Php 发现我的网站有漏洞，如何利用它来攻击我？

大约一个月前，我的网站被黑客入侵。我的主机没有很好的日志，所以我不知道具体访问了什么。黑客在我们的IRC中声称他使用了某种RCE（远程代码执行），但拒绝详细说明。无论他做了什么，他都会将一个模糊的php脚本上传到该站点，并假设自己控制了该数据库，然后让自己成为该站点的管理员用户

我使用的框架称为kusaba，版本为0.9.3。以前的版本有多个报告的漏洞，在本版本中进行了修补

有一个网站是用西班牙语写的，上面提到了一个漏洞（见下文），但我不能让它正常工作，除非我正在做

https://translate.google.com/translate?sl=auto&tl=en&js=y&prev=_t&hl=en&ie=UTF-8&u=http%3A%2F%2Fvammm.wordpress.com%2F2012%2F09%2F07%2Fkusaba-x-0-9-3-0day-xss%2F&edit-text=&act=url

我将给定的代码发布到html文档中，在脚本标记内，并在线访问该页面。没有什么。尝试访问下面的直接链接，该链接也不起任何作用

\%27%29%3B%22%3E%3C%2Fa%3E%3Cscript%3Ealert%28文档。cookie%29%3B%2F*a*%2F%3C%2Fscript%3E%3C--

---

鉴于上述参数，他是如何上传shell的？我怎样才能阻止它呢？

听上去，你已经被本地黑客攻击了。我的建议是，更改所有密码，您需要有一个包含1个或多个大写字母、1-2个数字字母和1-2个特殊字符的密码，例如使用shift按钮的1-0。！@$%^&*()_+. 这是你能买到的最好的证券。否则，您将被留下供使用。许多预先制作的脚本都有非常明显的错误。可以采取很多安全措施。老实说，学习如何编码。99%的问题被过度显示。暴力可能在某些时候起作用，但对于聪明的美国人，你不得不等待。

即使不是你在问题中提到的未记录的

threadwatch.php

漏洞，攻击者也可能使用了以下漏洞：

Kusaba 1.0.4及更早版本中存在多个不受限制的文件上载漏洞，允许远程身份验证用户通过使用（1）load_receiver.php或（2）shipainter action to paint_save.php上载具有可执行扩展名的文件来执行任意代码，然后通过直接请求访问用户目录中的该文件来访问上载的文件

Kusaba“paint_save.php”远程代码执行漏洞

Kusaba容易出现远程代码执行漏洞，因为应用程序无法正确清理用户提供的输入

利用此问题，攻击者可以使应用程序在Web服务器上下文中执行任意代码

Kusaba 1.0.4易受攻击；其他版本也可能受到影响

Kusaba“load_receiver.php”远程代码执行漏洞

Kusaba容易出现远程代码执行漏洞，因为应用程序无法正确清理用户提供的输入

利用此问题，攻击者可以使应用程序在Web服务器上下文中执行任意代码

Kusaba 1.0.4易受攻击；其他版本也可能受到影响

两种情况下的解决方案相同：

供应商发布了解决此问题的修复程序。有关更多信息，请参阅参考资料

所以我的建议是使用比1.0.4更高版本的Kusaba

threadwatch.php

漏洞似乎是另一个清理问题。框架无法正确清理存储到数据库中的数据或对其进行输出编码。这意味着，当有效用户访问系统时，可能会发生错误（例如，将cookie发送给攻击者或将键盘记录器安装到网站中进行会话）

---

关于

threadwatch.php

漏洞的详细信息不清楚远程代码执行是如何实现的，但是，正如我在上面详细介绍的那样，由于攻击者还有其他方法可以实现这一点，这是一个没有实际意义的问题——您应该升级到框架的固定版本。

它看起来像是一个XSS，其中有人为使用该URL（带有会话ID）的用户获取

document.cookie

，然后使用该URL模拟该用户（会话固定）并显然可以访问您的系统（包括文件系统）。我不知道这是怎么回事，他们是否需要访问我的桌面，或者这是他们可以远程执行的操作？如果他们可以访问你的桌面，你就会知道，因为你的桌面背景会被更改为许多DONG。如果你想了解它，你应该阅读它。概念不错（尽管它涉及Django）.不，它与你的桌面没有任何关系（我99.9%确定）.看起来kusaba很容易受到攻击-谢谢你的建议。我可以用Java、Python和basic C++/C#编写代码，但我要到明年才有PHP类。当使用商业应用程序时，安全性会下降。本质上，你花的越少越好。问任何安装程序，他们都可以免费为你提供HBO，但不知道如何或为什么。