宇宙最强语言 PHP 爆出 DoS 漏洞,可以直接灌满 CPU

[johnsneakers]

测了一下,真的可以。
消息详情:
http://www.nsfocus.com.cn/report/php_multipart-form-data_remote_dos_vulnerability_analysis_protection.pdf

[shiny]

lz 头像很应景

[Pastsong]

配合头像观看...

[rwalle]

我贴一下检测网址：
https://portal.nsfocus.com/vulnerability/list/
试了一下，几个常去的网站似乎都中招了

[endrollex]

放狗搜php 69364，没多少词条，是很严重的问题吗？

[kn007]

新闻跟楼主头像绝配

[fullpowers]

楼主头像躺枪

[wy315700]

楼上回答就3楼是切题的。


DoS漏洞，不是很严重，但是这个漏洞的利用实在是太简单了。如果不做准备，随随便便就可以把站搞趴下
@endrollex

[coffeecat]

用WordPress的貌似都有这个漏洞。。

[maoyipeng]

呃 为啥apache 爆500 nginx 爆405

[66CCFF]

tooooooooooooooooooooooooooooooooooold

[FindHao]

O_0

[missdeer]

还好只是搭了个wordpress，在官方不出补丁头，只好先停掉了

[powtop]

如何修复

[laoyuan]

PHP7 影响么？

[lissome]

5.6 没有这个漏洞？

[fork3rt]

@lissome 貌似只有PHP5.4和PHP5.5有

[sanddudu]

@missdeer 官方已经出了，去 php 官网下最新版

[66beta]

平时上的大站都无法检测，机房的防火墙吧
自己的VPS立马露怯

[RIcter]

全版本 PHP 影響，一般開上幾十個 threads 跑上一會兒就掛了

[ca1n]

全版本 PHP 影響，一般開上幾十個 threads 跑上一會兒就掛了

[liuchen9586]

WHAT THE FUCK
有没有对策？

[crazycen]

很早之前博客换php5.6.5。目前不受影响！

[laoyuan]

CentOS 好弄，remi 库已经是5.4.41了，Ubuntu 还得编译

[moro]

官方已经更新了。

[yangxin0]

前几天patch都打上去了

[C0VN]

怪不得1024这几天挂了

[w99wen]

@xavierskip 真爱

[seki]

wtf
看了一下 ubuntu LTS 的包补丁还没来……真的要让我下源码自己编译么……

[b821025551b]

我去升级了

[abscon]

@missdeer 为什么要停掉。中了这个漏洞最坏的结果也就是CPU跑满网站没有响应，你一停掉，相当于最坏的结果已经发生了——除非你这台服务器上还有其他更重要的非PHP的系统，需要确保它的运行

[surfire91]

@rwalle
这个工具不好使啊，提示“您的检测目标无法检测”

[rwalle]

@fork3rt 都受到影响，不过5.3及以前的版本php官方说已经不在支持生命周期内，不管了，自己看着办

[lincanbin]

为什么我用的PHP 5.6.5，却提示没有此漏洞？

[lyragosa]

测了一下是有漏洞

问题是怎么才能拖满100%呢？

[clockwerk]

简直炫酷。。。。

[johnsneakers]

@lyragosa
http://drops.wooyun.org/papers/6077

看这个，最后一个测试代码，脱下来改改

[582033]

@lyragosa 多创建几个进程发送请求,就100%了

拿自己blog试了下，一个进程就死翘翘了

[lyragosa]

@582033
@johnsneakers
感谢

不过我自己的个人网站却测试没有漏洞

上服务器看了下，php版本莫名其妙变成最新版了。估计是某些自动升级脚本处理的……

[invite]

宇宙最强的PHP，必须配置宇宙最强的CPU啊，这样的CPU，岂是DoS能搞定的？

[v1024]

这个已经修复了，目前看的是运维反应速度。

[g8287694]

@v1024
5.2X的版本 也有了？

[mikumikumoe]

静态网页大法好

[v1024]

@g8287694
5.2 不是早就停止维护了么

[ajan]

楼主潮吹了？

[mrbaiwei]

有没有大神提供下php-5.3.29/php-5.2.17的补丁

[msg7086]

@abscon 根本就不是最坏的情况……
最坏的情况是你用的VPS使用了超过正常值的CPU资源，影响了同台母机的其他服务器结果被服务商封停。

[missdeer]

@abscon CPU跑满会被VPS商警告甚至干掉

[ThomasChan]

哈哈 我司的网站输进去提示无法检测。。。

[magal]

怪不得有些网站挂了

[deepreader]

开到100万行，30个thread，target还没挂掉。。。。求破

[lshero]

