POC 2019年9月20日,网上传出 phpStudy 软件存在后门,随后作者立即发布声明进行澄清,其真实情况是该软件官网于2016年被非法入侵,程序包自带PHP的php_xmlrpc.dll模块被植入隐藏后门,可以正向执行任意php代码. 影响版本: phpStudy2016-php-5.2.17 phpStudy2016-php-5.4.45 phpStudy2018-php-5.2.17 phpStudy2018-php-5.4.45 后门存在于*\ext\php_xmlrpc.dll,

概述 近日,阿里云安全团队监控到Bulehero挖矿蠕虫进行了版本升级,蠕虫升级后开始利用最新出现的PHPStudy后门漏洞作为新的攻击方式对Windows主机进行攻击,攻击成功后会下载门罗币挖矿程序进行牟利.该挖矿程序会大肆抢占服务器CPU资源进行门罗币的挖掘,造成服务器卡顿,严重影响正常业务运行,甚至造成业务终端.关于该蠕虫最早曝光于2018年7月,蠕虫自出现后频繁更新,陆续加入多达数十种的的攻击方式,可以预计该黑客团伙将会不断的寻找新的攻击方式来植入其恶意程序.建议用户及时排查自身主机是否

一.工具和平台 主要工具: Kali Linux Ghidra 9.0.4 010Editor 9.0.2 样本环境: Windows7 phpStudy 20180211 二 .分析过程 先在 Windows 7 虚拟机中安装 PhpStudy 20180211,然后把安装完后的目录拷贝到 Kali Linux 中. 根据网上公开的信息:后门存在于 php_xmlrpc.dll 文件中,里面存在“eval”关键字,文件 MD5 为 c339482fd2b233fb0a555b629c0ea5d

参考文章:https://blog.csdn.net/qq_38484285/article/details/101381883 感谢大佬分享!! SSRF漏洞学习终于告一段落,很早就知道phpstudy爆出来有后门,爆出漏洞的过程好像还挺奇葩的,时间也不算很充裕,今天简单学习下. 影响版本 目前已知受影响的phpStudy版本 phpstudy 2016版php-5.4 phpstudy 2018版php-5.2.17 phpstudy 2018版php-5.4.45 后门位置phpStudy

Kali Linux Web后门工具 Kali的web后门工具一共有四款,今天只介绍WebaCoo 首先介绍第一个WeBaCoo(Web Backdoor Cookie) WeBaCoo是一款隐蔽的脚本类Web后门工具.借助HTTP协议,它可在客户端和Web服务器之间实现执行代码的网页终端.WeBaCoo的精妙之处在于,Web服务器和客户端之间的通信载体是Cookie.这就意味着多数的杀毒软件.网络入侵检测/防御系统.网络防火墙和应用程序防火墙都无法检测到后门的存在. 1.WeBaCoo有两种操

注:以下内容仅供学习使用,其他行为均与作者无关!转载请注明出处,谢谢! 本文将介绍 Kali 2.0 版本下的三款Web后门工具:WebaCoo.weevely.PHP Meterpreter,这类工具通常用于维护控制权. 实验环境: ● KALI 的IP地址是192.168.44.138: ● Metasploit的IP地址是192.168.44.130 ; 一. WeBaCoo WeBaCoo(Web Backdoor Cookie)是一款隐蔽的脚本类Web后门工具.借助HTTP协议,它可在

1.Meterpreter 它是Metasploit框架中功能强大的后渗透模块.可以通过Meterpreter的客户端执行攻击脚本,远程调用目标主机上运行的Meterpreter服务端. 命令 作用 sessions   查看会话ID信息 idletime 显示目标主机截止当前无操作命令的时间 webcam_snap  抓取目标主机的摄像头,将拍摄的内容保存到本地 run checkvm 检查目标主机是否是虚拟机 rdesktop 执行rdesktop -u username -p passwo

JSP文件管理后门工具jsp-file-browser   在网页后门中,快速浏览服务器文件非常重要.为此,Kali Linux新增了一款JSP后门工具jsp-file-browser.该工具提供所有的文件管理功能,如创建.复制.移动.重命名.删除文件.同时,它还支持图片.视频.PDF.网页.压缩文件的浏览功能.渗透测试人员可以借助该工具,直接修改服务器上的文本文件.同时,该工具还提供文件上传/下载.本地Shell.访问控制等功能.

Web后门工具WeBaCoo   WeBaCoo是使用Perl语言编写的Web后门工具.渗透测试人员首先使用该工具生成一个后门PHP页面.然后,将该页面上传到目标服务器上.最后,在本地终端直接访问该页面,WeBaCoo将执行的命令Base64编码后,借助Cookie的方式提交给服务器.后门页面通过解析Cookie,然后调用PHP系统函数进行执行,如system().shell_exec().exec()等.由于该页面不能设置密码,所以不适合长期的权限维持.

 网页后门工具laudanum laudanum是Kali Linux预先安装的Web Shell工具.它支持多种Web后台技术,如ASP.ASP.net .JSP.PHP.Coldfusion.它提供的后门可以提供DNS.文件系统.代理和Shell的访问.同时,它还针对WordPress搭建的网站,提供封装好的插件.渗透测试人员可以直接通过WordPress插件功能,实现后门的植入,并对服务器进行控制.

