产品咨询：4000 258 365
|
申请产品演示
|
产品咨询：4000 258 365
|
申请产品演示
|
英国安全公司 secarma 的研究主管 sam thomas 本月在 black hat 和 bsides 安全会议上展示了 php 编程语言的安全漏洞，并指出该漏洞影响了所有接受用户资料的 php 应用程序和库，包括 wordpress 等内容管理系统（cms），并将允许远程程序攻击。
序列化（serialization）与反序列化（deserialization）是所有编程语言都具备的功能，序列化将对象转换为字符串，以将数据迁移到不同服务器，服务或应用程序上，然后通过反序列将字符串还原到对象。
安全研究员 stefan essar 在 2009 年就透露了 php 中反序列化黑客控制的数据带来的风险，而相关的漏洞不仅存在于 php 中，还存在于其他编程语言中。 thomas 公布的是 php 的新攻击技术，可用于各种场景，例如 xml external entity（xee）漏洞或服务器端伪造请求（ssfr）漏洞等。
thomas 表示，过去外界认为 xxe 漏洞带来的最大问题是信息外泄，但现在可出发程序执行。相关攻击分为两个阶段。 首先，将包含恶意对象的 phar 存档上传到攻击目标的本地文件系统，然后触发一个基于 phar:// 的文件操作，就可能导致恶意程序执行。
thomas 已利用 php 的反序列化程序成功攻击了 wordpress 与 typo3 内容管理平台，以及 contao 所采用的 tcpdf 库。
试用申请
