网站爆出phpinfo的解决方法和危害说明
- 原创
- |
- 浏览：6907
- |
- 更新：
- |
- 标签：服务器
![网站爆出phpinfo的解决方法和危害说明]()
1![网站爆出phpinfo的解决方法和危害说明]()
2![网站爆出phpinfo的解决方法和危害说明]()
3![网站爆出phpinfo的解决方法和危害说明]()
4![网站爆出phpinfo的解决方法和危害说明]()
5![网站爆出phpinfo的解决方法和危害说明]()
6
检测网站的时候无意看找到一个问题，不知道是不是网站没有配置好，后面查了一下原来是php自带的问题，网站地址后面加”?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000 “即可直接爆出phpinfo信息（如下图）。不是程序问题，也不是安装的插件问题，做为站长开发者应该都知道，这个是php环境的信息（属于：php的漏洞问题，Easter Egg的bug。这个比较早了），做为站长为了站的安全应该屏蔽此页面显示。下面就为大家分享解决方法。
方法/步骤
既然访问 域名+?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000 会爆出phpinfo信息，那么我就能要从php下手，先看下（下面图）上的信息，有没有可疑的设置。在正常环境下是不需要改动的。
![网站爆出phpinfo的解决方法和危害说明]()
phpinfo()是用来显示当前php环境的函数配置，许多站点和程序都会将phpinfo放在自己的站点上或者在程序里显示用来查看函数，但是phpinfo里存在一些安全问题，导致精心构造数据就可以产生一个跨站脚。主要因为php.ini文件没有配置好。php.ini文件位置（如下图），此图是根据作者本机位置，其他环境中的位置，根据PHP环境安装目录查找即可。
![网站爆出phpinfo的解决方法和危害说明]()
知道phpinfo就能利用漏洞代码进行攻击，这个对一个站点或者整个服务器是非常危险的。
漏洞利用代码：
<html> <head> <META HTTP-EQUIV="CONTENT-TYPE" CONTENT="text/html; charset=UTF-7"> </head> <body> <iframe src="http://域名/phpinfo.php? ADw-SCRIPT AD4-alert(document.domain); ADw-/SCRIPT AD4-=1">
![网站爆出phpinfo的解决方法和危害说明]()
危害：以上代码在IE7 php 5.2.6测试成功。phpinfo页面的xss甚至比其他页面更加危险，因为如果有phpinfo的存在，恶意攻击者可以利用phpinfo的输出bypass如httponly和一些基础认证。 最好在配置应用程序的时候用安全工具检测一下自己的环境。
![网站爆出phpinfo的解决方法和危害说明]()
- 本页面未经授权抓取自百度经验
说明：
漏洞影响： 影响所有版本的php和浏览器IE7 漏洞修补： 建议暂时删除站点的phpinfo页面避免被人利用。
![网站爆出phpinfo的解决方法和危害说明]()
解决方法爆出phpinfo的方法：
通过修改服务器环境内php.ini文件。
找到：expose_php = On 修改成： expose_php = Off 然后重启php即可。
修改位置可以批量查找”expose_php“。（如下图）找到修改即可。
![网站爆出phpinfo的解决方法和危害说明]()
END
