php2shell 为什么迟迟没有被大规模利用
来源：blog.luitjes.it — 2026-10-23
📋 概述
作者读了 php2shell（PHP 一条可绕过 ASLR 的利用链）的公开 PoC 后认为，"十五分钟内就会被大规模利用"的说法站不住脚。要成功利用，必须先让四个连续请求落到同一个 PHP worker 上，还必须猜中目标精确的 PHP 版本、操作系统与架构；放到真实站点上，这意味着数万次尝试、每次伴随大量连接，本身形同 DoS，而且必然先触发 WAF 与限流。
🔑 核心要点
- 利用链要求四个请求命中同一个 PHP worker：PoC 先开 149 个半截请求占满默认的 150 个 worker，再打最后一个
- 必须知道精确的 PHP 版本、OS 版本、架构，不知道就得为每种组合各写一份利用
- 按 50 种常见 PHP/OS 组合 × 10~1010 个 worker 估算，是 5 万次尝试；PoC 本地跑 3~4 秒，公网乐观估计每次 10 秒
- 绝大多数尝试会耗尽目标的最大连接数，攻击本身就是 DoS，管理员很快就会发现并封 IP、上 WAF
- 从大量"干净"IP 发起又会破坏时序对齐，进一步压低可行尝试数，这是个两难
- HoneyLabs 至今没有看到一次能成功跑通的利用尝试；所谓"已在野利用"指的是尝试，不是成功
💡 金句
to the AI security vendors who promoted this as THE GATES OF HELL WILL OPEN YOU HAVE TO PATCH WITHIN 15 MINUTES OR DIE? I want my Wednesday back.
👍 0
👎 0
← 返回 Lobsters 首页