PHP 存在不受控制的递归漏洞

原创

刘俊涛的博客 2022-10-23 01:47:07 ©著作权

文章标签 php 解压缩递归 文章分类 运维

©著作权归作者所有：来自51CTO博客作者刘俊涛的博客的原创作品，请联系作者获取转载授权，否则将追究法律责任

PHP 存在不受控制的递归漏洞

在 PHP 受影响版本内，phar 解压缩器代码将递归解压缩 “quines” gzip 文件，从而导致无限循环。

攻击者会利用此漏洞导致服务器资源耗尽。

影响范围包括：php@[8.0.0, 8.0.24)、php@[8.1.0, 8.1.11)、php@(-∞, 7.4.31)。

为避免该漏洞所带来的影响，建议大家升级 PHP 到 7.4.31、8.0.24、8.1.11 或更高版本。

你要保守你心，胜过保守一切。

作者：刘俊涛的博客

上一篇：三个问题

下一篇：swal 的简单使用例子

提问和评论都可以，用心的回复会被更多人看到评论

发布评论

相关文章

如何防护网站存在的sql注入攻击漏洞

SQL注入是最危险的Web之一，危害性极大，造成的后果不堪设想，因此受到了大家的高度重视。那么你知道SQL注入防范方法有哪些吗?SQL注入是一种网站的方法。它将SQL代码添加到网站前端GET POST参数中，并将其传递给mysql数据库进行分析和执行语句。它是一种利用应用程序对用户输入验证不足或处理不当的，恶意输入能够影响SQL查询的结构，进而获取、修改或删除数据的技术。

SQL 数据客户端
【PowerShell】PowerShell 脚本批量检测公司服务器是否存在 WannaCry 漏洞

本文前提被检测的计算机启用的powershell远程管理的功能；这是另外的课题，我之前的文章有专门介绍过，如果对这部分不太清楚的话可以翻翻我之前的博客文章。关于本文要使用 PowerShell 脚本检查计算机是否存在 WannaCry 漏洞，可以执行以下步骤：检查操作系统补丁：WannaCry 漏洞主要影响未安装最新安全补丁的 Windows 系统。您可以使用 PowerShell 命令 Get-

PowerShell 漏洞扫描远程批量夏明亮
双一流高校某教学系统存在多个高危漏洞

信息搜集过程中，除了用常见子域名扫一遍，还可以通过空间搜索引擎手动搜索。我用的就是把学校名称或者缩写作为关键字，利用一系列语法进行挨个查看。进行信息搜索（你得有一套自己的信息搜集逻辑吧，不然连这个系统都找不到）后，找到一处教学管理系统，点击页面上方软件，点击蓝色链接，进入教学系统。

教学系统漏洞越权漏洞文件上传
不受控制的 position:fixed

大家都知道，position:fixed 在日常的页面布局中非常常用，在许多布局中起到了关键的作用。它的作用是： position:fixed 的元素将相对于屏幕视口（viewport）的位置来指定其位置。并且元素的位置在屏幕滚动时不会改变。但是，在许多特定的场合，指定了 position:fix

position: fixed 失效 stacking context css 属性值 html
不受控制的 position:fixed (失效)

position:fixed的元素将相对于屏幕视口（viewport）的位置来指定其位置。

父级元素
不受控组件

在大多数情况下，推荐使用受控组件来实现表单。在受控组件中，表单数据由 React 组件负责处理。另外一个选择是不受控组件，其表单数据由 DOM 元素本身处理。要编写一个未控制组件，你可以使用一个 ref 来从 DOM 获得表单值，而不是为每个状态更新编写一个事件处理程序。例如，在不受控组件中，

表单数据快速开发
为什么手机不受控制，自己乱点？

1、可能手机屏幕不干净，就会导致触屏失灵，清洁一下屏幕就能解决问题。 2、也可能手机某一些软件相冲突了，可以直接卸载掉同类的第三方软件。 3、还有可能是手机运行的软件太多了，一旦手机出现卡顿，屏幕就容易不受控制乱跳，可以清理一下手机里的垃圾。

