Какие уязвимости включают атакующего, отправляющего "php://input"?

Мой сайт был просто взломан злоумышленником, пытающимся передать "php://input" в любую переменную GET/POST, о которой они могли подумать. Если это пытается воспользоваться уязвимостью, я не знаю об этом. Что может пытаться использовать этот пользователь?

Ответ 1

http://www.owasp.org/index.php/Top_10_2007-Malicious_File_Execution

php://ввод считывает данные из входящего запроса. В основном, что может сделать злоумышленник, это передать "php://input" в слабую директиву php, например:

include $_REQUEST['filename'];

Это позволит злоумышленнику отправить "содержимое" файла php для выполнения через запрос, тем самым позволяя ему выполнять php-код на вашем компьютере.

Ответ 2

Возможно, кто-нибудь, кто запускает eval на входе php?

$data = file_get_contents('php://input');
eval($data);

Я не видел этого лично, но я уверен, что некоторые из них сделали это в какой-то момент, думая, что это может быть безопасно.

Ответ 3

Вероятно, это попытка заставить оценивать PHP-код, переданный через необработанные данные запроса, - кажется, немного обнадеживает.