本文主要分析了PHPStudy的后门问题，通过检查php_xmlrpc.dll文件，发现存在恶意代码，涉及eval和gzuncompress函数，可能导致远程代码执行。文章提到了受影响的PHP版本，并提供了漏洞验证的相关IOC，包括IP、域名和MD5值。
感谢pcat师傅的文章：https://mp.weixin.qq.com/s/dIDfgFxHlqenKRUSW7Oqkw
20号得知phphstudy有后门，不知道官网的是不是也被入侵了，当时没有进行查看，，，由于当时正在秋招面试比较忙，鸽了几天有了下文：
被中马的为php_xmlrpc.dll这个dll文件，这个可以通过查找泄露字符串很容易通过脚本实现，就不贴了，可以以eval为关键字来进行搜索
实际测试官网下载phpstudy2018版php-5.2.17和php-5.4.45存在后门
上图为IDA搜索字符串得到的数据，由此可以基本验证这个dll文件为可以文件，接下来要验证他的控制流
反向链接：判断ACCEPT_ENCODING如果
最低0.47元/天 解锁文章
扫一扫
1650
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
