找PHP授权软件中的后门的方法 - 华雨啦

找PHP授权软件中的后门的方法

作者头像

作者: 华雨啦

请牢记域名 huayula.com (华雨拉) 或 CTRL+D 收藏!

标签:

温馨提示:本站公开发布的资源供测试,更多高质量高价值的资源,可加入华雨拉官方群在群文件下载获取,并在第一时间获得有效的代码和资源,还可在群内提问互助交流!华雨拉官方QQ群:497385575 华雨啦交流群

摘要

对于很多靠卖PHP程序养家糊口的人来说,授权是必不可少的一部分,为了防止被他人恶意破解,通常还会加入一些后门留一手,可我们这种正版用户就不答应了,凭什么我付费买的程序居然还留着一个后门,万一哪天有Bug那我不就GG了么?

一.远程代码执行后门

这个相信大家都很熟悉了,eval等等函数都能实现,不过,特别提醒:在查杀时一定要注意以下几个函数,此类后门比较隐蔽,不容易被查杀(fwrite/file_put_contents+include(_once)/require(_once)

这类后门其实是利用写出一个PHP文件然后include导致的远程代码执行,以及,注意unserialize导致的PHP对象注入引起文件写入+ 远程代码执行

查杀方式:对于第一类后门,先使用webshell专杀工具杀掉,然后手动查杀顽固后门(先搜索fwrite/file_put_contents然后看看是否有对指定文件写入变量的功能,然后追溯到这个变量的来由,若发现出自$_GET $_POST $_SERVER["HTTP_xxxxx"],且输出后缀名为.php或include/require本文件或有任意include(通过GET参数include对应文件且可以够到通过file_put_contents类函数创建的文件(没有对目录过滤),则很可能为后门,此类后门解决方案如下:

对于include本文件的,尝试注释掉include语句并查看是否有影响正常功能,若影响,请删除注释符号然后对$_GET之类的过滤PHP代码

,然后搜索unserialize函数,若参数来自GET,则判断有后门,此类后门仅在PHP版本>7.0,使用第二个参数传入['allowed_classes' => [允许的类]或false]

来限制unserialize可以序列化的对象

 

二.管理员密码上传后门

这一个后门主要是影响CMS等有管理员后台的程序(比如某人开发的EMLOG模板中就包含了此后门),通过file_put_contents向网站目录中写入加密后的密码或通过file_get_contents/curl向授权服务器发送管理员用户名密码(不一定是用户名密码,比如数据库密码皆有可能)

解决方式:搜索以上字符串,若为函数则搜索这个函数名,直到找到未包含机密信息则可排除,若找到将机密信息随便乱改(比如后门获取数据库密码改为获取值888888)

亲爱的宝宝们!喜欢华雨拉(huayula.com)吗?喜欢就按 CTRL+D 收藏吧!
华雨啦(huayula.com)将持续测试与提供可用的QQxml、QQjson代码及网站源码,更新维护不易,期待您的支持!
如果要支持我们,可点击或扫描下面的二维码加入本站QQ群,加入可获得收藏级的工具和代码,新人有好礼相赠!


分享到:
请加群支持华雨拉!
未经允许不得转载:

作者: 华雨啦, 转载或复制请以 超链接形式 并注明出处 华雨啦
原文地址: 《找PHP授权软件中的后门的方法》 发布于2020-4-28

评论

切换注册

登录

忘记密码?

切换登录

注册

找PHP授权软件中的后门的方法

长按图片转发给朋友

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏

召唤伊斯特瓦尔