Phpstudy軟件是國內的一款免費的PHP調試環(huán)境的程序集成包，通過集成Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer多款軟件一次性安裝，無需配置即可直接安裝使用，具有PHP環(huán)境調試和PHP開發(fā)功能，在國內有著近百萬PHP語言學習者、開發(fā)者用戶。

近日，阿里云應急響應中心監(jiān)測到國內知名PHP網站環(huán)境程序集成包“PhpStudy”遭黑客篡改，其Windows版本自帶的php_xmlrpc.dll模塊被植入后門。攻擊者在請求中構造特定字符串，可實現遠程命令執(zhí)行，控制服務器。

正是這樣一款公益性軟件，2018年12月4日，西湖區(qū)公安分局網警大隊接報案稱，某公司發(fā)現公司內有20余臺計算機被執(zhí)行危險命令，疑似遠程控制抓取賬號密碼等計算機數據回傳大量敏感信息。

漏洞描述:

黑客通過篡改php_xmlrpc.dll模塊，導致用戶的請求均會經過特定的后門函數。當滿足一定條件時，黑客可以通過自定義頭部實現任意代碼執(zhí)行，在用戶無感知的情況下竊取用戶數據。

影響版本:

PhpStudy多個Windows版本被植入后門

安全建議

1. 用戶通過搜索php_xmlrpc.dll模塊中是否包含“eval”等關鍵字來定位是否存在后門，后門文件包括phpphp-5.4.45extphp_xmlrpc.dll 和 phpphp-5.2.17extphp_xmlrpc.dll 等。若存在請及時卸載后門程序并排查。

2. 關注PhpStudy官方安全公告，盡量在官網進行下載和更新。