Go achomair: Ní chosnaíonn a lán moltaí PHP2Shell atá i gcúrsaíocht i bhfóraim agus ar líonraí sóisialta faoi láthair, nó déanann siad dochar fiú: iarratais le fianán seisiúin a bhlocáil, teachtaireachtaí earráide a cheilt, socruithe a leagan síos trí .user.ini nó an CMS amháin a nuashonrú. Tá php.net soiléir: níl aon bhearta idirthréimhseacha iomlána ann, is é an nuashonrú PHP le hatosú gach próisis an t-aon bhealach sábháilte.
Cén fáth a bhfuil falsa-chomhairle contúirteach sa staid seo
I gcás leochaileachta criticiúla le haird mhór, bíonn margadh ann do réitigh thapa. Roinntear comhairle, giorraítear í agus tugtar ar aghaidh í, go minic gan srianta na bunfhoinse. I gcás PHP2Shell, cuirtear leis go raibh mionsonraí ar eolas, de réir tuairiscí, roimh an dáta oifigiúil agus go raibh an staid doiléir sna chéad laethanta.
Déanann comhairle bhréagach dochar faoi dhó. Fágann sí an leochaileacht oscailte agus cruthaíonn sí an mothúchán gur tugadh faoi rud éigin. Is é an mothúchán sin go beacht is cúis leis go gcoinnítear siar an fíornuashonrú. Cuireann roinnt comhairle do shuíomh féin as feidhm ina theannta sin.
Naoi gcomhairle sa tseiceáil fíricí
Achoimríonn an tábla seo a leanas an méid a léamar go minic sna laethanta deireanacha, agus cuireann sé ráitis na bpríomhfhoinsí ina choinne.
| Moladh atá i gcúrsaíocht | Cén fáth nach seasann sé | Cad a bhaineann ina ionad |
|---|---|---|
Gach iarratas le PHPSESSID a bhlocáil |
Diúltaíonn údair speisialtóireachta dó go sainráite; cuireann sé logálacha agus cártaí siopadóireachta as feidhm | PHP a nuashonrú |
Is leor session.upload_progress.enabled=0 |
De réir tuairiscí speisialtóireachta ní dhúnann sé an dá leochaileacht | Beart idirthréimhseach ciallmhar, fanann an nuashonrú éigeantach |
Luachanna a shocrú trí ini_set() nó .user.ini |
Molann php.net go sainráite gan é a dhéanamh | Ar thaobh an fhreastalaí sa php.ini, sa linn FPM nó i gcumraíocht an fhreastalaí |
| Teachtaireachtaí earráide a cheilt | De réir php.net ní chabhraíonn error_reporting, display_errors ná @ |
Nuashonrú; ná taispeáin aschur earráide go poiblí ar aon nós |
Cuimhne a theorannú trí RLIMIT_AS nó RLIMIT_DATA |
Tugann php.net rabhadh gur féidir leis sin an cás leochaileach a spreagadh | Teorainn trí choimeádán nó cgroup |
| WordPress nó breiseáin a nuashonrú | Tá an leochaileacht san ateangaire PHP, ní sa CMS | Am rite PHP a nuashonrú |
| Is leor Cloudflare nó WAF eile | Cosaint ach do thrácht tríd an tseirbhís; fanann freastalaithe inrochtana go díreach oscailte | WAF mar shraith bhreise, ní mar ionadach |
| Athluchtú seirbhíse in ionad atosú | De réir Red Hat ní leor athluchtú, is féidir le workers atá ann cheana an seanstaid a choinneáil | Gach worker a atosú go hiomlán |
| Paistithe ciallaíonn glan | Ní bhaineann paiste bogearraí mailíseacha a cuireadh isteach roimhe | Logaí ón 20.10. a shábháil agus rianta a sheiceáil |
Na trí mhíthuiscint is minice mínithe níos mine
Toirmeasc na bhfianán
Cloistear an moladh gach iarratas leis an bhfianán seisiúin PHPSESSID a dhiúltú mar rud teicniúil agus diongbháilte. Diúltaíonn údair speisialtóireachta dó go sainráite. Sa chleachtas briseann sé gach rud a bhfuil seisiún ag teastáil uaidh: cuntais chustaiméirí, cártaí siopadóireachta, limistéir riaracháin, foirmeacha le cosaint i gcoinne brionnú. Ní cosaint i gcoinne na leochaileachta é.
An socrú amháin a réitíonn gach rud
Tá session.upload_progress.enabled=0 i moltaí php.net agus is é an leigheas ainmnithe é i gcoinne CVE-2026-115560. Rinneadh „PHP2Shell múchta“ de i roinnt alt. De réir tuairiscí speisialtóireachta, ní dhúnann an socrú seo ina aonar an dá leochaileacht. Chomh maith leis sin, de réir php.net, ní bhaineann memory_limit=-1 ach an spreagthóir inrialaithe; fós féin, is féidir le hearráid chuimhne ar leibhéal níos doimhne an cosán leochaileach a shroicheadh. Ar PHP 8.5, de réir php.net, ní bhlocálann fatal_error_backtraces=0 ach an cosán deimhnithe trí backtraces.
Conas an socrú a leagan síos i gceart agus go buan, tá sé ag an alt session.upload_progress a mhúchadh. Tá an liosta iomlán de bhearta idirthréimhseacha ag Bearta láithreacha gan paiste.
