php后门检测工具,php后门检测工具是什么

PHPStudy后门事件分析

事件概述：国内知名PHP调试环境程序集成包“PhpStudy软件”遭到黑客篡改并植入了“后门”。截至案发，已有超过67万用户被控制，黑客非法获取了10万多组数据，并非法牟利600多万元。后门功能：该“后门”具有控制计算机的功能，可以远程控制下载并运行脚本，从而收集用户的个人信息。

后门功能分析包括两个PHP脚本：一个用于模拟GET请求，另一个则内置了域名表和端口表，通过遍历发送数据。执行流程和构造有效载荷的细节则需根据具体原理进行构建。为了验证漏洞的存在，可以使用漏洞插件，如长亭科技xray社区漏洞扫描器。此插件能够帮助快速验证受影响的站点，并提供相应的检测规则和链接。

此案揭示黑客早在2016年就潜伏并利用“后门”侵入PhpStudy的官网，篡改软件安装包。该“后门”具有控制计算机的功能，可远程控制下载运行脚本收集用户个人信息。大量电脑被利用，用户账号密码、设备数据、敏感信息被远程抓取。

漏洞概述 该漏洞被评定为高危等级，影响phpStudy中的特定版本，包括php17和php45。 漏洞源于php_xmlrpc.dll文件，攻击者可以通过该漏洞执行任意PHP命令。 识别方法 在相关文件中查找特定字符串“@eva”，若存在此字符串，则表示系统存在后门。

针对phpStudy中的RCE漏洞，攻击者可以利用该漏洞执行PHP命令，被称作phpStudy后门。此漏洞等级被评定为高危，影响的版本包括php-17和php-45中的php_xmlrpc.dll文件。识别漏洞的方法是在相关文件中查找特定字符串“@eva”，存在此字符串则表示存在后门。

PHPStudy存在一个严重漏洞，编号为phpstudy_2016-2018_rce，威胁级别极高。漏洞允许攻击者通过恶意利用，执行PHP命令，构成后门风险。受影响的版本包括phpStudy 2016和phpStudy 2018。在Windows Server 2016环境中安装phpStudy后，可以通过浏览器访问其Web服务，确认安装成功。

.user.ini文件结成的PHP后门

在网络安全中，.user.ini文件常常被用作创建PHP后门的一种方法。相较于.htaccess文件，.user.ini更为通用，适用于Nginx、Apache以及IIS等不同的服务器环境，只要使用fastcgi运行PHP，皆可使用此方法。作者在多款服务器上进行了测试，并总结了.user.ini文件的使用与特性。

本文将通过在IIS0+Fastcgi+PHP3和nginx+fpm+php3环境中进行测试，验证使用.user.ini和包含webshell的0gif文件来注入后门的可行性。结果表明，即使在限制上传.php文件的环境中，通过部署.user.ini文件和图片马（包含webshell），仍能成功获取shell权限。

.user.ini实际上允许用户自定义php.ini配置，通过用户自定义设置，可制造后门。具体方法为直接在.user.ini文件中编写。对于“Pass-06/index”页面，通过查看提示与文件源码，发现将多种后缀名包括.php，.php5等进行过滤，但并未对后缀名进行统一转换为小写。因此，考虑尝试后缀名大小写绕过方法。

如何检测固件是否存在后门

路由器后门是指可用于非法进入路由器的一些漏洞或密码。这些后门可以被利用来访问路由器并更改一些设置，甚至可以安装恶意软件。这种漏洞可能会使家用或办公场所的路由器受到攻击，因此对于家用或小型企业来说，保护路由器的安全非常重要。路由器后门的存在会给网络安全带来很多问题。

低价安卓手机可能存在后门： 如安全公司Kryptowire所揭露，某些在美国销售的低端Android手机固件中，存在被中国公司服务器抓取大量私人信息的后门。这表明，低价安卓手机确实存在被植入后门的风险，可能导致用户个人数据泄露。

事实上，这项安全研究（PDF）路由器制造商的安全方案主要从五个维度进行评估，包括上次固件发布时间和路由器运行时间OS版本号有多新，漏洞使用的缓解技术有多好，私钥是否可靠，后门登录账号是否有硬编码。结论是，与操作系统制造商相比，路由器制造商的安全更新远低于台式机和服务器操作系统的行业标准。

D-Link路由器的安全漏洞被曝光，存在严重后门风险。近期，研究人员在D-Link DIR-100路由器的固件中发现了一个潜在的问题，这个漏洞可能导致未经授权的访问。

D-Link路由器被发现存在严重安全漏洞，固件中的后门问题引发关注。近日，一项报告显示，D-Link的部分路由器型号，如DIR-100，存在显著的安全漏洞。黑客可以通过更改浏览器用户代理字符串，设置为特定代码，进而绕过常规授权流程，无需登录即可访问路由器的网络配置界面。