淺談PHP中的「後門」

仲介交易 HTTP://www.aliyun.com/zixun/aggregation/6858.html">SEO診斷 淘寶客 雲主機 技術大廳

修改須謹慎,修改之後你將不會得到官方的任何更新資訊!

今天先去紅狼看了看我昨天問的問題,目前沒人能回答.收到管理員的消息,應該是群發的,SABLOG又出漏洞了.去官方一看,還是那個編碼的,跟DZ類似的漏洞.最近漏洞好多啊.

登錄BLOG後臺,果然彈出提示框了.我倒不怎麼關心提示框,SABLOG怎麼知道我的版本有漏洞呢,程式肯定有後門.每次登陸後臺自動檢測官方版本跟當前版本對比.嗯.後來找到了.在templates/admin/ main.php最後的一部分.刪掉如下代碼就OK了.

其實這個不足以導致被黑的,現在一般有點常識的,密碼都比較複雜,幾個數位+幾個字母,MD5的話一般很難跑出來.當然有彩虹表的話,另說...

<script type="text/javascript">

i=1;&nbsp;&nbsp; var&nbsp;autourl=new&nbsp;Array();&nbsp;&nbsp; autourl[1]&nbsp;=&nbsp;'www.sablog.net';&nbsp; &nbsp; autourl[2]&nbsp;=&nbsp;'cnc.sablog.net';&nbsp;&nbsp; function&nbsp;auto(url){&nbsp;&nbsp; &nbsp;&nbsp; &nbsp;&nbsp;if(i){&nbsp;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;i=0;&nbsp;&nbsp; &nbsp;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;var&nbsp;oHead&nbsp;=&nbsp;document.getElementsByTagName('head').item(0); &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;var&nbsp;oScript=&nbsp; document.createElement("script");&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; oScript.type&nbsp;=&nbsp;"text/javascript";&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; oScript.src&nbsp;=&nbsp;"HTTP://"+url+"/update.php?version=$now_version&amp;release=$now_release&amp;hostname= $now_hostname";&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;oHead.appendChild(oScript); &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;}&nbsp;&nbsp; }&nbsp;&nbsp; function&nbsp;run(){&nbsp;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;for(var&nbsp;i=1;i&lt; autourl.length;i++)&nbsp;{&nbsp;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;document.write("&lt;img &nbsp;src=HTTP://"+autourl[i]+"&nbsp;width=1&nbsp;height=1&nbsp;onerror=auto('"+autourl[i]+"')&gt;");&nbsp; &nbsp; &nbsp;&nbsp;&nbsp;&nbsp;}&nbsp;&nbsp; }&nbsp;&nbsp; run();&nbsp;&nbsp; &lt;/script&gt;&nbsp;&nbsp;

目前流行的程式裡,不止SABLOG一個,Discuz,DEDECMS都是有這樣的後門的.這樣的後門官方的真正用意很難說.為了讓使用者及時得到最新的補丁,最新的版本是一方面,其他的,隨便人家怎麼發揮了... 但是這個東西有好的一面,也有壞的一面,一旦官方被黑,後果可想而知,所有的使用者就被"批量掛馬"了.現在乾脆都給發出來吧.先來個DEDECMS的,標示出來的刪掉就行:/include/inc_functions.php

PHP代碼

function GetNewInfo(){       if(!isset($GLOBALS['__funAdmin'])) require_once(dirname(__FILE__)." /inc/inc_fun_funAdmin.php");     return SpGetNewInfo();   }  

/include/inc/inc_fun_funAdmin.php

PHP代碼

function SpGetNewInfo(){       global $cfg_version;       $nurl = $_SERVER["HTTP_HOST"];       if( eregi("[a-z\-]{1,}\.[ a-z]{2,}",$nurl) ){ $nurl = urlencode($nurl); }       else{ $nurl = "test"; }       $gs = "&lt;iframe name='stafrm' src='HTTP://www.dedecms.com/newinfo.php?version=".urlencode($cfg_version)." &amp;formurl=$nurl' frameborder='0' id='stafrm' width='100%' height='50'&gt;&lt;/iframe&gt;";       return $gs;   }  

dede/index_body.php(其中dede為後臺目錄)

PHP代碼

&lt;div class="bodytitle"&gt;       &lt;div class="bodytitleleft"&gt;&lt;/div&gt;       &lt;div class="bodytitletxt"&gt;De deCms最新消息&lt;/div&gt;   &lt;/div&gt;   &lt;table width="96%" border="0" align="center" cellpadding="0" cellspacing="0"&gt ;       &lt;tr&gt;&lt;form name="uploadspider" action="upload_spider.php" method="post"&gt;           &lt;td height="80" class="ma in_dnews"&gt;               &lt;?php echo GetNewInfo()?&gt;        &lt;/td&gt;            &lt;/form&gt;       &lt;/tr&gt;   &lt;/table&gt;  

　　再把DZ的"後門"發出來吧.admin\global.func.php裡面查找"function cpfooter",替換成如下的function:本站:臨沂電腦網 歡迎同類網站友情連接 JavaScript代碼