触屏随笔
前端笔记，table标签中td宽度不受控制的坑

问题发现在table标签中，td的宽度设置好后，是没有用的，因为table是一个整体，他的t

前端 table td javascript 问题分析
关于React中受控组件和不受控组件的选择问题分析

浅析React受控组件与非受控组件前言带着问题看文章非受控组件：受控组件：小总结前言如果您是一名React开发者，您应该了解在开发React项目的

受控组件非受控组件受控组件和非受控组件受控组件和非受控组件的区别受控组件和非受控组件的用法
PHP FirstPost存在路径泄露漏洞

　　受影响PHP WEB日志程序，包含一个开放的提议队列和评估系统。　　PHP FirstPost对不存在的页面请求处理不正确，可导致wwwroot目录用户可以提交一个不存在的页面给PHP FirstPost服务程序，使BPHP FirstPost返回错误信息并显示wwwroot目录的绝对路径。　　此信息泄露可帮助攻击者进一步对系统进行攻击。　　<*来源：Ahmet Sabr

PHP 漏洞路径休闲 FirstPost
PHP 7的PHP-FPM存在远程代码执行漏洞

据外媒ZDNet的报道，PHP7.x中最近修复的一个远程代码执行漏洞正被恶意利用，并会导致攻击者控制服务器。编号为CVE-2019-11043的漏洞允许攻击者通过向目标服务器发送特制的URL，即可在存在漏洞的服务器上执行命令。漏洞利用的PoC代码也已在GitHub上发布。一旦确定了易受攻击的目标，攻击者便可以通过在URL中附加'?a='以发送特制请求到易受攻击的Web服务器仅NGI

Java
redis不受密码验证保护漏洞

# 如何实现“redis不受密码验证保护漏洞”## 一、流程概述下面是实现“redis不受密码验证保护漏洞”的具体步骤：| 步骤 | 描述 || ---- | ---- || 1 | 修改redis配置文件 || 2 | 重启redis服务 |## 二、具体步骤及代码### 步骤1：修改redis配置文件首先，我们需要修改redis的配置文件，将密码验证注释掉或者设置

redis 重启配置文件
PHP的漏洞以及如何防止PHP漏洞？

漏洞无非这么几类，XSS、sql注入、命令执行、上传漏洞、本地包含、远程包含、权限绕过、信息泄露、cookie伪造、CSRF(跨站请求)等。这些漏洞不仅仅是针对PHP语言的，本文只是简单介绍PHP如何有效防止这些漏洞。1.xss + sql注入其中占大头的自然是XSS与SQL注入，对于框架类型或者有公共文件的，建议在公共文件中统一做一次XSS和SQL注入的过滤。用PHP写个过滤函数，可由如下所示：

java
存在漏洞的JavaScript库漏洞

# 如何实现存在漏洞的JavaScript库漏洞## 1. 流程图```mermaidgantt dateFormat YYYY-MM-DD title 漏洞实现流程 section 初始准备学习JavaScript库的漏洞: done, 2022-01-01, 2022-01-05 section 实施漏洞利用已知漏洞实现攻击: do

代码示例 javascript 服务器
PHITHON的公开漏洞 | 绝大部分php探针存在xss漏洞

转载自：https://bugs.leavesongs.com/研究了一下市面上的php探针，发现同源现象较严重。首先发现了php雅黑探针（可以说是国内用的最多的探针了）的一些安全问题，由此各种php探针都躺枪了。就算非同源的php探针往往也容易出现这个问题，这里会给出一些例子。

php 3c .net
Android手机无受控机制如何解决手机不受控制

手机已经逐渐成为了人手一部的交流工具，但是随着手机使用的普及一些手机问题也表现了出来。如果我们遇到的是一些常见的手机问题，那么我们自己就可以轻松的解决了。但是如果手机是在自己使用的时候突然发生的情况要怎么办？这种问题要怎么解决呢？今天小编就用几个问题来说一说。1、手机自动解锁放在口袋里的手机突然自动解锁了，其实很多手机在出厂的时候都已经解决这个问题了。用OPPO手机举例，我们可以在手机的设置中找

Android手机无受控机制重启触屏重新安装
IOS absolute抖动苹果手机抖动不受控制

苹果手机屏幕失灵乱跳怎么办？虽然很多小伙伴曾经吐槽iPhone有很多bug，但是后来都被真香定律了。苹果的系统；流畅度自然不用多说，但是毕竟是电子产品嘛。今天我们就苹果手机屏幕失灵乱跳怎么办这个问题。来彻底跟大家聊一聊故障出现的原因和出现后的应对小方法。 1.苹果手机屏幕失灵可能是因为屏幕上面灰尘过大引起的，可以先尝试一下擦干净屏幕。双手有水潮湿有涂抹物也可能会导致屏幕失

IOS absolute抖动 iphonex屏幕失灵乱跳 ios系统新版本触屏
python的pyecharts python的pyecharts的visualmap不受控制

