Fil-qosor: Fajl li jsejjaħ biss phpinfo() juri lil kull viżitatur il-verżjoni, il-moduli, il-mogħdijiet u l-issettjar ta' PHP, spiss ukoll variabbli tal-ambjent bid-dettalji tal-aċċess. Għas-sigurtà ta' phpinfo għalhekk japplika: tħallux fajls bħal dawn permanentement fil-webroot, ħassruhom wara l-użu u ivverifikaw l-istat ta' PHP aħjar permezz tal-ġestjoni tal-pakketti u tal-konfigurazzjoni. L-istat tal-patch kontra PHP2Shell output ta' phpinfo xorta waħda ma jippruvahx.
Il-fajl tat-test li jibqa'
Mill-21/10/2026 eluf ta' admins qed jivverifikaw liema verżjoni ta' PHP jagħtu l-websajts tagħhom. L-aktar mod mgħaġġel huwa magħruf: oħloq fajl info.php b'linja waħda, ċempel fil-browser, aqra r-riżultat. Dan jaħdem. Il-problema tibda wara, meta l-fajl jintesa.
Fajls bħal dawn jgħixu sorprendentement fit-tul. Jimxu mat-trasferimenti, jispiċċaw fil-backups u jidhru wara snin f'direttorji li ħadd ma jafhom aktar. Scanners awtomatizzati jitolbu b'mod kontinwu ismijiet tipiċi ta' fajls. Dak li għall-admin kien għajnuna, għall-attakkant huwa struzzjoni ta' kostruzzjoni tas-server.
Partikolarment affettwati huma aġenziji u hosters b'ħafna websajts ta' klijenti. Min f'ġimgħa mgħaġġla jivverifika għexieren ta' websajts, malajr joħloq għexieren ta' fajls tat-test. Folder minsi wieħed biżżejjed biex il-fajl ikun għadu jista' jinġieb xhur wara.
X'jiżvela phpinfo() u għaliex dan jgħodd għas-sigurtà
Skont il-manwal ta' PHP, phpinfo() joħroġ l-istat attwali ta' PHP. Permezz ta' kostanti jista' jiġi kkontrollat liema partijiet jidhru; mingħajr indikazzjoni huwa kollox.
| Qasam (kostanti) | Kontenut skont il-manwal | Għaliex delikat |
|---|---|---|
INFO_GENERAL |
Build, post tal-php.ini, server tal-web, sistema | jiżvela s-sistema operattiva u l-mogħdijiet |
INFO_CONFIGURATION |
valuri lokali u master tad-direttivi kollha | juri jekk disable_functions jew open_basedir jaħdmux |
INFO_MODULES |
estensjonijiet mgħobbija bl-issettjar | l-attakkanti jaraw liema funzjonijiet huma disponibbli |
INFO_ENVIRONMENT |
variabbli tal-ambjent | hawn spiss jinsabu dettalji tal-aċċess tad-database jew tal-API |
INFO_VARIABLES |
variabbli predefiniti (Environment, GET, POST, Cookie, Server) | fih headers u cookies tat-talba attwali |
L-aktar perikolużi huma l-aħħar żewġ linji. Applikazzjonijiet moderni jħobbu jgħabbu dettalji tal-aċċess minn variabbli tal-ambjent, pereżempju minn fajl .env jew mill-konfigurazzjoni tal-container. Dawn il-valuri mbagħad jidhru bħala test ċar fl-output. Kif tipproteġu sigrieti bħal dawn bħala prinċipju jiddeskrivi l-artiklu Ipproteġi sewwa d-dettalji tal-aċċess u l-fajls .env.
Ta' dan jiżdied: L-output juri l-valuri tat-talba li għaddejja, għalhekk anke cookies u headers. Jekk attakkant jista' jidderieġi viżitatur lejn il-paġna u jaqra t-tweġiba, pereżempju permezz ta' vulnerabbiltà Cross-Site Scripting x'imkien ieħor, anke cookies immarkati bħala HttpOnly isiru viżibbli.
Għaliex phpinfo mhuwiex prova kontra PHP2Shell
Ħafna għadhom kif ħolqu l-fajl biex jivverifikaw l-istat tal-patch. Eżattament għal dan huwa adattat biss b'mod limitat. Distribuzzjonijiet u hosters spiss jinstallaw korrezzjonijiet bħala backport; skont rapporti, pereżempju Ubuntu 24.04 wara l-aġġornament ikompli juri 8.3.6. In-numru murija għalhekk jgħid ftit. Bil-maqlub, numru attwali ma jippruvax li l-workers kollha reġgħu nbdew.
Soda hija l-istat tal-pakkett bin-numri CVE fil-changelog, issupplimentat mir-restart tal-proċessi kollha ta' PHP. Kif issir din jispjegaha l-artiklu Ivverifika sewwa l-verżjoni u l-istat tal-patch ta' PHP.
Output temporanju fil-kuntest tal-web madankollu għandu postu: juri liema php.ini u liema valuri jgħoddu fil-fatt għall-websajt, għax il-linja tal-kmand spiss taqra konfigurazzjoni differenti. L-isfond dwar livelli u preċedenza jispjegah Il-php.ini spjegat. Jekk teħtieġuh, allura protett mill-aċċess, b'isem każwali tal-fajl u biss għal ftit minuti.
Għal ħafna mistoqsijiet hemm modi aħjar xorta waħda. Il-verżjoni ta' PHP ta' pool ta' FPM tinsab fil-konfigurazzjoni tiegħu u fil-lista tal-proċessi. Valuri individwali jistgħu jiġu mitluba b'skript barra mill-webroot permezz ta' ini_get(), mingħajr ma jiġi espost kollox. U f'panels tal-hosting l-interface turi l-verżjoni assenjata għal kull websajt, għalkemm mingħajr tgħid dwar backports.
