Go achomair: Taispeánann comhad nach ndéanann ach phpinfo() a ghlaoch do gach cuairteoir leagan, modúil, cosáin agus socruithe PHP, go minic athróga timpeallachta le sonraí rochtana freisin. Maidir le slándáil phpinfo, mar sin: ná fág comhaid den sórt sin sa webroot go buan, scrios tar éis úsáide iad agus seiceáil staid PHP trí bhainistiú pacáistí agus cumraíocht. Ní chruthaíonn aschur phpinfo an stádas paistithe i gcoinne PHP2Shell ar aon nós.
An comhad tástála a fhanann
Ón 21.10.2026 seiceálann na mílte riarthóir cén leagan PHP a sheachadann a suíomhanna gréasáin. Is eol an bealach is tapúla: comhad info.php a chruthú le líne amháin, é a ghlaoch sa bhrabhsálaí, an toradh a léamh. Oibríonn sé sin. Tosaíonn an fhadhb ina dhiaidh sin, nuair a dhéantar dearmad ar an gcomhad.
Maireann comhaid den sórt sin go neamhghnách fada. Téann siad le haistrithe, críochnaíonn siad i gcúltacaí agus tagann siad chun solais blianta ina dhiaidh sin in eolairí nach bhfuil aithne ag aon duine orthu a thuilleadh. Iarrann scanóirí uathoibrithe ainmneacha tipiciúla comhad i gcónaí. An rud a bhí ina chuidiú don riarthóir, is plean tógála an fhreastalaí é don ionsaitheoir.
Tá tionchar ar ghníomhaireachtaí agus ar óstálaithe le go leor suíomhanna custaiméirí go háirithe. An té a sheiceálann scórtha suíomhanna gréasáin i seachtain ghnóthach, cruthaíonn sé scórtha comhad tástála go tapa. Is leor fillteán dearmadta amháin chun go mbeidh an comhad inghlaoite míonna ina dhiaidh sin.
Cad a nochtann phpinfo() agus cén fáth a bhfuil tábhacht leis don slándáil
De réir lámhleabhar PHP, aschuireann phpinfo() staid reatha PHP. Trí tairisigh is féidir a rialú cé na codanna a thaispeántar; gan sonrú is gach rud é.
| Réimse (tairiseach) | Ábhar de réir an lámhleabhair | Cén fáth a bhfuil sé íogair |
|---|---|---|
INFO_GENERAL |
tógáil, suíomh php.ini, freastalaí gréasáin, córas | nochtann sé an córas oibriúcháin agus cosáin |
INFO_CONFIGURATION |
luachanna áitiúla agus máistir gach treorach | léiríonn sé an bhfuil disable_functions nó open_basedir i bhfeidhm |
INFO_MODULES |
eisínteachtaí luchtaithe lena socruithe | feiceann ionsaitheoirí cé na feidhmeanna atá ar fáil |
INFO_ENVIRONMENT |
athróga timpeallachta | is minic sonraí rochtana bunachair sonraí nó API anseo |
INFO_VARIABLES |
athróga réamhshainithe (Environment, GET, POST, Cookie, Server) | tá ceanntásca agus fianáin an iarratais reatha ann |
Is iad an dá líne dheireanacha is contúirtí. Is maith le feidhmchláir nua-aimseartha sonraí rochtana a luchtú ó athróga timpeallachta, mar shampla ó chomhad .env nó ó chumraíocht coimeádáin. Bíonn na luachanna seo sa téacs soiléir san aschur. Conas rúin den sórt sin a chosaint go bunúsach, déanann an t-alt Sonraí rochtana agus comhaid .env a chosaint i gceart cur síos air.
Ina theannta sin: taispeánann an t-aschur luachanna an iarratais atá ar siúl, mar sin fianáin agus ceanntásca freisin. Má thig le hionsaitheoir cuairteoir a threorú chuig an leathanach agus an freagra a léamh, mar shampla trí laige Cross-Site Scripting in áit eile, éiríonn fianáin a bhfuil HttpOnly marcáilte orthu infheicthe fiú.