An sciath os a chomhair
De réir a dtuairiscí féin, tá rialacha cosanta gníomhach ag Cloudflare ón 21 Deireadh Fómhair, do chustaiméirí ar an táille saor in aisce freisin. Ach cuireann Cloudflare féin teorainneacha in iúl: ní théann an chosaint i bhfeidhm ach ar thrácht a ritheann trí Cloudflare. Má tá an bunfhreastalaí inrochtana go díreach, seachbhóthraítear í. Thairis sin seiceálann Cloudflare freagra an fhreastalaí freisin, mar nach leor an t-iarratas amháin i gcónaí. Míníonn an t-alt WAF nó nuashonrú cén fáth nach gcuireann WAF an nuashonrú ina ionad.
Moladh le riosca: iarratais uaslódála a scagadh ag an imeall
Ní bhíonn gach comhairle mhíchompordach mícheart. Molann údair speisialtóireachta mar bheart sealadach, neamhoifigiúil iarratais multipart/form-data lasmuigh de chosáin uaslódála fíor a bhlocáil ag an seachfhreastalaí nó sa WAF. Is féidir leis sin an dromchla ionsaithe a laghdú, ach briseann sé foirmeacha agus uaslódálacha má tá liosta na gcosán ceadaithe neamhiomlán.
An té a théann an bealach seo, ba cheart dó é a sheiceáil roimh ré i dtimpeallacht thástála, é a chomhordú leis na ranna speisialtóireachta agus é a dhoiciméadú mar bheart sealadach. Ní hionadach don nuashonrú é ach an oiread.
Tairgeann a lán réiteach WAF mód breathnóireachta chuige seo, ina bhfuil rialacha ag logáil ar dtús in ionad blocáil. Lig do riail nua rith ar an gcaoi sin ar feadh roinnt laethanta agus déan measúnú ar cé na hiarratais dhlisteanacha a bheadh buailte. Ina dhiaidh sin amháin a athraíonn tú go blocáil. Ar an gcaoi sin seachnaíonn tú foirmeacha iarratais, tairseacha custaiméirí nó uaslódáil íomhánna sa siopa a thitim as feidhm gan fógra.
Conas moladh a sheiceáil sula gcuireann tú i bhfeidhm é
Idirdhealaíonn ceithre cheist idir comhairle úsáideach agus chontúirteach:
- Foinse: An dtagann an moladh ó php.net, ó do dháil, ón BSI nó ó údar speisialtóireachta ainmnithe?
- Éileamh: An ndéantar cur síos ar an mbeart mar idirthréimhse nó mar réiteach? I gcás PHP2Shell is é an nuashonrú amháin an réiteach.
- Fo-iarmhairt: Cad a bhriseann nuair a théann an beart i bhfeidhm? Tá moladh gan nóta faoi fho-iarmhairtí neamhiomlán.
- Áit an chur i bhfeidhm: An ndéantar an socrú ar thaobh an fhreastalaí agus gan a bheith in-sháraithe, agus ina dhiaidh sin atosú gach worker?
Coinnigh taifead ar cé na bearta idirthréimhseacha a leag tú síos agus cathain. Ar an gcaoi sin is féidir leat iad a sheiceáil go dírithe ar ball agus a aithint an ndearna cosaint bhréagach moill ar an bhfíornuashonrú.
Conas a chabhraíonn PHP SOS go nithiúil?
- Seiceálaimid na bearta atá curtha i bhfeidhm agat cheana agus scaraimid na cinn éifeachtacha ó na cinn gan éifeacht.
- Cuirimid an nuashonrú PHP isteach, atosaímid gach próiseas agus cruthaímid an staid.
- Nuair nach bhfuil nuashonrú indéanta fós, leagaimid bearta idirthréimhseacha síos de réir php.net ar thaobh an fhreastalaí agus doiciméadaithe.
- Le WAF agus paistiú fíorúil cuirimid leis an gcosaint ag an imeall, gan an nuashonrú a chur ina ionad.
Ceisteanna coitianta
An gcosnaíonn sé iarratais le PHPSESSID a bhlocáil?
Ní chosnaíonn. Diúltaíonn údair speisialtóireachta don mholadh seo atá i gcúrsaíocht go sainráite. Cuireann sé logálacha isteach, cártaí siopadóireachta agus foirmeacha as feidhm gan an leochaileacht san ateangaire a dhúnadh.
An leor session.upload_progress.enabled=0 i gcoinne PHP2Shell?
Ní leor. Is ceann de roinnt bearta idirthréimhseacha é an socrú agus, de réir tuairiscí speisialtóireachta, ní dhúnann sé an dá leochaileacht. Tá sé ciallmhar, ach ní chuireann sé an nuashonrú PHP ina ionad.
An gcabhraíonn sé display_errors a mhúchadh?
Ní chabhraíonn le haghaidh PHP2Shell. Cuireann php.net in iúl nach gcabhraíonn diagnóisic a cheilt trí error_reporting, display_errors nó an t-oibreoir @. Sa táirgeadh ba cheart display_errors a bheith múchta ar chúiseanna eile ar aon nós.
Conas a aithním moladh iontaofa?
Luann moladh iontaofa a fhoinse, déanann cur síos ar theorainneacha agus ainmníonn sé bearta idirthréimhseacha mar sin. An té a gheallann go ndéanann socrú amháin an nuashonrú gan ghá, tá sé mícheart i gcás PHP2Shell.