@ThomasChan 目测用了CDN或者负载或者是运维好心把X-Powered-By之类的头信息干掉了

[Pastsong]

http://php.net/ 提供了 5.4.41、5.5.25、5.6.9 的release

[run2]

http://sm.gamebbs.qq.com/forum.php
您的检测目标存在此漏洞

看腾讯的－。－ 估计一堆dz论坛的服务器遭了

[honeyshine75]

@rwalle wu 检测目标无法检测是什么意思？

[Haiwx]

希望赶紧修复 -_-||

[tabris17]

我写了个Exploit测试了一下，没有用啊。难道是我打开的方式不对？

[barbery]

额。。。数据多一点就nginx报500，少的话PHP没压力，我觉得是不是我的header构造错了，求个demo

[johnsneakers]

http://drops.wooyun.org/papers/6077
@tabris17
@barbery

拉倒最后， 有python测试代码，cp出来就可以用

[1265578519]

http://bbs.itzmx.com/thread-9063-1-1.html

解决了

[Sendya]

检测了一下博客，提示无法检测...
拿测试代码测了 的确有100%CPU

[tabris17]

@johnsneakers 试过了，19行“fd = urllib2.urlopen(req,post_body)”老是Timeout异常，加了try，再测。依然是没有反应啊

[shilipai0v0]

头像还真配………………

[anyrn0us]

火星了，已经用了好几天了，爽 YY 的

[abscon]

@msg7086
@missdeer 呃，你没说是跑在 VPS 上的。再说，VPS 上 CPU 的使用率一般都有限制吧。

[naver1]

"您的检测目标无法检测"

[mengzhuo]

自己的VPS囧了
PHP 5.5.9
直接100%

[charle9]

好吧，看了开头以为绿盟修复的，后面发现绿盟知道的时候其实已经有补丁了。。然后绿盟做了个检测的东东。。。

[mengzhuo]

改了改~
给那些懒人用的gist
https://gist.github.com/mengzhuo/c51f062b936ddf66a3f1

[msg7086]

@abscon 跑在VPS上的PHP应该比独服上的多吧。（不考虑虚拟主机那种情况的话。
CPU的使用率有限制，不过很多好的服务商都会多给几倍的量，供burst使用。
比如ramnode，如果你满载cpu时间太长就会出事。

[xzem]

php 5.3.28 已测试，哭.....

[simapple]

https://coding.net/u/simapple/p/oldphppatch/git php 5.3 民间补丁

检测是有一个值的 最好是自己检测 http://drops.wooyun.org/papers/6077 改改代码

[bazingaterry]

回头一看，博客挂了。

[wdlth]

看来得回去重新编译一次HHVM

[vibbow]

奇怪了，我PHP明明是旧版的，检测却没有问题...

[loading]

完咯，我的vps装了php当文件服务，就为了配合h5ai，不过还好，有nginx认证挡住…

[wwek]

从 PHP 5.3.X 迁移到 PHP 5.4.X http://php.net/manual/zh/migration54.php
来看 迁移成本较低的~
所以建议php5.3.x系列的升级到 php5.4.41去

[wwek]

@simapple 谢谢``````

[wwek]

@simapple 请问这个补丁怎么使用`

[wwek]

@simapple 已找到资料 linux patch 打补丁

[typcn]

/t/192521

压测脚本 2333

[lzxgh621]

为什么非要用“宇宙最强语言”？
鄙视。

[herozzm]

php5.2.17没补丁，等死吗？

[lzxgh621]

顺便 我的检测不到。。

[lincanbin]

@lzxgh621 那个检测是不准的，早上我检测了没事，就打算今天午夜人少的时候才来升级到5.6.9
没想到刚才八点多的时候就被人炸了，load直飙800，我都进不去SSH了，差点被服务商把整个VPS给格了。

[300]

无法检测
Ubuntu 14.04 +nginx 1.9+ hhvm

[guoran728]

大刑斥候了啊！

[stanhou]

像UBUNTU这样的系统自带的PHP版本都落后，要怎么升级到最新？

[alisasiky]

先不说问题，头像绝配啊

[laotaitai]

@seki 编译就仅仅三条命令 ./config && make && make install, 可是, 装最新版, 还是有个毛用哦.

[seki]

@laotaitai 主要是配置文件之类的得小心备份什么的，懒……

[phithon]

@mrbaiwei
5.2/5.3补丁一枚：
https://gist.github.com/chtg/4aecda8ae4928f8fb1b2
我昨天也是熬夜把博客的php版本编译到5.6.9了

[mingyun]

php还是最好的语言吗