Cén fáth nach cruthúnas i gcoinne PHP2Shell é phpinfo
Chruthaigh a lán daoine an comhad díreach chun an stádas paistithe a sheiceáil. Ní oireann sé chuige sin ach go páirteach. Cuireann dáiltí agus óstálaithe ceartúcháin i bhfeidhm go minic mar backport; de réir tuairiscí taispeánann Ubuntu 24.04, mar shampla, 8.3.6 fós tar éis an nuashonraithe. Mar sin is beag a insíonn an uimhir a thaispeántar. A mhalairt: ní chruthaíonn uimhir reatha gur atosaíodh na hoibrithe go léir.
Is iontaofa staid an phacáiste le huimhreacha CVE sa changelog, curtha leis an atosú ar gach próiseas PHP. Conas é sin a dhéanamh, míníonn an t-alt Leagan PHP agus stádas paistithe a sheiceáil i gceart.
Tá a áit ag aschur sealadach sa chomhthéacs gréasáin fós: léiríonn sé cén php.ini agus cé na luachanna atá i bhfeidhm i ndáiríre don suíomh gréasáin, mar léann an líne ordaithe cumraíocht eile go minic. Míníonn php.ini mínithe an cúlra faoi leibhéil agus tosaíocht. Má tá sé sin de dhíth ort, déan é le cosaint rochtana, le hainm comhaid randamach agus ar feadh nóiméad amháin.
Do fhormhór na gceisteanna tá bealaí níos fearr ann ar aon nós. Tá leagan PHP linne FPM ina cumraíocht agus sa liosta próiseas. Is féidir luachanna aonair a iarraidh le script lasmuigh den webroot trí ini_get(), gan gach rud a nochtadh. Agus i bpainéil óstála taispeánann an comhéadan an leagan sannta do gach suíomh gréasáin, cé gan aon ráiteas faoi backports.
Comhaid dhearmadta a aimsiú: céimeanna nithiúla seiceála
Seo conas a aimsíonn tú seanrudaí ar fhreastalaí Linux. Ní léann na horduithe ach agus ní athraíonn siad aon rud.
- Comhaid le glao phpinfo a chuardach (cosán a oiriúnú):
grep -rlE "phpinfo[[:space:]]*\(" /var/www --include="*.php" 2>/dev/null
- Ainmneacha comhad tipiciúla a sheiceáil, fiú gan torthaí san ábhar:
find /var/www -type f \( -iname "info.php" -o -iname "phpinfo.php" -o -iname "test.php" -o -iname "i.php" \) 2>/dev/null
-
Torthaí a mheas: Ní comhad tástála gach tarlú. Is féidir le huirlisí riaracháin, painéil nó frámaí
phpinfo()a úsáid taobh thiar de logáil isteach. Is é an rud cinniúnach an bhfuil an comhad inrochtana ón idirlíon gan logáil isteach. -
Rochtain a sheiceáil sa loga sula scriosann tú:
grep -E "GET /(info|phpinfo|test|i)\.php" /var/log/nginx/access.log* 2>/dev/null | tail -n 50
- Scrios agus malartaigh rúin: Má bhí pasfhocal nó eochair san aschur agus an comhad poiblí, meastar go bhfuil an luach ar eolas. Athraigh é.
D'fhéadfadh tarlú le dáta cruthaithe anaithnid agus ábhar suntasach in aice le glao phpinfo a bheith ina chúldoras freisin. Ansin ná scrios amháin é, ach sábháil é agus bíodh sé seiceáilte, féach Webshells a aithint agus a bhaint.