后门工具dbd   dbd功能类似于Netcat,但提供强大的加密功能,支持AES-CBC-128和HMAC-SHA1加密.该工具可以运行在类Unix和Windows系统中.渗透测试人员首先使用该工具在目标主机建立监听,构建后门.然后,再在攻击机使用该工具连接目标主机,执行Shell命令,从而达到控制目标主机的功能.为了安全,用户可以指定数据传输所使用的密钥,避免数据被窃听.除了作为后门工具,该工具还可以用于点对点的通信功能,如聊天等.

进程注入后门工具Cymothoa   Cymothoa是一款隐秘的后门工具.它通过向目标主机活跃的进程注入恶意代码,从而获取和原进程相同的权限.该工具最大的优点就是不创建新的进程,不容易被发现.由于该工具基于ptrace库,所以适合各种类Unix系统.该工具提供14种攻击载荷,可以实现各种攻击和后门.由于该后门是基于进程注入,所以当原有进程结束,后门也会被关闭.所以,渗透测试必须结合自启动脚本,注入到自启动服务中(如Web服务),才能使Cymothoa的脚本持久有效.

phpStudy后门漏洞利用复现 一.漏洞描述 Phpstudy软件是国内的一款免费的PHP调试环境的程序集成包,通过集成Apache.PHP.MySQL.phpMyAdmin.ZendOptimizer 多款软件一次性安装,无需配置即可直接安装使用,具有PHP环境调试和PHP开发功能,在国内有着近百万PHP语言学习者.开发者用户. 正是这样一款公益性软件,2018年12月4日,西湖区公安分局网警大队接报案称,某公司发现公司内有20余台计算机被执行危险命令,疑似远程控制抓取账号密码等计算机数据

Cymothoa是一款隐秘的后门工具. 发现网上对于Cymothoa的文章并不是很多,可是Cymothoa又是一款非常强大的后门工具,这里记录下Cymothoa的使用笔记. Cymothoa 是一款可以将 shellcode 注入到现有进程的(即插进程)后门工具.借助这种注入手段,它能够把shellcode伪装成常规程序.它所注入的后门程序应当能够与被注入的程序(进程)共存,以避免被管理和维护人员怀疑.将shellcode注入到其他进程,还有另外一项优势:即使目标系统的安全防护工具能够监视可执行

这几天遇到一个phpstudy后门的站之前没复现过,结果遇到了深坑记录一下 首先用这个脚本去验证是没问题的: https://github.com/NS-Sp4ce/PHPStudy_BackDoor_Exp 然后自己用burp怎么验证都出不来,找了半天终于发现了原因!!!!这个网上没有说的,真的烦!! 在头中,这个字段位置(不是cmd字段),deflate前面必须没有空格,而burp会自动添加,我们必须手动删掉!!!! "Accept-Encoding": "gzip,de

9月20号爆出Phpstudy存在隐藏后门,简单复现下后门效果 该文章仅供学习,利用方法来自网络文章,仅供参考 目标机:win7系统,安装phpstudy 2018版,php版本5.2或php 5.4 目标ip:192.168.20.131 被爆出存在后门的文件在php环境包下的5.2和5.4版本里都有,文件名为php_xmlrpc.dll 1,启动phpstudy,打开apache服务,php环境选择为5.2或5.4,php.ini配置文件需要引用eval所在文件,可以直接看配置文件,也可以p

写两个 一个批量检测的  一个交互式shell的 暂时py  图形化的qt写出来..有点问题 后门包 : GET / HTTP/1.1Host: 127.0.0.1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:55.0) Gecko/20100101 Firefox/55.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8Accept-

0x01 概述 Phpstudy软件是国内一款免费的PHP调试环境程序集成包,通过集成Apache.PHP.MySQL.phpMyAdmin.ZendOptimizer多款软件一次性安装,无需配置即可直接安装使用,具有PHP环境调试和PHP开发功能,在国内有着近百万PHP语言学习者.开发者用户 2018年12月4日,西湖区公安分局网警大队接报案称,某公司发现公司内有20余台计算机被执行危险命令,疑似远程控制抓取账号密码等计算机数据回传大量敏感信息. 通过分析,后门代码存在于/ext/php_xm

前段时间phpstudy被人发现某些版本存在后门,许多人就这样被当作肉鸡长达两年之久 后门隐藏在程序自带的php的php_xmlrpc.dll模块 影响的版本:phpstudy2016和2018 在H:\PhpStudy20180211\PHPTutorial\php\php-5.2.17\ext找到php_xmlrpc.dll 用notepad++打开,ctrl+f搜索eval 说明这个版本的phpstudy是由后门的 用firefox访问本地ip,用bp抓包,用ctrl+r送到repeate

本人转自:https://www.cnblogs.com/yuanshu/p/11613796.html 一.漏洞位置 程序自带的PHP的php_xmlrpc.dll模块中有隐藏后门,受影响的版本有phpstudy2016(php5.2/5.4).phpstudy2018(php5.2/5.4)等版本. 这里我们用phpstudy2018版本的来验证后门位置及作用. 二.步骤 Step1:切换php的版本到5.2或者5.4,在phpstudy的根目录下找到phpStudy\PHPTutorial

一.漏洞位置 程序自带的PHP的php_xmlrpc.dll模块中有隐藏后门,受影响的版本有phpstudy2016(php5.2/5.4).phpstudy2018(php5.2/5.4)等版本. 这里我们用phpstudy2018版本的来验证后门位置及作用. 二.步骤 Step1:切换php的版本到5.2或者5.4,在phpstudy的根目录下找到phpStudy\PHPTutorial\php\php-5.2.17\ext\php_xmlrpc.dll,使用记事本打开该文件,搜索eval.