「预警」程序员要当心 PhpStudy被曝植入“后门”

首席发言人 04-01 144

前言：

现时兄弟们对“phpstudy 下载”大体比较着重，朋友们都想要知道一些“phpstudy 下载”的相关资讯。那么小编在网摘上汇集了一些关于“phpstudy 下载””的相关知识，希望朋友们能喜欢，朋友们快快来了解一下吧！

近日，国内知名PHP调试环境程序集成包“PhpStudy软件”被曝遭到黑客篡改并植入“后门”，该事件引起广泛关注，亚信安全也对此进行了跟踪和调查，亚信安全专家在PhpStudy 2016和2018两个版本中同时发现了“后门”文件，该“后门”位于PhpStudy安装目录中php->ext中的php_xmlrpc.dll文件。目前，网络中仍然有超过1500个存在“后门”的php_xmlrpc.dll文件，这些被植入后门的PhpStudy软件通常隐藏在软件下载站点和博客中。亚信安全将这些被篡改的后门文件命名为Backdoor.Win32.PHPSTUD.A。

PhpStudy软件是国内的一款免费的PHP调试环境的程序集成包，通过集成Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer多款软件一次性安装，无需配置即可直接安装使用，具有PHP环境调试和PHP开发功能，在国内有着近百万PHP语言学习者、开发者用户。

详细分析

php_xmlrpc.dll文件分析

通过查看该库文件的字符串，安全专家发现其包含了可疑的eval字符串。

该字符串所在的函数中通过调用PHP函数gzuncompress来解压相关shellcode数据。同时安全专家查看该文件的数据节区，也发现存在一些加密的字符串。

通过进一步的分析，该函数解压的shellcode是存放在C028到C66C区间内。

部分的shellcode硬编码。

Shellcode后门分析

安全专家对其shellocde进一步处理，先将相关数据dump到新的文件中，然后利用python格式化字符串，在php中利用gzuncompress函数解压。

解压后的shellcode如下图所示，是通过base64编码的脚本。

Base64解密后的脚本内容如下，链接后门进行GET请求。

事件追踪