[閒聊] php5-cgi漏洞

[hirokofan (笠原弘子 命！)]

1.這個漏洞是去年五月的，但是今年10/30有駭客組織公開了攻擊用的程式碼
2.PHP只有修補5.3和5.4，5.2沒有修
3.這個攻擊要成功有幾個條件，沒有裝php5-cgi就不會中獎

檢查一下apache的access log，如果有POST /cgi-bin/（後面一大串鬼符號）
那就是有人來攻擊了

再檢查一下同一時間apache的error log，如果是file not found表示沒有成功
但也有可能有一大串東西，可能是攻擊成功了然後去另一個中繼站下載攻擊腳本

即使下載成功也有可能因為權限問題沒有發動，總之多注意一下吧

有洞的版本
PHP 5.3.12 之前的
PHP 5.4.2  之前的

然後PHP 5.2官方沒放patch沒救，很多人用的appserv，裡面的PHP最高只到5.2.6
Debian lenny有patch但是只到去年二月，想升也升不上去

apache的設定中預設有這段

ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/  ←依照系統不同位置會不一樣
後面還有一些設定，把這段拿掉攻擊應該就不會生效了（也許吧-_-）

總之我建議php5-cgi能移就先移吧，一般跑網頁應該沒用到他
因為看討論似乎5.3、5.4 patch後也不是永保安康....

--
                                          給忙碌的人用的Vocaloid週記....
先行版（順利的話週二晚上）
http://hirokofan.pixnet.net/blog/category/1820969

完整版（順利的話週六中午）
http://hirokofan.pixnet.net/blog/category/1820741

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 1.175.198.136
→ freeunixer:已上 5.5,x ~
推 summercorner:最新版Debian有這個套件,還好沒安裝,謝謝大大
→ hirokofan:其實以LAMP來說php5-cgi應該不會被裝起來，比較怕的是
→ hirokofan:整個打包的系統，像appserv那種我不知道會不會中
※ samruqo:轉錄至看板 PHP                                          11/11 09:55