日期:2014-05-17  浏览次数:20505 次

php 漏洞又来了
最新的PHP补丁并不能修复漏洞

 星期三, 一個 PHP 远程代码执行漏洞被意外公开在网上, 引发了利用此漏洞可对大量网站实施入侵的恐慌. 该 bug 可以追溯到 2004 年, 在最近的 CTF 比赛中被暴露. ‘当 PHP 以 CGI 模式运行时 (如 Apache 的 mod_cgid), php-cgi 会接受处理一個查询字符串作为命令行参数以开启某些功能

  如 -s, -d 或 -c 传递给 php-cgi, 此处存在的漏洞可以允许攻击者查看源码或进行任意代码执行' CERT 说. PHP 开发者向 PHP 5.3.12 和 5.4.2 发布了补丁, 但很快被发现补丁并未能真的修补该漏洞.

目前最新的php版本是 5.4.2



------解决方案--------------------
试过php-cgi+apache组合,运行效率很低的,好像每次都要解析配置文件怎的。应该没人用到生产中去吧
------解决方案--------------------
是机器码的总有漏洞。
------解决方案--------------------
嗯, 说明天会发布又一个新版本....
------解决方案--------------------
总是会有漏洞
------解决方案--------------------
PHP code
php-cgi -h
Usage: php [-q] [-h] [-s] [-v] [-i] [-f <file>]
       php <file> [args...]
  -a               Run interactively
  -b <address:port>|<port> Bind Path for external FASTCGI Server mode
  -C               Do not chdir to the script's directory
  -c <path>|<file> Look for php.ini file in this directory
  -n               No php.ini file will be used
  -d foo[=bar]     Define INI entry foo with value 'bar'
  -e               Generate extended information for debugger/profiler
  -f <file>        Parse <file>.  Implies `-q'
  -h               This help
  -i               PHP information
  -l               Syntax check only (lint)
  -m               Show compiled in modules
  -q               Quiet-mode.  Suppress HTTP Header output.
  -s               Display colour syntax highlighted source.
  -v               Version number
  -w               Display source with stripped comments and whitespace.
  -z <file>        Load Zend extension <file>.
  -T <count>       Measure execution time of script repeated <count> times.

------解决方案--------------------
唉....表示忍着....
------解决方案--------------------
漏洞都漏都习惯拉。
结帖率:100.83%
------解决方案--------------------
能会利用这个漏洞的人,也不好找
------解决方案--------------------
新的5.4.3已经发布了.....嘿嘿,2个星期里发布了3个版本....