O PHP traz consigo algo bem curioso. O motivo da existência deve ser o mesmo dos demais “Easter Eggs” que encontramos em softwares (inclusive das gigantes desenvolvedoras) por aí: uma mera brincadeira. Mas no cenário dos WebApps tudo pode ser visto de forma diferente…
Para muitos, isto aqui não é novidade alguma. Mas posso jurar que eu desconhecia até então.
Apesar de antigo, este “recurso” (?!?) funciona em qualquer instalação do PHP com configurações padrões e pode ser usado em qualquer script que passe pelo interpretador PHP. Trata-se de uma série de imagens que são retornadas com querys específicas.
Adicione ao fim da URL de qualquer script .php “?=PHPE9568F36-D428-11d2-A769-00AA001ACF42” .. e como consequencia, você verá uma das imagens abaixo:
Deixando o lado bizarro\curioso de lado, a existencia disso pode ter um lado interessante para fins de segurança:
Para a primeira situação que citei, aqui vão informações uteis:
* Testado por 0php.com; ** Versão rodando no FalandoDeSegurança; *** Versão rodando no site oficial do php (php.net) segundo headers.
Já para a segunda situação, aqui vai um exemplo de alert que nos diz se um certo site roda ou não PHP.
<img src=”http://www.link-do-alvo.com/?=PHPE9568F36-D428-11d2-A769-00AA001ACF42“ onerror=”alert(‘PHP não detectado’);” onload=”alert(‘PHP encontrado!’);“>
Outras querys válidas, que desta vez não são Easter Eggs, mas sim de uso interno do PHP para compor a página gerada pela função phpinfo():
Para desativar o Easter Egg, o seguinte valor deve ser especificado na php.ini:
expose_php = off
Por hoje é só. Se fizer o teste em outras versões do PHP, deixe aí no comentário qual imagem apareceu e sua respectiva versão. E, bem… como disse, isto não é novidade. Apenas quis reforçar o fato de podermos usa-lo para fingerprint e em CSRFs. Se você já conhecia esta, por favor, perdoe-me 
Até a próxima!
Fonte: 0php.com
Sou Gabriel Lima, estudante de análise e desenvolvimento de sistemas, e entusiasta da segurança da informação desde criança. Criei o Falando de Segurança com a intenção de compartilhar conhecimentos da área, através de video-posts demonstrando o uso de ferramentas, discutindo cenários, notícias, etc.
...Leia mais
Oi, e possivel desativar o phpinfo(); diretamente nas entradas do php.ini?
Poderia sugerir outras funcoes que possam oferecer alguma brecha de seguranca?
Fala, Levi! Obrigado pela visita e pelo comentário. Tenho aqui em um de meus rascunhos uma série de funções que são usadas nos PHP Backdoors (também conhecidos como php shells ou php cmd)… Confesso não conhecer todas, mas a documentação de cada uma delas pode ser encontradas no http://www.php.net . Entre elas, estão funcoes que executam comandos no S.O, exibem informações do proc ou do usuário, entre muitos outros que podem ser usados para estes fins. Aqui vão eles:
disable_functions = “system,passthru,exec,popen,proc_close,proc_get_st atus,proc_nice,proc_open,proc_terminate,shell_exec ,highlight_file,escapeshellcmd,define_syslog_varia bles,posix_uname,posix_getpwuid,apache_child_termi nate,posix_kill,posix_mkfifo,posix_setpgid,posix_s etsid,posix_setuid,escapeshellarg,posix_uname,ftp_ exec,ftp_connect,ftp_login,ftp_get,ftp_put,ftp_nb_ fput,ftp_raw,ftp_rawlist,ini_alter,ini_restore,inj ect_code,syslog,openlog,define_syslog_variables,ap ache_setenv,mysql_pconnect,eval,phpAds_XmlRpc,phpA ds_remoteInfo,phpAds_xmlrpcEncode,phpAds_xmlrpcDec ode,xmlrpc_entity_decode,fp,fput”
Como já tenho este comando aqui anotado comigo por muito tempo, não me recordo a fonte\o autor das recomendações.
É claro, leia cada um e veja se você não os usa em seus scripts. Caso use, remova da lista.
Respondendo a sua pergunta do phpinfo(), basta adiciona-lo no fim deste comando que postei. No php.ini, o disable_functions serve exatamente para isso (especificar funções que devem ficar desativadas).
Também recomendo configurar para que o PHP não exiba mensagens de erro na tela.
Abraços.
E esses comandos, sao validos para o php.ini independente do sistema operacional em uso?
Obrigado por esse topico, que nos mostrou coisas interessantes.
Sim Levi, independe do S.O.
Eu que agradeço por sua visita e comentário. Volte sempre!