项目需要用到echarts 里的散点图，然后还要使用visualMap 组件让地图根据数据显示不同的颜色，但是用了visualMap 组件后，修改散点图的点的颜色不起作用，根据多方查询，终找到如下解决办法或者在这里添加原因：visualMap 组件控制了 series 中的数据，进行了『视觉编码』，也就是将数据映射到视觉元素（视觉通道）。所以，data中value

python的pyecharts 数据
进入bios鼠标键盘失灵电脑进入bios鼠标不受控制

鼠标连不上电脑怎么办，明明新买的鼠标却不能连接，是系统问题吗?那么下面就由学习啦小编来给你们说说电脑鼠标连接不上的解决方法吧，希望可以帮到你们哦!电脑鼠标连接不上的解决方法一：第一种方法即重启你的电脑。如果重启电脑还是不行，则是驱动出现了问题，那就需要下载辅助软件，例如驱动精灵。如果以上两种方法都不可以那就说明是USB接口出现问题，则需要去电脑店维修。望能解决您的问题!电脑鼠标连接不上的解决方法二

进入bios鼠标键盘失灵计算机为什么连接鼠标后不能控制重启属性页解决方法
安装todesk Anolis 安装todesk后鼠标不受控

许多新用户在安装MindManager时没有注意到细节问题，会出现各种各样的问题导致安装失败或者无法使用问题。本文就讲述了安装MindManager后打开确致鼠标失灵的问题，以及解决这个问题的办法。问题描述：安装好MindManager打开却发现鼠标无法移动，键盘仍可以使用，重启电脑后，关闭MindManager方可恢复。问题分析：主要问题在于MindManager版本和电脑的64位系统不兼容所造

安装todesk Anolis 解决安装MindManager后鼠标失灵 wisp 恢复鼠标重启
xendesktop director 安装报错

1.Direct NFS概念介绍首先了解LINUX下的NFS网络文件系统，它是一种将远程主机上的分区(目录)经网络挂载到本地系统的一种机制，通过对网络文件系统的支持，用户可以在本地系统上像操作本地分区一样来对远程主机的共享分区(目录)进行操作。在类unix系统之间共享资源，不需要安装软件。端口不固定，需要portmap(端口映射)提供RPC(远程过程调用)一种协议；NFS向RPC注册端口。但是，O

linux安装系统提示drict oracle 共享目录 RPC
RestTemplate 在 service 层无法引入

微服务应用程序中，我们会通过Java后台的方式发送http请求并调用其他注册在Spring Cloud Eureka server上的微服务，之前我们可能会手动封装一个Http发送请求类，然后通过其中的sendGet或者sendPost方法借由java IO的形式发送出去。但是，上述方法过于繁琐和和臃肿，我们使用org.springframework.web.client.RestTemplate

spring boot Java Autowired 自动注入 spring容器
android 主板接读器使用方法

I/O(英语：Input/Output)，即输入/输出，通常指数据在内部存储器和外部存储器或其他周边设备之间的输入和输出。输入/出(英文：Input/Output，简写为 I/O)是信息处理系统(例如计算器)与外部世界(可能是人类或另一信息处理系统)之间的通信。输入是系统接收的信号或数据，输出则是从其发送的信号或数据。该术语也可以用作行动的一部分；到“运行I/O”是运行输入或输出的操作。输入/出设

android 主板接读器使用方法英语计算机主板接口有数据数据交换中断处理
java 可自定义节点的流程引擎框架

Java数据结构Java一共有种数据结构时我们常用的，分别是以下几种集合类型描述ArrayList可以动态增长和缩减的序列，类似于C++的vectorLinkedList可以在任何位置高效插入和删除的有序序列，链表ArrayDeque实现为循环数组的一个双端队列HashSet没有重复元素的无序集合TreeSet没有重复元素的有序集合LinkedHashSet记住元素插入次序的集合Priority

java 可自定义节点的流程引擎框架 java 算法蓝桥杯 System
windows 监控io数据

IO实时监控命令iostat详解 iostat用于输出CPU和磁盘I/O相关的统计信息命令格式iostat [ -c ] [ -d ] [ -h ] [ -N ] [ -k | -m ] [ -t ] [ -V ] [ -x ] [ -z ] [ device [...] | ALL ] [ -p [ device [,...] | ALL ] ] [ interval [ count

windows 监控io数据 ios 数据互斥

官方博客	全部文章	热门标签	班级博客
了解我们	网站地图	意见反馈

鸿蒙开发者社区	51CTO学堂
51CTO	软考资讯