我的主機windows server安裝xampp
我很納悶
在這一直被上傳這個檔 c:\xampp\htdocs\admin.php
內容
xampp一直被植入惡意php程式

在這被上傳這個檔 c:\xampp\htdocs\xxxx\rufzf.php (xxxx是任一資料夾,且檔名會變)
內容只有一行
xampp一直被植入惡意php程式

我的問題
1.他是怎麼上傳的?
2.這檔是什麼作用?
3.我有什麼漏洞被上傳?以前還看到挖礦的.exe檔上傳進來
4.我該怎麼防堵?
4.Google以上都看不到相關資訊,可在哪裡可以參考這些駭客資訊?
我現在只能寫支程式每天掃描,一發現非法上傳的檔立即通知我再手動刪除
但這不是辦法啊!
這駭客這麼厲害
謝謝!
文章關鍵字
ren1244
這個跟樓主的問題應該沒有直接關連
第一個檔案 admin.php 他是用到字串 xor 運算做混淆
翻譯過來大概是下面這樣



他植入這個檔案讓他自己可以透過遠端 request 執行他想要的指令
你可以先禁用 eval 函數

另外因為 eval 能做的事情太多了
所以你資料庫的密碼要改,系統最好也要重灌再上線

如果資料庫有會員的敏感資料
可能要跟老闆討論一下萬一出事的話要怎麼處理法律上的問題
我裝xampp也是被植入惡意php,後來把htdoc設為唯讀就沒遇過了,只不過要修改php比較麻煩。
最好還是把htdoc指向可以硬體防寫的隨身碟(淘寶有賣NT$300 32GB),比較方便修改,而且硬體防寫更安全。
找個掃描服務先去指定你的位址
 看還有開什麼沒注意的port吧

然後注意一下連入服務都是那些port
都是那些國家的ip
全部檔掉

現在你可以限制兇手是台灣人了
這不是今年6/8日發生的事嗎?
你看一下那些php的日期是不是6/8。
可手動更新 php 目錄下的檔案,
或修改 httpd-xampp.conf 把這一行給註解掉,
# ScriptAlias /php-cgi/ "C:/xampp/php/"
建議還是更新 php 目錄即可。
golihi
最早日期忘了,一直有發生,直到現在都有。已註解,再觀察,謝謝!
golihi
在這裡 https://www.apachefriends.org/zh_tw/download.html ,應該是相同的,找個時間更新一下
blueled wrote:
xampp 是在那裡下載的?


xampp 的 php 漏洞仍未修補,
畢竟只對 繁簡日韓 Windows系統有影嚮。
所以現在還要用xampp的人,
裝完的第一件事就是手動更新覆蓋php目錄下的檔案。
blueled
wamp 可以試試看。
找到這個可能有關
PHP CGI 遠程代碼執行漏洞分析
PHP更新吧
影響範圍
PHP 8.3 < 8.3.8
PHP 8.2 < 8.2.20
PHP 8.1 < 8.1.29
其他版本的PHP官方已不在維護,建議根據實際情況升級到安全版本或者關閉php-cgi的使用。
文章分享
評分
評分
複製連結

今日熱門文章 網友點擊推薦!