Cosc buan seachas glanadh
Cinntíonn trí bheart nach dtiocfaidh an topaic ar ais. Ar dtús: phpinfo a chur le liosta disable_functions in php.ini don chomhthéacs gréasáin. Seiceáil roimh ré an dteastaíonn an fheidhm ó do phainéal le haghaidh leathanach stádais. Conas a oibríonn an socrú agus cá bhfuil a theorainneacha, tá sé le fáil faoi disable_functions a úsáid i gceart.
; php.ini d'FPM nó d'Apache, ansin gach próiseas PHP a atosú
disable_functions = phpinfo
expose_php = Off
Ar an dara dul síos: soláthar trí phróiseas seasta amháin, mar shampla trí Git nó trí líne phíobáin tógála, ionas nach dtéann comhaid aonair isteach sa webroot de láimh. Ar an tríú dul síos: baineann faisnéis stádais le monatóireacht nó le fardal, ní le leathanach poiblí.
Baineann expose_php = Off an ceanntásc freisin lena dtugann PHP a leagan i ngach freagra. Ní thagann sé in ionad nuashonraithe, ach tógann sé faisnéis áisiúil ó scanóirí uathoibrithe. An té a bhfuil roinnt daoine ag a bhfuil rochtain ar an bhfreastalaí, ba cheart rialacha simplí a aontú freisin: scriostar comhaid tástála sa chéim oibre chéanna inar cruthaíodh iad, ní „níos déanaí“.
Conas a chabhraíonn PHP SOS go nithiúil?
- Cuardaímid do webroots le haghaidh comhaid phpinfo, scripteanna tástála agus seanrudaí eile agus déanaimid gach tarlú a mheas.
- Déanaimid rochtain ar chomhaid a aimsíodh a mheas agus insímid duit cé na rúin ar cheart duit a mhalartú.
- Cruthaímid an stádas paistithe i gcoinne PHP2Shell trí changelog an phacáiste agus tosú próisis seachas trí thaispeáint leagain.
- Cuirimid
disable_functions,expose_phpagus cruatúcháin eile i bhfeidhm go buan mar chuid den chruatú freastalaí.
Conclúid: Cruthaítear comhad phpinfo i soicindí agus déantar dearmad air chomh tapa céanna. An té a lorgaíonn agus a bhaineann anois é, dúnann sé sceitheadh sonraí gan ghá agus braitheann sé ar chruthúnas iontaofa don stádas paistithe.
Ceisteanna coitianta
An laige slándála í comhad phpinfo ina cheart féin?
Ní osclaíonn sé rochtain, ach tugann sé cur síos mionsonraithe ar an bhfreastalaí d'ionsaitheoirí: leagan, modúil, cosáin, socruithe agus, ag brath ar an timpeallacht, athróga timpeallachta freisin. Éascaíonn sé sin ionsaithe dírithe agus is féidir leis sonraí rochtana a nochtadh.
An gcruthaíonn uimhir an leagain i phpinfo go bhfuil PHP2Shell paistithe?
Ní chruthaíonn. Cuireann dáiltí agus óstálaithe ceartúcháin i bhfeidhm go minic mar backport, fanann an uimhir a thaispeántar mar an gcéanna ansin. Cruthaíonn changelog an phacáiste agus deimhniú an tsoláthraí an stádas paistithe, chomh maith le hatosú gach próisis PHP.
Cad atá le déanamh má bhí comhad phpinfo poiblí ar feadh i bhfad?
An comhad a scriosadh, a sheiceáil sa loga rochtana cé a ghlaoigh air, agus gach rún a bhí san aschur a mhalartú, mar shampla pasfhocail bunachair sonraí nó eochracha API ó athróga timpeallachta.
An féidir liom phpinfo() a mhúchadh go hiomlán?
Is féidir, trí disable_functions in php.ini an chomhthéacs gréasáin. Seiceáil roimh ré an n-úsáideann painéal nó feidhmchlár an fheidhm do leathanaigh stádais, agus atosaigh na próisis PHP ina dhiaidh.