[Админам] Выполнение произвольного кода на серверах с PHP CGI

01-07-2014, 12:10 PM

Выполнение произвольного кода на серверах с PHP CGI

Еще в прошлом году нашелся пожалуй, самый эпичный баг в истории PHP. Уязвимость позволяет атакующему выполнить произвольный код, используя лишь адресную строку браузера, на любом сервере, где PHP работает как CGI. Нашла уязвимость голландская команда Eindbazen, известная по своим выступлениям на различных CTF. И как сообщает сайт habrahabr.ru, данная уязвимость была не заметна почти 8 лет.

Особо описывать ее не буду, если хотите получить более подробную информацию прочитайте это:

От себя скажу, что я лично столкнулся с этим. В прошлом году мне один пользователь таким образом через один уязвимый скрипт на моем форуме получил данные от базы данных, не форума а от другого продукта использующегося на моем форуме и имеющий отдельную базу, то есть предоставил мне данные подключения к моей базе. примерно такого вида

и в кратце объяснил как это получил.

Чтобы закрыть эту уязвимость необходимо по словам habrahabr.ru обновить до PHP 5.3.12 или PHP 5.4.2.
Если нет возможности обновиться, то можно в главной директории сайта прописать в .htaccess следующее:

Code:

RewriteEngine on
RewriteCond %{QUERY_STRING} ^[^=]*$
RewriteCond %{QUERY_STRING} %2d|\- [NC]
RewriteRule .? - [F,L]

p.s. почему то я этого не нашел на этом форуме, хотя знать должен каждый сайтостроитель.