5月4日消息，360網站安全檢測平臺發(fā)布橙色安全警報稱，最新曝光的PHPCGI漏洞已遭黑客攻擊，嚴重威脅利用CGI模式執(zhí)行PHP的網站服務器。據360檢測，國內絕大多數虛擬主機提供商存在此漏洞，攻擊者只需找到任意一個PHP文件，即可利用漏洞遠程執(zhí)行惡意代碼，從而攻陷整臺服務器。目前，國內僅360網站寶（http://wzb.360.cn）可為受漏洞影響的網站提供防御解決方案。
PHPCGI漏洞最早由國外安全研究者于近日公開，其實際存在的時間則長達約8年之久。據360網站安全工程師介紹，該漏洞是用戶將HTTP請求參數提交至Apache服務器，通過mod_cgi模塊交給后端的php-cgi處理，但在執(zhí)行過程中部分字符沒有得到處理，比如空格、等號（=）、減號（-）等。利用這些字符，攻擊者可以向后端的php-cgi解析程序提交惡意數據，php-cgi會將這段“數據”當做php參數直接執(zhí)行，目前截獲到的攻擊主要利用以下PHP參數：
包含本地文件讀取內容：
讀取PHP源碼：
直接執(zhí)行任意命令：
通過遠程包含直接在服務器上執(zhí)行webshell：
360網站安全檢測平臺分析認為，PHPCGI漏洞危害并不僅限于遠程執(zhí)行代碼，攻擊者還可以定義php的執(zhí)行參數，使用“-n”后，php.ini中的一些列安全設置均被繞過。因為目前絕大部分虛擬主機的安全還是依靠php自身的安全設置，遭遇該漏洞攻擊時將形同虛設。
截至發(fā)稿前，360網站安全檢測平臺已將PHPCGI漏洞加入了掃描規(guī)則，對注冊網站用戶進行緊急專項掃描，并及時向受漏洞影響的網站管理者發(fā)送報警通知。此外，相關網站也可免費使用360網站寶服務，可以有效主動防御黑客針對網站的惡意攻擊。文留學編輯整理--www.nuli.org）
推薦閱讀
多年股市坎坷風雨，終有所成就，屬于收獲的季節(jié)，可是 如何將智慧、名氣、粉絲量轉化成實實在在的收益？收費會員模式不合法、承擔巨大風險！賣培訓賣課程終有盡，走低端且難持續(xù)！只懂股市技術，不會銷售干著急！紅馬>>>詳細閱讀
本文標題：PHP超級漏洞曝光 360率先發(fā)布解決方案
地址：http://www.xglongwei.com/a/11/20120507/57683.html
網友點評
精彩導讀
科技快報
品牌展示