Generated by Answer me with HTML 0.5.10 · 2026-10-30 17:40 · ★ Star on GitHub

PHP2Shell 串接攻擊：一個請求攻陷 25 台伺服器

針對 PAN-OS 防火牆的實戰入侵鏈

sourceDream Research 原文＋HN story 50286987 討論

Lead: 攻擊者只用一個未授權 HTTPS 請求，串起 PHP 遠端執行與 Linux 核心提權。15 分鐘內拿下防火牆 root，25 台淪陷。

A

核心事實

受害裝置: PAN-OS 防火牆與管理伺服器淪陷數量: 25 台，橫跨美國、日本、台灣、南韓關鍵目標: 美國政府相關環境，共 3 台伺服器行動時間: 10 月 8 日部署，10 月 24 日打進內網目前狀態: 22 台被停放，內網隧道可能仍在線

B

攻擊鏈

C

記憶體四階段

階段	動作	效果
A1	偽造請求灌爆記憶體	堆積佈局變得可預測
B1	偽造工作階段長度	越界讀取洩漏函式庫位址
A2	再次加壓並留下懸空參照	之後可以偽造該參照
B2	偽造雜湊表與解構回呼	清理流程觸發系統命令

D

狩獵漏斗

資料

	台數
全球發現	19000
存活回應	5000
鎖定版本地區	240
批次攻陷	24
含內網管理機	25

E

版本側寫

分支	PHP	側寫數	狀態
11.1	7.4.33	2	可執行，鏈未校準
12.1、12.2	8.0.30	9	1 個完整校準
校準	實測	虛擬機驗證過佈局	可直接使用
暫定	推算	只從二進位檔算偏移	未在實機驗證

F

轉向內網

10-23 18:14首台政府防火牆淪陷流量壓垮機器，斷線未恢復
10-23 晚間240 次探測等待機器沒有回來
10-24 10:09第二台防火牆淪陷憑證資料確認屬於目標機構
10-24 11:35內網管理伺服器淪陷同一條鏈穿過隧道打進去
10-24 之後網域攻擊展開密碼噴灑與後門帳號嘗試

G

網域戰果

狀態	行動
已確認	LDAP 服務帳號密碼解密
已確認	全網域使用者與群組列舉
未知	密碼噴灑是否命中
未知	後門帳號是否建成
未知	SAML 簽章金鑰是否得手

H

爭點與歸因

面向	主張	來源
漏洞評價	7 成網路並不脆弱，媒體誇大	HN 留言
漏洞評價	解析器之前中招，程式再安全也擋不住	HN 留言
廠商	版本與設定指向 Palo Alto，後由官方證實	HN 猜測
歸因	FOFA、中文模型、UTC+8 時區	Dream 整理
防禦	管理介面根本不該暴露公網	HN 共識

---
template: sheet
lang: zh-Hant
title: PHP2Shell 串接攻擊：一個請求攻陷 25 台伺服器
subtitle: 針對 PAN-OS 防火牆的實戰入侵鏈
source: Dream Research 原文＋HN story 50286987 討論
cols: 3
---
Lead: 攻擊者只用一個未授權 HTTPS 請求，串起 PHP 遠端執行與 Linux 核心提權。15 分鐘內拿下防火牆 root，25 台淪陷。

## A 核心事實
```
受害裝置: PAN-OS 防火牆與管理伺服器
淪陷數量: 25 台，橫跨美國、日本、台灣、南韓
關鍵目標: 美國政府相關環境，共 3 台伺服器
行動時間: 10 月 8 日部署，10 月 24 日打進內網
目前狀態: 22 台被停放，內網隧道可能仍在線
```

## B 攻擊鏈
```sequence
攻擊者 -> 防火牆: 未授權 HTTPS 請求
防火牆 -> 攻擊者: Set-Cookie 洩漏記憶體位址
攻擊者 -> 防火牆: 偽造解構函式，執行系統命令
防火牆 -> 攻擊者: 以 nobody 身分執行命令
攻擊者 -> 防火牆: 核心提權改寫認證檔
防火牆 -> 攻擊者: 取得 root webshell
```

## C 記憶體四階段
| 階段 | 動作 | 效果 |
|------|------|------|
| A1 | 偽造請求灌爆記憶體 | 堆積佈局變得可預測 |
| B1 | 偽造工作階段長度 | 越界讀取洩漏函式庫位址 |
| A2 | 再次加壓並留下懸空參照 | 之後可以偽造該參照 |
| B2 | 偽造雜湊表與解構回呼 | 清理流程觸發系統命令 |

## D 狩獵漏斗
```chart bar
| 台數
全球發現 | 19000
存活回應 | 5000
鎖定版本地區 | 240
批次攻陷 | 24
含內網管理機 | 25
```

## E 版本側寫
| 分支 | PHP | 側寫數 | 狀態 |
|------|-----|--------|------|
| 11.1 | 7.4.33 | 2 | 可執行，鏈未校準 |
| 12.1、12.2 | 8.0.30 | 9 | 1 個完整校準 |
| 校準 | 實測 | 虛擬機驗證過佈局 | 可直接使用 |
| 暫定 | 推算 | 只從二進位檔算偏移 | 未在實機驗證 |

## F 轉向內網
```timeline v
10-23 18:14 | 首台政府防火牆淪陷 | 流量壓垮機器，斷線未恢復
10-23 晚間 | 240 次探測等待 | 機器沒有回來
10-24 10:09 | 第二台防火牆淪陷 | 憑證資料確認屬於目標機構
10-24 11:35 | 內網管理伺服器淪陷 | 同一條鏈穿過隧道打進去
10-24 之後 | 網域攻擊展開 | 密碼噴灑與後門帳號嘗試
```

## G 網域戰果
| 狀態 | 行動 |
|------|------|
| ok 已確認 | LDAP 服務帳號密碼解密 |
| ok 已確認 | 全網域使用者與群組列舉 |
| warn 未知 | 密碼噴灑是否命中 |
| warn 未知 | 後門帳號是否建成 |
| warn 未知 | SAML 簽章金鑰是否得手 |

## H 爭點與歸因
| 面向 | 主張 | 來源 |
|------|------|------|
| 漏洞評價 | 7 成網路並不脆弱，媒體誇大 | HN 留言 |
| 漏洞評價 | 解析器之前中招，程式再安全也擋不住 | HN 留言 |
| 廠商 | 版本與設定指向 Palo Alto，後由官方證實 | HN 猜測 |
| 歸因 | FOFA、中文模型、UTC+8 時區 | Dream 整理 |
| 防禦 | 管理介面根本不該暴露公網 | HN 共識 |