合肥市析客网络科技有限公司
首页 | 联系方式 | 加入收藏 | 设为首页 | 手机站

产品目录

联系方式

联系人:业务部
电话: 00124-32199
邮箱:service@taotong2008.com

当前位置:首页 >> 产品展示 >> 默认分类 >> 正文

PHP框架Lavarel被发现存在高危漏洞

详细信息:

1 月 31 日,白帽汇安全研究院发现了一个非常流行的 PHP 框架 Laravel,因其配置不当会泄露 MySQL,Redis,Elastic,Mongodb,neo4j,postgresql,SQLServer,Oracle,Firebird,sqlite,mail 账号密码和 APP_KEY 等敏感信息。

[图片]

雷锋网得知,相比其他的 PHP 框架 Laravel 具有了一套高级的 PHP ActiveRecord 实现 -- Eloquent ORM,比较适合应用各种开发模式,其集合了 php 比较新的特性以及各种各样的设计模式,比如 Ioc 容器,依赖注入等。

目前来看,Laravel 的使用者大多聚集在国外,国内更多采用的是 ThinkPHP 框架。尽管如此,在国内 Laravel 也受到政府级企业的青睐,比如:北京市税务局、铜山区政协、天津农学院等。

据 FOFA 系统最新数据显示,全球范围内共有 个开放服务。美国使用数量最多,共有 台,中国第二,共有 27534 台,德国第三,共有 19436 台,新加坡第四,共有 17070 台。

在中国,浙江使用 Laravel 框架服务器数量最多,共有 17188 台;北京第二,共有 5612 台,广东第三,共有 1046 台,上海第四,共有 891 台,山东第五,共有 820 台。

[图片]

通过上述情况,黑客能够通过高危漏洞利用 mysql 写入木马进行脱库处理,设置在服务器端植入后门,亦或利用数据库进行跳板入侵内网服务器。受到攻击之后,该应用的绝对路径、session、mysql 账号密码、邮箱账号密码、redis 密码都暴露在了前端,对于政府级别应用而言该漏洞很有可能造成国家级机密的泄露问题。

在泄露的信息中,MySQL 占很大一部分。其中有阿里云 MySQL 服务器、亚马逊云 MySQL 服务器、其他云厂商 MySQL 服务器,以及的自建的 MySQL 服务器。

修复建议:

1、关闭 laravel 配置文件中的调试功能,在 .env 文件中找到 APP_DEBUG=true,将 true 改为 false。

2、在根目录下添加 .htaccess 文件,仅限 Apache,可以禁止直接访问 127.0.0.1/laravel/.env,内容如下:

RewriteEngine on RewriteRule ^$ public/ [L] RewriteRule (.*) public/$1 [L]

文章来源:白帽汇