發送「php：// input」的攻擊者涉及哪些類型的漏洞？

Question

我的網站剛剛被攻擊者轟炸，試圖將「php：// input」傳遞給他們想到的任何GET/POST變量。如果這是爲了利用漏洞，我不知道它。這個用戶可能試圖利用什麼？

Answer 1

http://www.owasp.org/index.php/Top_10_2007-Malicious_File_Execution

PHP：//輸入從傳入請求讀取數據。基本上，攻擊者可能會試圖做的是通過「PHP：//輸入」成弱PHP指令，例如：

include $_REQUEST['filename']; 

這將允許攻擊者在PHP文件的「內容」發送到通過請求執行，從而允許他在你的機器上執行php代碼

Answer 2

也許任何人在PHP輸入上運行eval？

$data = file_get_contents('php://input'); 
eval($data); 

我個人沒有見過這個，但我敢打賭有人認爲它可能是安全的。

Answer 3

這可能是對通過原始請求數據傳遞的PHP代碼進行評估的一種嘗試 - 雖然看起來有點充滿希望。