这个 PHP 漏洞并没有那么容易利用

我知道，我知道。你听到的全是这个。还有那个数字4。

别误会，这里显然有个 bug，而且确实很重要。但这并不容易利用。它肯定远没有 Log4Shell/Heartbleed/RoRYaml 等那么容易。

给自己辩解一下啊，你这个疯子！

我不认为这个 PHP 漏洞有那么容易被利用。我觉得 5 年前人们会理解这一点，但现在人们被他们的 LLM 给忽悠了，LLM 告诉他们自己有 exploit，其实并没有。

如果你现在去看看 github，有成千上万，真的是成千上万个针对这个漏洞的“PoC” exploit。但你会注意到它们的一个共同点：它们无法在原生 PHP 实例上生效。

去吧，在 Docker 里起一个你认为有漏洞的 php 服务器，然后自己运行 PoC。别让你的 LLM 来做。不。自己运行脚本。这些 exploit 根本不管用。

我觉得很多人以为 LLM 能通过读 diff 瞬间构建出一条 exploit 链，而且即使这个漏洞比其他漏洞更难利用，LLM 也会把差距抹平。好吧。根本没有可用的 exploit。现在怎么办？

当我想到互联网上那些“我们完蛋了”的 CVE10 级漏洞时，我想到的是以下这些漏洞：

RoR YAML 解码（发送一个带有恶意 yaml 的 post body）
Log4shell（把你的 user-agent 设为 ${jdni:ldap:}）
Shellshock（“复制env x='() { :;}; echo vulnerable' bash -c "echo this is a test"”然后按需修改）
Heartbleed（请求 Content-Length 10000000）

这些漏洞一上新闻，就有僵尸网络四处作乱造成破坏。而且那还是在 LLM 之前！人们得亲手写僵尸网络！

这个漏洞公布已经 10 个小时了，半个软件界都在盯着它，天知道有 10 万人都把他们的“超级智能”用在这个案子上了。然而，仍然没有可用的 exploit。流传的那些都是假的，或者只在实验室里有效，因为……

脚本小子（以及同样关掉了大脑的脚本成年人）现在都以为，好吧，他们不懂 UAF 链，但这位 Claude 老兄无所不知，完全能做出一个 exploit。

好笑的是，这导致 LLM 给了他们的弟弟一个没插电的手柄。屏幕上到处写着 exploit……还有一些确凿的证据记录……但它把你正在测试的服务器改成了存在严重漏洞的版本。作弊！！

这些“PoC”中大多数有一个非常有趣的共同点：它们依赖“LFI”，也就是本地文件包含，来制造这个漏洞。用非 PHP 的话说，它们的 exploit 链要求服务器实际上执行eval(read(filename_provided_by_user))。

PHP 应用在某种意义上被搞坏并不罕见，但要求服务器已经存在一个可以被cat /etc/password的漏洞，这是一个疯狂的前提条件。如果你需要这个，那这就不算一个严重的 bug。

最奇怪的是，这么多人各自独立地做出了这种极其诡异的判断失误。那是因为他们并没有独立做出这个决定。Claude/等等替他们做了所有的判断，所以才出现了这种逻辑错误上的怪异分布。

这里有一件重要的事要说：有多少人让 Claude/GPT 替他们做设计决策，以及 AI 如今是世界上主要的决策者。你会遇到这种离奇的“决策谢林点”现象：某种解决问题的方法被极度过度采用，因为这就是 Claude 开箱即用的做法。

在“现在大多数网站看起来都一样”这件事上，这很烦人；但由于 LLM 有能力同时毁掉每一个领域，这也意味着“现在大多数决策都可疑地雷同”。尤其是在这个案例里，AI 在服务器上植入了一个漏洞……就为了证明服务器容易受到你那个“攻击任意 PHP 实例”的利用！

因为：

我们以前也遇到过类似的事情，但还没在 LLM 时代遇到过。幸运的是，对我们来说，似乎还没到那一天。这太难被轻易利用了。这不是 Log4J 时刻。