那些强悍的PHP一句话后门

我们以一个学习的心态来对待这些PHP后门程序,很多PHP后门代码让我们看到程序员们是多么的用心良苦。

强悍的PHP一句话后门

这类后门让网站、服务器管理员很是头疼,经常要换着方法进行各种检测,而很多新出现的编写技术,用普通的检测方法是没法发现并处理的。今天我们细数一些有意思的PHP一句话木马。 继续阅读那些强悍的PHP一句话后门

php调用python服务

php执行命令行调用python的缺点

popen('python test.py [参数]', 'r');

 

  1. 缺点一:windows默认的是gbk编码,当php中传utf-8中文参数的时候,python接收到的参数会有问题。
    #当然,这是有解决的办法的,就是windows下转换一下字符的编码,linux不用转换。再来python接收参数的时候肯定也要转换编码了,烦不烦?
  2. cmd命令或者shell命令是有长度限制的,传的参数过长的时候,接收到的参数就不会完整。
  3. 执行shell命令是有危险的,万一参数里面多了个啥,你知道的。
    #这也能解决,php中的函数escapeshellarg,嗯哼先给他escape一下。

那怎么办呢? 继续阅读php调用python服务

记一次对Discuz官方论坛的渗透检测

前言: 此次检测纯属偶然, 源于Errorera同学一直想拿下腾讯, 然后找腾讯换ipad玩, 结果搞着搞着就把目标对准Discuz了, 反正Discuz也属于腾讯业务, 估计搞下也能换ipad, Errorera同学怀着这样的美好愿望就开搞了!

此文所有图片均由Errorera同学提供, 本来我想等我把文章写了他再提交的, 可丫太着急要ipad了, 所以瞒着我直接提交了!! 所以现在所有漏洞都已经修补, 导致我想截图都截不了了… 还好他已经写了一篇文章, 我就将就直接修改下拿上来吧~ 继续阅读记一次对Discuz官方论坛的渗透检测

Yubikey PHP验证

看到Wooyun社区有大牛代购Yubikey,发现国内没有太多技术资料,于是买了一块玩玩。Yubikey形似U盘,中间为凹进去的,带有一个绿色的小指示灯,在接入电脑USB的情况下轻触圆点1S,会模仿键盘自动输入密匙,密匙采用OTP(on time password,一次一密)是不可能被破解的,输入的密匙调用Yubico的API进行验证。该设备可以配合YubiRADIUS用于VPN授权,wordpress授权,系统登录,远程桌面登录。更多的可以根据API开发,Yubikey又将是一个高拓展度的创新设备。

继续阅读Yubikey PHP验证

VPSMate虚拟主机控制面板

用过VPS或者独立服务器的基友们大概都知道,寻找一款方便快捷、并容易上手的虚拟主机管理系统,是最让人头疼的事!幸好很多热心的代码高手给写了不少免费且比较好用的主机面板,这其中最为人知晓的,恐怕就是webmin/virtualmin、lnmp(严格意义上lnmp不算面板,只是集成了phpmyadmin和一个ftp图形化管理而已)、lumanager、wdcp、kloxo,至于这几个好用与否,那就是见仁见智的事了。

继续阅读VPSMate虚拟主机控制面板

nginx fastcgi配置失误+解析漏洞引发的漏洞

现在一定还有很多网站用的nginx,自从N个月以前的nginx解析漏洞以来,现在差不多都修复了,一般语句都是这么写的

if ( $fastcgi_script_name ~ \..*\/.*php ) {
return 403;
} 继续阅读nginx fastcgi配置失误+解析漏洞引发的漏洞