宇宙最强语言 PHP 爆出 DoS 漏洞,可以直接灌满 CPU

92 条回复 • 2015-05-24 14:05:39 +08:00

1

shiny

2015-05-20 01:24:21 +08:00

1

lz 头像很应景

2

Pastsong

2015-05-20 02:28:12 +08:00

配合头像观看...

3

rwalle

2015-05-20 07:01:34 +08:00

2

我贴一下检测网址：
https://portal.nsfocus.com/vulnerability/list/
试了一下，几个常去的网站似乎都中招了

4

endrollex

2015-05-20 07:12:00 +08:00

放狗搜php 69364，没多少词条，是很严重的问题吗？

5

kn007

2015-05-20 07:47:50 +08:00

新闻跟楼主头像绝配

6

fullpowers

2015-05-20 08:10:06 +08:00 via Android

楼主头像躺枪

7

wy315700

2015-05-20 08:28:52 +08:00

楼上回答就3楼是切题的。

DoS漏洞，不是很严重，但是这个漏洞的利用实在是太简单了。如果不做准备，随随便便就可以把站搞趴下
@endrollex

8

coffeecat

2015-05-20 08:47:33 +08:00

用WordPress的貌似都有这个漏洞。。

9

maoyipeng

2015-05-20 08:48:50 +08:00 via iPhone

呃为啥apache 爆500 nginx 爆405

10

66CCFF

2015-05-20 08:54:03 +08:00

tooooooooooooooooooooooooooooooooooold

11

FindHao

2015-05-20 09:06:45 +08:00

O_0

12

missdeer

2015-05-20 09:11:47 +08:00

还好只是搭了个wordpress，在官方不出补丁头，只好先停掉了

13

powtop

2015-05-20 09:12:45 +08:00

如何修复

14

laoyuan

2015-05-20 09:16:23 +08:00

PHP7 影响么？

15

lissome

2015-05-20 09:17:21 +08:00

5.6 没有这个漏洞？

16

fork3rt

2015-05-20 09:32:40 +08:00

@lissome 貌似只有PHP5.4和PHP5.5有

17

sanddudu

2015-05-20 09:34:36 +08:00 via iPhone

@missdeer 官方已经出了，去 php 官网下最新版

18

66beta

2015-05-20 09:35:27 +08:00

平时上的大站都无法检测，机房的防火墙吧
自己的VPS立马露怯

19

RIcter

2015-05-20 09:38:30 +08:00 via iPhone

全版本 PHP 影響，一般開上幾十個 threads 跑上一會兒就掛了

20

ca1n

2015-05-20 09:38:51 +08:00

全版本 PHP 影響，一般開上幾十個 threads 跑上一會兒就掛了

21

liuchen9586

2015-05-20 09:41:23 +08:00

WHAT THE FUCK
有没有对策？

22

crazycen

2015-05-20 09:44:46 +08:00 via iPhone

很早之前博客换php5.6.5。目前不受影响！

23

laoyuan

2015-05-20 10:02:41 +08:00

CentOS 好弄，remi 库已经是5.4.41了，Ubuntu 还得编译

24

moro

2015-05-20 10:04:57 +08:00

官方已经更新了。

25

yangxin0

2015-05-20 10:06:53 +08:00

前几天patch都打上去了

26

xavierskip

2015-05-20 10:10:19 +08:00

2

怪不得1024这几天挂了

27

w99wen

2015-05-20 10:19:40 +08:00

@xavierskip 真爱

28

seki

2015-05-20 10:31:06 +08:00

wtf
看了一下 ubuntu LTS 的包补丁还没来……真的要让我下源码自己编译么……

29

b821025551b

2015-05-20 10:31:31 +08:00

我去升级了

30

abscon

2015-05-20 10:34:00 +08:00

@missdeer 为什么要停掉。中了这个漏洞最坏的结果也就是CPU跑满网站没有响应，你一停掉，相当于最坏的结果已经发生了——除非你这台服务器上还有其他更重要的非PHP的系统，需要确保它的运行

31

surfire91

2015-05-20 10:41:24 +08:00

@rwalle
这个工具不好使啊，提示“您的检测目标无法检测”

