phpstudy后门

PHPStudy被爆出存在后门，PHP扩展的php_xmlrpc.dll文件被替换，攻击者向网站服务器发送特殊构造的HTTP请求即可执行任意PHP代码。

分析发现以下2个dll文件被替换并植入了后门：

php-5.4.45/ext/php_xmlrpc.dll
php-5.2.17/ext/php_xmlrpc.dll

在dll文件中搜索"eval("，发现存在异常代码：

检测PoC:

注意：要把“gzip,deflate”逗号后面的空格删掉；“Accept-CharSet: c3lzdGVtKCdpcGNvbmZpZycpOw==”是base64编码后的形式，原文为：“Accept-CharSet: system('ipconfig');”。

奇安信写的分析文章：https://mp.weixin.qq.com/s/t-P-n98ZydP3aSCdC0C9hQ