Qualcuno può spiegare questo attacco di iniezione di codice php a me?

Question

Ho ricevuto richieste di URL imprevisti sul mio server.

In particolare uno per /%70%68%70%70%61%74%68/%70%68%70?%2D%64+%61%6C%6C%6F%77%5F%75%72%6C%5F%69%6E%63%6C%75%64%65%3D%6F%6E+%2D%64+%73%61%66%65%5F%6D%6F%64%65%3D%6F%66%66+%2D%64+%73%75%68%6F%73%69%6E%2E%73%69%6D%75%6C%61%74%69%6F%6E%3D%6F%6E+%2D%64+%64%69%73%61%62%6C%65%5F%66%75%6E%63%74%69%6F%6E%73%3D%22%22+%2D%64+%6F%70%65%6E%5F%62%61%73%65%64%69%72%3D%6E%6F%6E%65+%2D%64+%61%75%74%6F%5F%70%72%65%70%65%6E%64%5F%66%69%6C%65%3D%70%68%70%3A%2F%2F%69%6E%70%75%74+%2D%6E

Ciò sembra accadere ogni poche ore.

Ho eseguito l'URL attraverso http://www.url-encode-decode.com/ ed esce come:?

phppath/php -d allow_url_include = su safe_mode -d = off -d suhosin.simulation = on disable_functions -d = "" - d open_basedir = none -d auto_prepend_file = php: // input -n

Cosa sta tentando di fare l'attaccante qui?

Answer 1

attaccante sta cercando di fare uso di CVE-2012-1823, questo si applica solo se il tuo PHP è usato in modalità CGI (mod_php non è vulnerabile a questo).

Utilizzando l'opzione -d injection to PHP binary attacker disabilita vari meccanismi di protezione che il tuo PHP potrebbe avere in esecuzione ed esegue codice PHP direttamente usando auto_prepend_file (esegue automaticamente il codice PHP prima di elaborare qualsiasi file PHP), mentre php: // input è un flusso di dati di richiesta POST.

A meno che la registrazione del server Web non sia personalizzata, probabilmente non si scoprirà quale attacco ha avuto nella richiesta POST (i dati POST non vengono registrati normalmente).

Controlla il tuo PHP, es. utilizzando uno script come questo:

<?php phpinfo(); 

versione di PHP è sulla prima riga, che confronta la definizione CVE. Se si sta utilizzando una versione vulnerabile, aggiornarla al più presto, cercare anche la linea API API del server, se non contiene qualcosa con CGI per il momento si dovrebbe essere al sicuro, ma l'uso di una versione PHP obsoleta non è mai buona.

Answer 2

attaccante è cercare di aggiornare il file di configurazione di PHP (php.ini) allow_url_include, safe_mode sono diverse impostazioni di configurazione di PHP che sono importanti per la sicurezza, in modo che siano disabilitati di default