ikow/php2shell-poc

解决什么问题

一个横跨 14 年、影响几乎全部默认 PHP 安装的漏洞，对防守方来说最难的不是复现，而是判断自己的环境到底暴不暴露、该拦什么流量。这个仓库围绕 session.upload_progress 和 Zend 引擎 OOM 处理，给出五条 RCE 链、对应的验证脚本，以及 Suricata、Sigma、ModSecurity、OpenResty 的现成规则，让你能在补丁窗口内先做验证再做拦截。

有什么不同

常见的 PHP 漏洞仓库往往只给一个 PoC，复现完就结束。这里的区别是把利用代码、验证脚本、多 SAPI 的实验环境（FPM、nginx、Apache mod_php）和多种 WAF/IDS 规则放在同一个树里，并且按前置条件给每条链分级——从“应用存在 LFI 入口”到“任意端点即可”，这正是防守方分级处置时需要的粒度。需要注意，五条链中包括那条零依赖链在内的两条被放在付费 Substack 订阅后面，公开仓库本身是不完整披露。

适合谁

适合安全工程师、有书面授权的渗透测试人员，以及运行 PHP-FPM 或 mod_php、需要立刻确认暴露面并上线 WAF/IDS 签名的运维人员。不适合只想修自己业务代码的应用开发者——对他们有用的结论只有一行 INI 配置和升级 PHP。使用前需要熟悉 Docker、Python 3，并愿意读 PHP 内部实现。

上手成本

驱动脚本依赖 Python，Chain B 需要 PHP，实验环境用 Docker Compose。代码是 MIT 协议，但最严重的两条链（D、E）需要付费，所谓“完整覆盖”并不免费。README 偏薄：只给了 CVE 编号、GHSA 链接和补丁 commit，没有底层分析，完整分析在站外。文中数据应当在实验环境里自行验证，而不是直接采信。规则集是快照，实际部署时需要按自己的上传流量调参以减少误报。

点评

仓库三天内从零涨到约 1750 star，这是漏洞披露带来的发布式爆发，而不是被社区长期验证过的项目。没有 Hacker News 讨论帖，也没上过 Trending 日榜，信号只有一波增长加一个付费引流漏斗。公开的几条链和检测规则在补丁窗口内对防守方确实有用；被付费墙挡住的零依赖链则削弱了它作为参考资料的价值。可以用它推动补丁和 WAF 上线，但不要把它当作该漏洞的唯一信息源。