V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
idragonet
V2EX  ›  PHP

PHP 拒绝服务安全漏洞(CVE-2018-19396) 如何解决?

  •  
  •   idragonet · 2022-06-21 19:39:23 +08:00 · 2022 次点击
    这是一个创建于 646 天前的主题,其中的信息可能已经有所发展或是发生改变。

    部署公司官网到集团 VPS ,集团上线前安全检查提示:PHP 拒绝服务安全漏洞(CVE-2018-19396)

    环境:Centos7+LNMP ( PHP 5.6.4 )

    13 条回复    2022-06-22 17:15:56 +08:00
    Crystal8899
        1
    Crystal8899  
       2022-06-21 21:04:25 +08:00
    更新升级不就行了嘛?这有啥要问的,又不是历史老系统
    idragonet
        2
    idragonet  
    OP
       2022-06-21 22:06:16 +08:00
    @Crystal8899 试试 PHP 7.X 第三方做的网站,也不知道兼容不。
    jhdxr
        3
    jhdxr  
       2022-06-22 00:07:23 +08:00   ❤️ 1
    @idragonet https://endoflife.date/php
    5.6 在 3 年半前 EOL ( security support ,不只是 active support )。7.x 在 5 个月后也会终止 security support ( active support 在半年前也已经终止)


    顺便说一句,虽然老版本的 php 也不是不能用(自己 patch 就行),但我猜你自己应该搞不定,也没预算找人搞。
    那就最后再给个掩耳盗铃的提示吧,你们集团多半是根据版本号扫描的。。。
    NjcyNzMzNDQ3
        4
    NjcyNzMzNDQ3  
       2022-06-22 09:14:07 +08:00
    3L + 1, 就是通过版本号扫描的,扫描报告只说漏洞编号,没有攻击过程。
    zhuangjia
        5
    zhuangjia  
       2022-06-22 09:40:54 +08:00
    能升级就升级吧
    Rache1
        6
    Rache1  
       2022-06-22 10:32:49 +08:00
    估计是版本号检测,你可以自己下载这个版本的代码,然后去改一下,对应的位置不一定是这个,解决办法就是阻止这几个对象的 [反]序列化。

    https://github.com/php/php-src/commit/570d9b63e91ad42c7d7b4513e0072f907dc1c72e

    基于前面的讨论很应该是根据版本号检测的,所以如果你不想被检测的话, 还需要改一下版本号。

    这个是在 7.2.x 里面被修复的。

    PHP :: Bug #77177 :: Serializing or unserializing COM objects crashes
    https://bugs.php.net/bug.php?id=77177
    idragonet
        7
    idragonet  
    OP
       2022-06-22 11:16:48 +08:00
    @Rache1 今天升级到 7.2.34 结果第三方帮我们做的网站 500 了。
    pckillers
        8
    pckillers  
       2022-06-22 12:14:53 +08:00   ❤️ 1
    前两天遇到 CVE-2022-31626 、CVE-2022-31625 这两 PHP 的漏洞,也遇到了和 LZ 一样的问题,远古系统升级不动。

    github 上有个人维护的 PHP 修了主要安全漏洞的老版本,5.x 7.x 都有
    https://github.com/remicollet/php-src-security/tree/PHP-5.6-security-backports

    编译完虽然代码是跑起来了,但是扔给负责安全的机构扫描,看到版本号不对就直接打回了,根本不关心具体的漏洞有没有修掉。

    改源码里的版本号是是不可能改的,这种标准的背锅侠操作打死我也是不会去做的。 现在就是每天问候第三方啥时候出补丁支持 PHP7.4 。
    idragonet
        9
    idragonet  
    OP
       2022-06-22 14:15:38 +08:00
    @pckillers 我这公司官网还是前几个月深圳一家网络公司做的。
    Evilk
        10
    Evilk  
       2022-06-22 16:23:47 +08:00
    还是升级 PHP 7.4 吧
    目前最稳定的
    等明年再换 PHP 8.0 或者 8.1
    idragonet
        11
    idragonet  
    OP
       2022-06-22 16:27:42 +08:00
    @Evilk 已经和做网站的公司说了。 自己是 C#,PHP 不懂。
    pckillers
        12
    pckillers  
       2022-06-22 16:53:43 +08:00
    @idragonet 2022 年还在用 php 5.6 的公司。 一定有很多历史祖传代码
    liaohongxing
        13
    liaohongxing  
       2022-06-22 17:15:56 +08:00
    那还不简单 ,直接 nginx header 或 php header 输出 7.x 版本不就行了,改掉 php 的版本 。多半是 header 头检测
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   947 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 27ms · UTC 21:07 · PVG 05:07 · LAX 14:07 · JFK 17:07
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.