32

rwalle

2015-05-20 10:41:59 +08:00

@fork3rt 都受到影响，不过5.3及以前的版本php官方说已经不在支持生命周期内，不管了，自己看着办

33

lincanbin

2015-05-20 10:45:10 +08:00 via iPad

为什么我用的PHP 5.6.5，却提示没有此漏洞？

34

lyragosa

2015-05-20 10:45:45 +08:00

测了一下是有漏洞

问题是怎么才能拖满100%呢？

35

nellace

2015-05-20 10:46:46 +08:00

简直炫酷。。。。

36

johnsneakers

OP

2015-05-20 10:50:19 +08:00

@lyragosa
http://drops.wooyun.org/papers/6077

看这个，最后一个测试代码，脱下来改改

37

582033

2015-05-20 10:51:45 +08:00

@lyragosa 多创建几个进程发送请求,就100%了

拿自己blog试了下，一个进程就死翘翘了

38

lyragosa

2015-05-20 11:01:55 +08:00

@582033
@johnsneakers
感谢

不过我自己的个人网站却测试没有漏洞

上服务器看了下，php版本莫名其妙变成最新版了。估计是某些自动升级脚本处理的……

39

invite

2015-05-20 11:03:47 +08:00

宇宙最强的PHP，必须配置宇宙最强的CPU啊，这样的CPU，岂是DoS能搞定的？

40

v1024

2015-05-20 11:10:42 +08:00

这个已经修复了，目前看的是运维反应速度。

41

g8287694

2015-05-20 11:11:31 +08:00

@v1024
5.2X的版本也有了？

42

mikumikumoe

2015-05-20 11:12:37 +08:00

静态网页大法好

43

v1024

2015-05-20 11:22:46 +08:00

@g8287694
5.2 不是早就停止维护了么

44

ajan

2015-05-20 11:30:40 +08:00

楼主潮吹了？

45

mrbaiwei

2015-05-20 11:43:32 +08:00

有没有大神提供下php-5.3.29/php-5.2.17的补丁

46

msg7086

2015-05-20 11:45:37 +08:00

@abscon 根本就不是最坏的情况……
最坏的情况是你用的VPS使用了超过正常值的CPU资源，影响了同台母机的其他服务器结果被服务商封停。

47

missdeer

2015-05-20 11:47:54 +08:00

@abscon CPU跑满会被VPS商警告甚至干掉

48

ThomasChan

2015-05-20 11:52:40 +08:00

哈哈我司的网站输进去提示无法检测。。。

49

magal

2015-05-20 12:07:47 +08:00 via Android

怪不得有些网站挂了

50

deepreader

2015-05-20 12:20:12 +08:00

开到100万行，30个thread，target还没挂掉。。。。求破

51

lshero

2015-05-20 12:33:50 +08:00

@ThomasChan 目测用了CDN或者负载或者是运维好心把X-Powered-By之类的头信息干掉了

52

Pastsong

2015-05-20 12:33:54 +08:00

http://php.net/ 提供了 5.4.41、5.5.25、5.6.9 的release

53

sobigfish

2015-05-20 12:41:09 +08:00

http://sm.gamebbs.qq.com/forum.php
您的检测目标存在此漏洞

看腾讯的－。－估计一堆dz论坛的服务器遭了

54

honeyshine75

2015-05-20 13:03:10 +08:00

@rwalle wu 检测目标无法检测是什么意思？

55

Haiwx

2015-05-20 14:24:31 +08:00 via Android

希望赶紧修复 -_-||

56

tabris17

2015-05-20 14:26:57 +08:00

我写了个Exploit测试了一下，没有用啊。难道是我打开的方式不对？

57

barbery

2015-05-20 14:52:44 +08:00

额。。。数据多一点就nginx报500，少的话PHP没压力，我觉得是不是我的header构造错了，求个demo

58

johnsneakers

OP

2015-05-20 14:59:44 +08:00

http://drops.wooyun.org/papers/6077
@tabris17
@barbery

拉倒最后，有python测试代码，cp出来就可以用

59

1265578519

2015-05-20 15:09:51 +08:00

http://bbs.itzmx.com/thread-9063-1-1.html

解决了

60

Sendya

2015-05-20 15:18:53 +08:00

检测了一下博客，提示无法检测...
拿测试代码测了的确有100%CPU

61

tabris17

2015-05-20 15:24:25 +08:00

@johnsneakers 试过了，19行“fd = urllib2.urlopen(req,post_body)”老是Timeout异常，加了try，再测。依然是没有反应啊

62

shilipai0v0

2015-05-20 15:32:37 +08:00

头像还真配………………

63

anyrn0us

2015-05-20 16:00:34 +08:00

火星了，已经用了好几天了，爽 YY 的

64

abscon

2015-05-20 16:26:01 +08:00 via iPhone

@msg7086
@missdeer 呃，你没说是跑在 VPS 上的。再说，VPS 上 CPU 的使用率一般都有限制吧。

65

DT27

2015-05-20 16:34:06 +08:00

"您的检测目标无法检测"

