phpstudy后门利用复现

实验环境：vm ware中win7，本机使用burp抓包

漏洞：程序包自带的PHP的php_xmlrpc.dll模块里右后门

影响的版本：phpstudy20106（5.4/5.2）2018（5.4/5.2）

 实验版本：phpstudy2016,php版本5.4.45

step1：在ext文件夹下有个php_xmlrpc文件，用记事本打开，ctrl+f，输入eval，可以找到如下内容，这就是后门代码：

step2：找到打开php5.4.45的配置文件，搜索php_xmlrpc，可以看到模块被开启（模块前面有;是没开启的），这样才能运行后门代码。

step3：使用Burp抓取连接php服务器的包，右键选择Send to Repeater,点击go，可以看到response中有返回内容

step4：需要修改请求包，其中Accept-Encoding:gzip, deflate中的,后面有个空格，给它删掉，按enter添加一行:Accept-Charset：（规定服务器返回的字符集），用Decoder工具对命令（例如：system('net user'); ）进行base64加密；

step5：把上个步骤的结果放到Accept-Charset：的后面，点击Go，Response就能看到结果，就是Windows下的net user命令，over！！！

 

 

来源：https://www.cnblogs.com/yyhfirstblog/p/11645017.html