PHP2Shell: почему нам всем нужно быть готовыми к быстрому и частому обновлению патчей

Недавняя уязвимость PHP2Shell застала врасплох большую часть веб-индустрии. Поскольку эта уязвимость нацелена непосредственно на PHP еще до того, как трафик достигнет таких приложений, как Moodle или WordPress, ее нельзя было просто устранить с помощью патча для приложения. В этом видео я подробно разбираю основные принципы работы эксплойта, рассматриваю меры защиты, такие как буферизация запросов и ограничение скорости, анализирую номера версий исправленных уязвимостей в Debian и Ubuntu, а также обсуждаю, почему администраторам серверов необходимо создавать рабочие процессы для раннего и частого обновления программного обеспечения. Временные метки 00:00 - Введение: Уязвимость PHP2Shell 00:41 - Как работает уязвимость (до выполнения приложения) 01:50 - FastCGI, сокеты и маршрутизация запросов веб-сервера 03:22 - Запросы GET и POST и атаки исчерпания памяти 05:06 - Временные меры защиты: отключение прогресса загрузки 06:01 - Руководство по MDL Shield, фрагменты INI-файлов и вспомогательные скрипты 08:34 - Проверка защиты и проверка журналов веб-сервера 10:14 - Буферизация веб-сервера и ограничение скорости POST-запросов 11:21 - Конфигурации усиления пула FPM 12:28 - Официальные пропатченные версии PHP (8.2, 8.3, 8.4) 14:06 - Особенности нумерации версий Ubuntu (проверка политики apt) 18:41 - Главный урок: автоматизируйте рабочие процессы установки патчей 21:56 - Поддержка пакета upstream Разработчики 23:25 - Заключительные выводы: патчи нужно устанавливать рано, патчи нужно устанавливать часто Упомянутые ресурсы https://php-up.mdlshield.com Подробные инструкции по применению мер защиты см. на этой странице! Это потрясающий ресурс. Специальные исправления версионирования Ubuntu и PHP2Shell https://ubuntu.com/blog/php2shell-vul... Ондржей Сури - человек, спасший мир Debian Отправьте ему немного денег и покажите, что мы ценим его работу! https://github.com/sponsors/oerdnj Реми - человек, спасший мир RedHat Отправьте ему немного денег и покажите, что мы ценим его работу! https://blog.remirepo.net/pages/Merci... Предыдущее видео о MDL-Shield    • MDL-Shield