66

mengzhuo

2015-05-20 16:45:37 +08:00

自己的VPS囧了
PHP 5.5.9
直接100%

67

charle9

2015-05-20 16:55:49 +08:00

好吧，看了开头以为绿盟修复的，后面发现绿盟知道的时候其实已经有补丁了。。然后绿盟做了个检测的东东。。。

68

mengzhuo

2015-05-20 16:55:52 +08:00

1

改了改~
给那些懒人用的gist
https://gist.github.com/mengzhuo/c51f062b936ddf66a3f1

69

msg7086

2015-05-20 16:57:12 +08:00

@abscon 跑在VPS上的PHP应该比独服上的多吧。（不考虑虚拟主机那种情况的话。
CPU的使用率有限制，不过很多好的服务商都会多给几倍的量，供burst使用。
比如ramnode，如果你满载cpu时间太长就会出事。

70

xzem

2015-05-20 16:59:54 +08:00

php 5.3.28 已测试，哭.....

71

simapple

2015-05-20 17:18:03 +08:00

https://coding.net/u/simapple/p/oldphppatch/git php 5.3 民间补丁

检测是有一个值的最好是自己检测 http://drops.wooyun.org/papers/6077 改改代码

72

bazingaterry

2015-05-20 17:23:16 +08:00

回头一看，博客挂了。

73

wdlth

2015-05-20 18:02:28 +08:00

看来得回去重新编译一次HHVM

74

vibbow

2015-05-20 20:01:10 +08:00

奇怪了，我PHP明明是旧版的，检测却没有问题...

75

loading

2015-05-20 20:07:28 +08:00 via Android

完咯，我的vps装了php当文件服务，就为了配合h5ai，不过还好，有nginx认证挡住…

76

wwek

2015-05-20 20:19:46 +08:00

从 PHP 5.3.X 迁移到 PHP 5.4.X http://php.net/manual/zh/migration54.php
来看迁移成本较低的~
所以建议php5.3.x系列的升级到 php5.4.41去

77

wwek

2015-05-20 20:20:09 +08:00

@simapple 谢谢``````

78

wwek

2015-05-20 20:26:25 +08:00

@simapple 请问这个补丁怎么使用`

79

wwek

2015-05-20 20:29:30 +08:00

@simapple 已找到资料 linux patch 打补丁

80

typcn

2015-05-20 20:39:10 +08:00

/t/192521

压测脚本 2333

81

lzxgh621

2015-05-20 21:23:32 +08:00

为什么非要用“宇宙最强语言”？
鄙视。

82

herozzm

2015-05-20 21:23:42 +08:00

php5.2.17没补丁，等死吗？

83

lzxgh621

2015-05-20 21:23:56 +08:00

顺便我的检测不到。。

84

lincanbin

2015-05-20 21:32:34 +08:00

@lzxgh621 那个检测是不准的，早上我检测了没事，就打算今天午夜人少的时候才来升级到5.6.9
没想到刚才八点多的时候就被人炸了，load直飙800，我都进不去SSH了，差点被服务商把整个VPS给格了。

85

winterbells

2015-05-20 21:49:05 +08:00 via Android

无法检测
Ubuntu 14.04 +nginx 1.9+ hhvm

86

guoran728

2015-05-20 21:56:26 +08:00

大刑斥候了啊！

87

stanhou

2015-05-20 22:10:34 +08:00

像UBUNTU这样的系统自带的PHP版本都落后，要怎么升级到最新？

88

alisasiky

2015-05-20 22:30:09 +08:00

先不说问题，头像绝配啊

89

laotaitai

2015-05-21 04:19:03 +08:00

@seki 编译就仅仅三条命令 ./config && make && make install, 可是, 装最新版, 还是有个毛用哦.

90

seki

2015-05-21 09:13:27 +08:00

@laotaitai 主要是配置文件之类的得小心备份什么的，懒……

91

phithon

2015-05-21 17:34:54 +08:00

@mrbaiwei
5.2/5.3补丁一枚：
https://gist.github.com/chtg/4aecda8ae4928f8fb1b2
我昨天也是熬夜把博客的php版本编译到5.6.9了

92

mingyun

2015-05-24 14:05:39 +08:00

php还是最好的语言吗