Fil-qosor: Fajl PHP fil-folder tal-upload huwa sinjal serju ta' twissija, għax hemmhekk għandhom jinsabu biss immaġini u dokumenti. Tiftaħx il-fajl qatt fil-browser, imma aqrah bħala test, iċċekkja t-timestamps u s-sid u fittex l-isem tal-fajl fil-logs tal-aċċess. Bla ħsara ġeneralment huma biss placeholders vojta bħal index.php mingħajr kontenut; kull ħaġa oħra ttrattaha bħala dħul possibbli.
Għaliex PHP m'għandux x'jagħmel fil-folder tal-upload
Folders tal-upload huma għal kontenut li jgħabbu l-viżitaturi jew l-editors: immaġini, PDFs, vidjows. L-utent tas-server tal-web jista' jikteb hemmhekk, inkella l-uploads ma jaħdmux. Eżattament dan jagħmel dawn il-folders attraenti għall-attakkanti. Min jista' jikteb fajls permezz ta' vulnerabbiltà jpoġġihom fejn il-kitba hija permessa.
Fajls ġodda ta' PHP f'folders tal-upload jew tal-cache jagħmlu parti, skont ir-rapporti li għandna quddiemna, mis-sinjali ġenerali ta' twissija wara dħul. Għal PHP2Shell m'hemm l-ebda Indicators of Compromise ikkonfermati; sejba għalhekk ma tgħid xejn dwar permezz ta' liema vulnerabbiltà wasal il-fajl. Kif jinbnew uploads sikuri jiddeskrivih Kif timplimenta uploads sikuri tal-fajls f'PHP.
Jekk fajl bħal dan jistax jikkawża ħsara jiddeċiedi l-konfigurazzjoni tas-server tal-web. Jekk jeżegwixxi fajls ta' PHP fil-folder tal-upload, kull fajl li jitqiegħed hemmhekk isir kontroll mill-bogħod possibbli. Jekk l-eżekuzzjoni hemmhekk hija mblukkata, il-fajl jibqa' korp barrani, imma l-ewwel mingħajr effett. Ħafna installazzjonijiet qatt ma stabbilixxew dan il-blokk.
Kif jasal fajl PHP fil-folder tal-upload?
Għall-valutazzjoni jgħin li tkun taf it-triqat possibbli. Kull waħda twassal għal mistoqsijiet ta' segwitu differenti.
| Triq | Sfond tipiku | Mistoqsija ta' segwitu |
|---|---|---|
| Formola tal-upload mhux sikura | Verifika biss tal-estensjoni jew tat-tip irrapportat mill-browser | Liema formoli jaċċettaw fajls? |
| Vulnerabbiltà f'plugin jew theme | dgħjufija magħrufa f'estensjoni skaduta | Liema estensjonijiet huma skaduti? |
| Dettalji tal-aċċess misruqa | kont tal-amministratur, FTP jew tal-hosting | Liema login kien hemm riċentement? |
| Eżekuzzjoni ta' kodiċi permezz ta' vulnerabbiltà | pereżempju fl-interpretatur, kif possibbli f'PHP2Shell | PHP kien vulnerabbli fil-perjodu? |
| Plugin leġittimu | placeholder, rari fajls tal-cache | Il-fajl jappartjeni għall-pakkett oriġinali? |
Diversi triqat jistgħu jingħaqdu. Attakkant li jesegwixxi kodiċi permezz ta' vulnerabbiltà jista' jpoġġi l-fajl biss biex jirritorna aktar faċilment aktar tard.
Elenka l-postijiet tas-sejba b'mod sistematiku
Qabel tivvaluta fajl individwali, ħu ħarsa ġenerali. Il-kmandi jaqraw biss. Il-mogħdijiet huma eżempji għal WordPress; f'sistemi oħra adatta l-mogħdija tal-upload.
# Fajls simili għal PHP fil-folder tal-upload bid-daqs, is-sid, mtime u ctime
find /var/www/html/wp-content/uploads -type f \
\( -iname "*.php*" -o -iname "*.phtml" -o -iname "*.phar" -o -iname ".htaccess" -o -iname ".user.ini" \) \
-printf '%s Bytes %u m:%T+ c:%C+ %p\n'
# Iddetermina t-tip tal-fajl mill-kontenut minflok mill-estensjoni (immaġini b'kontenut PHP jaqbdu l-għajn)
find /var/www/html/wp-content/uploads -type f -newermt "2026-10-17" -exec file {} + | grep -viE "image|pdf|video|audio"
Sistemi oħra jużaw folders oħra għall-kitba, pereżempju fileadmin f'TYPO3, images f'Joomla jew il-folder tal-media taħt public f'Shopware 6. Jiżdiedu direttorji tal-cache u temporanji tal-applikazzjoni. F'installazzjonijiet multisite u diversi websajts fuq server jeżistu kif xieraq ħafna folders tal-upload; kull wieħed jappartjeni fit-tiftix.
Anke fajls .htaccess u .user.ini fil-folder tal-upload huma suspettużi. Bihom jista' jerġa' jinxtegħel l-eżekuzzjoni ta' PHP f'dan il-folder jew tinbidel il-konfigurazzjoni.
