发送“php：// input”的攻击者涉及哪些类型的漏洞？

我的网站刚刚被攻击者轰炸，试图将“php：// input”传递给他们想到的任何GET/POST变量。如果这是为了利用漏洞，我不知道它。这个用户可能试图利用什么？发送“php：// input”的攻击者涉及哪些类型的漏洞？

2010-12-14 Eric Caron

我没想到“php：//”是一个协议......是合法的还是只是一些垃圾字符串被攻击者推入？ – FrustratedWithFormsDesigner 2010-12-14 18:21:26

@FrustratedWithFormsDesigner：'php：// input'是PHP输入流。见[这里]（http://php.net/manual/en/wrappers.php.php）。 – BoltClock 2010-12-14 18:22:40

PHP：//输入从传入请求读取数据。基本上，攻击者可能会试图做的是通过“PHP：//输入”成弱PHP指令，例如：

include $_REQUEST['filename'];

这将允许攻击者在PHP文件的“内容”发送到通过请求执行，从而允许他在你的机器上执行php代码

2010-12-14 18:25:52 bug

与Stephen Fry的Twitter帐户被黑客攻击一样，这就是我的想法（http://eng.xakep.ru/link/50643/）。这种攻击很奇怪，但我认为蛮力比脑力更便宜。 – 2010-12-14 19:15:27

也许任何人在PHP输入上运行eval？

$data = file_get_contents('php://input'); 
eval($data);

我个人没有见过这个，但我敢打赌有人认为它可能是安全的。

2010-12-14 18:22:56

这可能是对通过原始请求数据传递的PHP代码进行评估的一种尝试 - 虽然看起来有点充满希望。

2010-12-14 18:27:55 Hamish

回答