Sib fajls minsija: passi konkreti ta' verifika
Hekk issib bqijiet qodma fuq server Linux. Il-kmandi jaqraw biss u ma jibdlu xejn.
- Fittex fajls bis-sejħa phpinfo (adatta l-mogħdija):
grep -rlE "phpinfo[[:space:]]*\(" /var/www --include="*.php" 2>/dev/null
- Ivverifika ismijiet tipiċi ta' fajls, anke mingħajr hits fil-kontenut:
find /var/www -type f \( -iname "info.php" -o -iname "phpinfo.php" -o -iname "test.php" -o -iname "i.php" \) 2>/dev/null
-
Evalwa l-hits: Mhux kull sejba hija fajl tat-test. Għodod ta' amministrazzjoni, panels jew frameworks jistgħu jużaw
phpinfo()wara login. Id-deċiżiv hu jekk il-fajl huwiex aċċessibbli mill-internet mingħajr login. -
Ara l-aċċessi fil-log qabel ma tħassar:
grep -E "GET /(info|phpinfo|test|i)\.php" /var/log/nginx/access.log* 2>/dev/null | tail -n 50
- Ħassar u biddel is-sigrieti: Jekk fl-output kien hemm password jew ċavetta u l-fajl kien pubbliku, il-valur jitqies magħruf. Biddluh.
Sejba b'data tal-ħolqien mhux magħrufa u kontenut notevoli maġenb is-sejħa phpinfo tista' tkun ukoll bieb ta' wara. Mbagħad ma tħassarx biss, imma żomm u ivverifika, ara Agħraf u neħħi webshells.
Evita b'mod permanenti minflok tnaddaf
Tliet miżuri jiżguraw li s-suġġett ma jerġax jidher. L-ewwel: daħħal phpinfo fil-lista disable_functions tal-php.ini għall-kuntest tal-web. Ivverifikaw minn qabel jekk il-panel tagħkom jeħtieġx il-funzjoni għal paġna tal-istatus. Kif taħdem l-issettjar u fejn huma l-limiti tagħha tinsab f'Uża disable_functions sewwa.
; php.ini għal FPM jew Apache, wara erġa' ibda l-proċessi kollha ta' PHP
disable_functions = phpinfo
expose_php = Off
It-tieni: provvista biss permezz ta' proċess fiss, pereżempju b'Git jew build pipeline, biex ma jaslux fajls individwali bl-id fil-webroot. It-tielet: tagħrif dwar l-istatus jappartjeni fil-monitoraġġ jew fl-inventarju, mhux f'paġna pubblika.
expose_php = Off ineħħi barra minn hekk l-header li bih PHP jikkomunika l-verżjoni tiegħu f'kull tweġiba. Dan ma jissostitwix aġġornament, imma jneħħi lil scanners awtomatizzati informazzjoni komda. Min għandu diversi nies b'aċċess għas-server għandu jaqbel ukoll fuq regola sempliċi: fajls tat-test jitħassru fl-istess pass tax-xogħol li fih jinħolqu, u mhux „aktar tard“.
Kif tgħin PHP SOS b'mod konkret?
- Infittxu fil-webroots tagħkom għal fajls phpinfo, skripts tat-test u bqijiet qodma oħra u nevalwaw kull sejba.
- Nevalwaw l-aċċessi għall-fajls misjuba u ngħidulkom liema sigrieti għandkom tibdlu.
- Nippruvaw l-istat tal-patch kontra PHP2Shell permezz tal-changelog tal-pakkett u tal-bidu tal-proċess minflok permezz ta' wiri tal-verżjoni.
- Napplikaw
disable_functions,expose_phpu hardening ieħor b'mod permanenti fil-qafas tal-Hardening tas-server.
Konklużjoni: Fajl phpinfo jinħoloq f'sekondi u jintesa daqshekk malajr. Min issa jfittxu u jneħħih, jagħlaq tnixxija ta' data bla bżonn u jistrieħ, għall-istat tal-patch, fuq provi soda.
Mistoqsijiet frekwenti
Fajl phpinfo huwa fih innifsu vulnerabbiltà?
Ma jiftaħx aċċess, imma jagħti lill-attakkanti deskrizzjoni dettaljata tas-server: verżjoni, moduli, mogħdijiet, issettjar u, skont l-ambjent, ukoll variabbli tal-ambjent. Dan jiffaċilita attakki mmirati u jista' jesponi dettalji tal-aċċess.
In-numru tal-verżjoni f'phpinfo jippruvax li PHP2Shell huwa ppatchjat?
Le. Distribuzzjonijiet u hosters spiss jinstallaw korrezzjonijiet bħala backport, in-numru murija mbagħad jibqa' l-istess. L-istat tal-patch jippruvah il-changelog tal-pakkett u l-konferma tal-fornitur, flimkien mar-restart tal-proċessi kollha ta' PHP.
X'għandi nagħmel jekk fajl phpinfo kien pubbliku għal żmien twil?
Ħassar il-fajl, ara fl-access log min talbu, u biddel is-sigrieti kollha li kienu fl-output, pereżempju passwords tad-database jew ċwievet tal-API minn variabbli tal-ambjent.
Nista' ntemm phpinfo() għalkollox?
Iva, permezz ta' disable_functions fil-php.ini tal-kuntest tal-web. Ivverifikaw minn qabel jekk panel jew applikazzjoni jużawx il-funzjoni għal paġni tal-istatus, u erġgħu ibdew il-proċessi ta' PHP wara.