近日PEAR 官方发布推文， 有个 go-pear.phar 安装包出现一个安全问题。

这意味着，如果你在过去 6 个月内从其官方网站下载了 PHP PEAR 包管理器(PHP PEAR package manager)，则你的服务器很可能已经受到了攻击。

如果你在近六个月下载过这个 go-pear.phar 文件，你可以去 GitHub https://github.com/pear/pearweb_phars 复制一份相同版本的副本文件，比较两文件的哈希值。如果不一样，你的文件很可能就是被篡改的。

上周，PEAR 的维护人员在发现有人用核心 PEAR 文件系统中的篡改版本替换了原来的 PHP PEAR 包管理器 ( go-pear.phar ) ，于是他们关闭了 PEAR 的官方网站。目前官方未公布服务重建的预计完成时间，不过维护人员目前正在进行调查，以确定攻击的范围以及攻击者最初是如何设法对服务器进行攻击的。

尽管 PEAR 开发人员仍在分析恶意程序包，根据 2019 年 1 月 19 日发布的一份安全声明，我们可以知道，被恶意代码污染的安装文件的下载时间已经至少有半年了。

PEAR 是 PHP 扩展与应用库 ( the PHP Extension and Application Repository ) 的缩写。它是一个 PHP 扩展及应用的一个代码仓库，简单地说，PEAR 之于 PHP 就像是 CPAN ( Comprehensive Perl Archive Network ) 之于 Perl。PHP 扩展和应用程序存储库(PEAR)是一个社区驱动的框架和分发系统，它使任何人都可以搜索和下载用 PHP 编程语言编写的免费库。这些开源库(更好地称为包)允许开发人员在其项目和网站中轻松添加其他功能，包括身份验证，缓存，加密，Web 服务等等。PEAR 的基本目标是发展成为 PHP 扩展和库代码的知识库，而这个项目最有雄心的目标则是试图定义一种标准，这种标准将帮助开发者编写可移植、可重用的代码。

当你为 Unix/Linux/BSD 系统下载 PHP 软件时，PEAR 下载管理器(go-pear.phar)已预先安装，而 Windows 和 Mac OS X 用户需要手动安装该组件。

现在可以在 Github 上下载一个新的干净版本，即 1.10.10 版本的 pearweb_pharshttps://github.com/pear/pearweb_phars/releases/tag/v1.10.10，Github 也重新发布了干净的 go-pear 版本。

受污染的 go-pear.phar 版本为 1.10.9，现在每个受污染的 phar 文件都含有独立的 GPG 签名。但目前只发现 pear.php.net 服务器上的副本受到了影响，因此影响了 go-pear 的 GitHub 副本。

开发人员进一步通知说，只有 pear.php.net 服务器上的副本受到了影响，据他们所知， go-pear.phar 的 GitHub 副本并没有受到影响。

由于 PEAR 没有公布任何细节，目前仍不清楚谁是这次袭击的幕后黑手。

所有在过去六个月内从官方网站下载安装文件 go-pear.phar 的 PHP / PEAR 用户，都应该是受到了攻击，我们建议快速下载并安装 Github 版本。

分析进展和安全注意事项

在分析了包管理器的受污染版本之后，维护团队发现恶意模块是通过 Perl 在 IP 104.131.154.154 服务器生成反向 shell，通受感染的服务器，攻击者可以完全控制包管理器，比如安装恶意应用程序、运行恶意代码和窃取敏感数据。

德国网络安全组织 DCSO 也分析了这个受污染的代码，该组织表示，服务器 IP 地址 104.131.154.154 指向一个网络域名 bestlinuxgames [ . ] com，这个可能是攻击者使用的一个受到攻击的主机。另外 PEAR 团队在一系列推文中也表示：

除了发现这个 IP 外，目前还没有发现其他漏洞，install-pear-nozlib.phar 也没问题，GitHub 上的 go-pear.phar 文件也没有问题，这些文件可以用作对于任何可疑 md5sum 副本的比较。所以，如果你是在 2018 年 12 月 20 号之后下载的 go-pear.phar，且在系统上安装了 PEAR 包，那么你应该与安全的副本做个比较，特别是如果系统中有 "sh" 和 "perl" 可用时。如果你是在 2018 年 12 月 20 日之前下载了 go-pear.phar，则不用担心。

另外，本次的污染不会影响 PEAR 安装程序包本身，它只会影响你最初安装 PEAR 安装程序时使用的 go-pear.phar 可执行文件，这意味着使用 pear 命令安装各种 PEAR 包是不受此次影响的。