中国社区,封面源自网络;

大规模 EvilTraffic 恶意广告活动感染数万 WordPress CMS 网站

外媒 1 月 22 日消息,CSE Cybsec 的恶意软件专家发现了一个大规模的恶意广告运动 EvilTraffic,利用数万个受感染的网站开展攻击。据悉,黑客在此次攻击活动中利用了一些 CMS 漏洞上传和执行用于通过广告创收的任意 PHP 页面。 研究人员介绍,参与恶意软件 EvilTraffic 活动的受感染网站运行着 WordPress CMS 的各种版本,一旦网站遭到入侵,攻击者将上传一个包含所有恶意文件的 “ zip ” 文件。尽管 “ zip ” 文件对于每一种感染都有不同的名称,但是在未压缩时,它所包含的文件始终具有相同的结构。经过研究人员分析,目前这些文件还没有被使用。 恶意文件可能被插入到相同恶意软件不同版本的路径下(“ vomiu ”,“ blsnxw ”,“ yrpowe ”,“ hkfoeyw ”,“ aqkei ”,“ xbiret ”,“ slvkty ”)。该文件夹包含以下内容: ① 一个名为 “ lerbim.php ” 的 php 文件; ② 一个与父目录具有相同的名称的 php 文件,; 它最初只有 “  .suspected ” 扩展名,只有在第二次使用 “ lerbim.php ” 文件的时候才会在 “ .php ” 文件中被修改; ③ 两个名为 “ wtuds ” 和 “ sotpie ” 的目录,其中包含一系列文件。 下图显示了这种结构的一个例子: EvilTraffic 活动中使用的“ 恶意软件 ”主要目的是通过至少两台产生广告流量的服务器触发重定向链。 文件 “ {malw_name} .php ” 成为所有环境的核心:如果用户通过网页浏览器接触到它,它首先将流量重定向到“ caforyn.pw ”,然后再重定向到 “ hitcpm.com ”,充当一个不同的网站注册到这个收入链的调度员。 这些网站可以被攻击者用来提供商业服务,目的是为其客户增加流量,但是这种流量是通过损害网站的非法方式产生的。除此之外,这些网站还可以提供虚假页面来下载虚假的东西(比如工具栏、浏览器扩展或伪反病毒)或者窃取敏感数据(即信用卡信息)。 为了提高网站的知名度,被攻陷的网站必须在搜索引擎上拥有良好的排名。因此,恶意软件通过利用包含趋势搜索词的词汇表来执行 SEO 中毒。 目前 CSE CybSec ZLab 的研究人员发现了大约 18,100 个受感染的网站。当研究人员分析 EvilTraffic 的恶意广告活动时,他们意识到最初几个星期内使用的被感染的网站在最后几天都被清理干净了。仅在一周之内,受影响的网站数量从 35 万个下降到 18 万个左右。 根据 Alexa Traffic Rank 的数据,hitcpm.com 排名世界第 132 位,全球互联网用户访问量约为 0.2367% 。以下是 hypestat.com 网站提供的与 hitcpm.com 相关的流量统计数据: 分析显示 2017 年 10 月份的流量呈指数增长。目前专家还发现恶意软件通过各种方法分发,例如: ① 附件垃圾邮件 ② 通过不可靠的网站下载免费程序 ③ 打开 torrent 文件并点击恶意链接 ④ 通过玩网络游戏 ⑤ 通过访问受影响的网站 恶意软件的主要目的是劫持网页浏览器设置,如 DNS,设置,主页等,以便尽可能多地将流量重定向到调度器站点。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

漏洞预警:vBulletin Forum v5 中的两个高危代码执行漏洞尚未修复(含 POC)

HackerNews.cc 12 月 18 日消息 ,安全研究人员上周披露了影响 vBulletin 论坛 CMS 版本 5 的两个代码执行漏洞,直至目前漏洞尚未得到修复。研究人员表示希望供应商能够在黑客开始利用这些安全漏洞攻击 vBulletin 之前尽快发布补丁。 vBulletin 是一个基于 PHP 和 MySQL 数据库服务器的专有互联网论坛软件包, 在互联网上为超过 10 万个网站提供支持,其中包括《 财富》 500 强和 Alexa 排名前 100 万的公司网站和论坛。 据悉,这些漏洞是由意大利安全公司 TRUEL IT 的一名专家和一位独立安全研究人员发现的,他们于近期公开了漏洞细节。 第一个漏洞是 vBulletin v5 的远程代码执行漏洞,无 CVE【内含 POC】 攻击者可以将恶意的 PHP 代码包含到服务器上的文件中,例如 access.log,只需在精心构造的请求中使用 [routestring =参数]来包含该文件即可执行恶意代码。 第二个漏洞是 vBulletin v5 的反序列化漏洞( CVE -2017- 17672 )【内含 POC】) 这个漏洞是由于为用户提供的输入上对  PHP 的 unserialize() 的不安全使用,导致未经身份验证的攻击者能够删除任意文件,并且在 vBulletin 安装上执行任意代码。 研究人员解释称,vB_Library_Template 的 cacheTemplates() 函数是一个公开的 API,允许从数据库获取一组给定模板的信息以便将它们存储在缓存变量中。 $ temnplateidlist 变量可以直接从用户输入提供给 unserialize(),从而导致出现反序列化问题。 对于这两个漏洞,研究人员发布了概念验证(PoC)代码来解释其严重程度,并且于 11 月 21 日通报给了 vBulletin 开发团队。尽管 vBulletin 开发团队表示会尽快修复这些漏洞,然而直至目前官方仍未发布有效补丁。 消息来源: Security Affairs ,编译:榆榆,校审:FOX 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

邮件发送工具 PHPMailer 曝高危远程代码执行漏洞

波兰安全研究员 Dawid Golunski 发现流行的邮件发送工具 PHPMailer 存在严重漏洞 (CVE-2016-10033),允许攻击者远程在 web 服务器环境中执行任意代码,对目标 Web 应用程序造成危害。攻击者可利用 PHPMailer 漏洞针对需发送邮件的普通网站组件。如反馈表单、注册表单、邮件密码重置表单等。PoC详情 PHPMailer 是一个强大的 PHP 编写的邮件发送类。全球有超过 900 万用户使用该工具,数百万 PHP 网站和开源 Web 应用程序包括 WordPress、Drupal、1CRM、Joomla 都使用它发送邮件。该工具还能发送附件和 HTML 格式的邮件,同时还能使用 SMTP 服务器来发送邮件。 漏洞影响 PHPMailer 5.2.18 之前的版本都受到影响。 漏洞修复 PHPMailer 的供应商紧急修复漏洞发布最新版本 PHPMailer 5.2.18,用户需及时更新升级避免被恶意利用。   稿源:HackerNews.cc 翻译整理,封面来源:百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。