在近期的手机软件供应链管理进攻中，PHP官方网Git库房被黑客入侵，代码库被伪造。近日，PHP维护保养工作人员表明网络黑客很有可能早已具有了包括登陆密码的客户数据库查询。
3月28日，攻击者应用PHP的创作者Rasmus Lerdorf和Jetbrains开发人员Nikita Popov的账户，向git.php.net网络服务器上的 php-src 储存库消息推送了2次故意递交。
客户数据库查询很有可能已被侵入
本次事件最开始被视作git.php.net网络服务器的泄露。但对事件开展进一步调研发觉，这种递交是应用HTTPS和根据登陆密码的验证消息推送的結果，这让科研工作人员猜疑master.php.net客户数据库查询很有可能存有泄露。
与此同时，科学研究工作人员还发觉网络黑客必须对登录名开展几回猜想，一旦寻找恰当的登录名，就会取得成功验证。但假如数据库查询早已泄露，为何网络黑客还必须开展猜想呢?现阶段，科学研究工作人员都还没寻找缘故。
除此之外，听说master.php.net认证系统应用的是十分老的系统软件和PHP的版本，这就促使攻击者也是有很有可能利用计算机的系统漏洞来启动进攻。
因而，维护者早已将master.php.net转移到新的main.php.net系统软件中，并适用TLS 1.2。除此之外，维护者还重设了全部目前的登陆密码，并应用bcrypt而不是一般的MD5hach储存登陆密码。
事件回望
PHP Git网络服务器被嵌入RCE侧门
PHP是一种开源系统的电子计算机开发语言，为互联网技术上超出79%的站点给予驱动力。因而，事件一经曝出被造成了明显关心。
责任人Popov在公示中表明，她们现阶段还不知道事件是如何出现的，可是本次事件造成的不良影响是git.php.net网络服务器的数据信息泄露而不是简易的单独账户的泄露。
官方消息
经观查，在2个故意递交中，攻击者在上下游公布了一个装作成调整文字输入不正确的神密改动。
攻击者以Rasmus Lerdorf的真实身份签定的故意递交(不法)嵌入远程控制执行命令侧门
殊不知，认真仔细一下新增加的第370行启用zend_eval_string函数公式的地区，可以发觉，这一段编码事实上是为运作遭劫持的PHP版本的网址注入了一个侧门，以得到轻轻松松的远程控制执行命令(RCE)。
PHP的开发人员表明，假如字符串数组以'zerodium'开始，这一行就会从useragent HTTP头内实行PHP编码。
除此之外，恶意程序中包括了一条注释 “REMOVETHIS: sold to zerodium, mid 2017”。特别注意的是，Zerodium是一家著名的零日系统漏洞交易商，而注解的意思是“系统漏洞在2017年中售卖给了zerodium”。对于此事，而Zerodium的CEO Chaouki Bekrar觉得攻击者很可能尝试售卖这一系统漏洞，但找不着商家，因此攻击者索性自身搞怪。
但是，PHP所属单位表明，故意递交几个小时后，就被她们在开展传统的编码核查时发觉。这种变更的故意很显著，因此迅速被复原了。
针对Git那样的源码版本自动控制系统而言，那样的事件会产生很一切正常。由于可以把上传的主要内容为加上当地一切一个人的签字，随后再把仿冒的递交內容上传入Git网络服务器上。这样一来，就会令人感觉这一递交的确是由签字的人递交的。
PHP官方网代码库转移到GitHub
做为本次事件后的防范措施，PHP维护保养工作人员决策将PHP官方网源码库转移至GitHub。
她们表明，尽管调研仍在继续，但为了更好地降低自身的Git基础设施建设所面临的风险性，她们决策关掉git.php.net的网络服务器。本来仅仅镜像文件的GitHub上的储存库，以后将变成宣布网络服务器。
而且，从今天开始，一切改动都需要立即发布到GitHub上而不是原来的网络服务器。
这些要想协助PHP的人可以申请办理在GitHub上被加上为PHP机构的一部分。但是，假如要变成该安排的一员，需先在自身的GitHub帐户上打开双因素认证。
现阶段，PHP仍在查验除开那2个故意递交外的危害，而且检测是不是有一切编码再故意递交被发觉以前被派发到中下游。
由来：bleepingcomputer