existe algum motivo válido para os usuários solicitarem phpinfo ()

Question

Estou trabalhando em escrever um conjunto de regras para o fail2ban para tornar a vida um pouco mais interessante para quem quer que esteja tentando forçar sua entrada no meu sistema. Uma boa maioria das tentativas tendem a girar em torno de tentar entrar em phpinfo () através do meu servidor web, como abaixo

GET //pma/config/config.inc.php?p=phpinfo(); HTTP/1.1
GET //admin/config/config.inc.php?p=phpinfo(); HTTP/1.1
GET //dbadmin/config/config.inc.php?p=phpinfo(); HTTP/1.1
GET //mysql/config/config.inc.php?p=phpinfo(); HTTP/1.1

Eu estou querendo saber se há algum motivo válido para um usuário tentar acessar phpinfo () via apache, já que se não, eu posso simplesmente usar isso, ou mais especificamente o regex

GET //[^>]+=phpinfo\(\)

como um filtro para eliminar esses ataques

    

Answer 1

bem - se você pode executar o comando phpinfo desta maneira [através de alguma vulnerabilidade no php que código do eval fornecido pelo url] - ele pode seja bem usado para baixar algum binário e executá-lo ou talvez incluir código do servidor remoto.

de qualquer forma - se eu fosse você - eu não apenas agia vendo o phpinfo na url, mas também qualquer solicitação resultante para o phpmyadmin / pma / outros scripts populares da web.

ainda - lembre-se de verificar regularmente o software que seus usuários instalaram para evitar phpbbs / phpmyadmins desatualizados e outros. e proteja seu servidor - dê uma olhada aqui e aqui .