Fajl PHP fil-folder tal-uploads: interpreta s-sejba sew
Mhux kull riżultat huwa serju bl-istess mod. Il-klassifikazzjoni li ġejja tgħin fl-ewwel valutazzjoni. Ma tissostitwixxix investigazzjoni eżatta.
| Sejba | L-ewwel klassifikazzjoni |
|---|---|
index.php b'żero bytes jew biss kumment |
ġeneralment placeholder kontra l-elenkar tad-direttorju, qabbel mal-plugin |
| Fajl PHP b'kontenut f'folder tax-xahar | suspett għoli |
Estensjoni doppja bħal bild.jpg.php jew .php.png |
suspett għoli, kamuffaġġ tipiku |
Immaġni li skont file fiha kodiċi PHP |
suspett għoli, tista' tiġi eżegwita permezz ta' inklużjoni |
.htaccess jew .user.ini fil-folder tal-upload |
Suspett, iċċekkja l-konfigurazzjoni |
| Fajl jappartjeni lill-utent tas-server tal-web, ctime wara s-17.10. | jaqbel ma' dħul permezz tal-websajt |
Aqra fajls suspettużi biss bħala test, pereżempju b'head -c 2000 datei.php jew less. Jaqbdu l-għajn linji twal ħafna, sekwenzi kodifikati u ismijiet ta' funzjonijiet bħal eval jew base64_decode. Kif tagħraf kodiċi moħbi juri Agħraf kodiċi PHP moħbi.
Il-fajl ġie sejjaħ? Ħarsa fil-log
L-aktar mistoqsija importanti wara s-sejba hija: xi ħadd uża l-fajl? It-tweġiba tinsab fil-logs tal-aċċess tas-server tal-web. Fittex l-isem tal-fajl, anke fil-logs arkivjati.
# Sejħiet tal-fajl suspettuż fil-logs attwali u kompressi (isem bħala eżempju)
grep -h "uploads/2026/10/thumb.php" /var/log/nginx/access.log* 2>/dev/null
zgrep -h "uploads/2026/10/thumb.php" /var/log/nginx/access.log*.gz 2>/dev/null
# Biss sejħiet b'suċċess bl-indirizz IP u l-mument
grep -h "uploads/2026/10/thumb.php" /var/log/nginx/access.log* | awk '$9 == 200 {print $1, $4, $6, $7}'
Ħafna talbiet POST b'suċċess minn ftit indirizzi jindikaw użu attiv bħala webshell. Ebda riżultat ma jfisser awtomatikament li kollox hu f'ordni, għax logs jistgħu jiġu rotati, imħassra jew mhux kompluti. Jekk il-websajt taħdem wara CDN jew proxy, hemmhekk jinsabu protokolli oħra; fil-hosting kondiviż il-hoster ġeneralment jipprovdi l-logs tal-aċċess fl-area tal-klijent. Oqgħod attent ukoll għal talbiet lejn fajls ġodda oħra mill-istess indirizzi, għax ta' spiss iwasslu għal partijiet oħra. Żomm il-logs mill-20 ta' Ottubru. Kif tevalwa l-logs bir-reqqa hemm fil-gwida Evalwa l-logs tas-server tal-web wara attakk.
Jekk il-log juri sejħiet b'suċċess ta' fajl PHP mhux magħruf, imxi mill-premessa ta' dħul. Salva l-fajl u l-logs, illimita l-aċċess għas-server u iċċekkja jekk data personali tistax tkun affettwata.
Wara l-valutazzjoni: is-sekwenza t-tajba
- Salva: Ikkopja l-fajl bil-checksum u t-timestamps, salva l-logs.
- Iċċara l-oriġini: Iċċekkja l-formoli tal-upload, il-plugins u l-perjodu qabel is-sejba.
- Fittex partijiet oħra: fajls addizzjonali, cronjobs, kontijiet ġodda tal-amministratur.
- Imblokka l-eżekuzzjoni: Ipprojbixxi PHP fil-folder tal-upload fil-livell tas-server tal-web, kif deskritt fl-artikolu Ipprojbixxi l-eżekuzzjoni ta' PHP f'folders tal-upload.
- Naddaf u biddel l-aċċessi: biss imbagħad neħħi l-fajl u ġedded il-passwords kollha.
Kif tgħin PHP SOS b'mod konkret?
- Nivvalutaw is-sejba: Niċċekkjaw il-fajl mingħajr ma neżegwuh u nikklassifikawh.
- Niċċaraw l-użu: Nevalwaw il-logs u nirrikostruwixxu min sejjaħ il-fajl u meta.
- Intnaddfu kompletament: Bit-Tneħħija tal-malware infittxu l-partijiet kollha, nagħlqu l-kawża u nbiddlu l-aċċessi.
- Nipprevjenu r-ripetizzjoni: Nimblokkaw l-eżekuzzjoni ta' PHP f'folders tal-kitba u nissorveljaw fajls ġodda.
Mistoqsijiet frekwenti
Kull fajl PHP fil-folder tal-upload huwa perikoluż?
Mhux kollha. Xi plugins iżommu index.php vojt, biex il-kontenut tal-folder ma jiġix elenkat. Kull ħaġa oħra, speċjalment fajls b'kontenut, isem mhux tas-soltu jew estensjoni doppja, għandek tittrattaha bħala każ suspettuż.
Nista' niftaħ il-fajl suspettuż fil-browser?
Le. Sejħa permezz tal-websajt teżegwixxi l-kodiċi. Aqra l-fajl biss bħala test fuq is-server jew f'kopja, pereżempju b'less jew head.
Kif insib jekk il-fajl intuża?
Fittex l-isem tal-fajl fil-logs tal-aċċess tas-server tal-web. Talbiet bi status 200 u metodu POST juru li l-fajl ġie sejjaħ. L-indirizzi IP u l-mumenti relatati jgħinu fl-investigazzjoni ulterjuri.
Huwa biżżejjed li nħassar il-fajl u nimblokka PHP fil-folder tal-upload?
It-tnejn huma meħtieġa, imma mhux biżżejjed. Iċċara addizzjonalment kif il-fajl wasal hemm, fittex partijiet oħra u biddel id-dettalji tal-aċċess. Inkella l-attakkant jirritorna mill-istess triq.