php低版本彩蛋

　　最近看服务器的日志，发现出现多个很奇怪的访问记录：

　　后面还有这样的日志：

GET /Runtime/phpinfo2.php?e=assert&pass=phpinfo(); HTTP/1.1" 200 12306

　　网站被人插了一句话木马无疑。

　　疑问就是形似这样的请求?=PHPE9568F34-D428-11d2-A769-00AA001ACF42是啥意思，看样子后面的部分有点像是session，如果是个参数的话也没见过像这样直接通过?=传递的参数，难道该页面通过特别的URI解析方式来确认使用者身份？由于文件已经被入侵者删除，也没法确认这一点，但感觉应该可能性不大。

　　后来查阅资料时发现了这篇文章：http://phpsadness.com/sad/11

　　原来在比较早的Php版本里内置了一些php彩蛋，类似google浏览器的小恐龙？？？

　　只要在运行了5.5之前版本Php的网站域名后面输入下面的字符参数，就可以看到些logo图片之类。

?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000 (PHP信息列表)
?=PHPE9568F34-D428-11d2-A769-00AA001ACF42 (PHP的LOGO)
?=PHPE9568F35-D428-11d2-A769-00AA001ACF42 (Zend LOGO)
?=PHPE9568F36-D428-11d2-A769-00AA001ACF42 (PHP LOGO 蓝色大象)

PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000 ：

PHPE9568F34-D428-11d2-A769-00AA001ACF42：

PHPE9568F35-D428-11d2-A769-00AA001ACF42：

PHPE9568F36-D428-11d2-A769-00AA001ACF42：

　　”彩蛋“只有这4种，且这个功能在早版本php里是默认开启的，由于并没有泄露什么东西，也不必把它当作漏洞。不过据说有些扫描器会将提交这些请求来判断网站是不是php语言，并且可以用来判断php版本是不是小于5.5,由此来找一些已知的版本漏洞来进行攻击。

　　这个功能在Php 5.5版本已经弃用，如果要手动关闭这个功能，只要在php.ini里将expose_php改为Off即可。