由我前面的俩篇文章介绍(通过构造hash冲突实现各种语言的拒绝服务攻击, php数组的hash冲突实例 ), 这个攻击方法危害很高, 攻击成本也很小. 一个台式机可以轻松搞垮数十台, 上百台服务器.
而和pierre沟通后, 官方开发组不会为此发布php 5.2.18, 但是目前还是由不少公司还在使用5.2, 所以我特将dmitry为5.4写的patch, 分别apply到5.2上.
大家如果有用5.2的, 如果被此类攻击威胁, 可以打上下面的patch, php5.3的, 可以考虑升级到5.3.9, 已经包含了此patch(因为5.3.9目前是rc状态, 所以如果不愿意升级, 也可以参照这个patch自己为5.3写一个):
https://github.com/laruence/laruence.github.com/tree/master/php-5.2-max-input-vars
补充一下(2012年1月8日): 如果你使用的是windows下的php, 或者其他原因导致你不方便采用打patch的方法, 也可以采用修改php的配置max_input_time为一个较小的值来缓解此类攻击带来的影响.
另外, 其他语言java, ruby等, 请各位也预先想好对策, 限制post_size是治标不治本的方法, 不过可以用来做临时解决方案.
本文地址: http://www.laruence.com/2011/12/30/2440.html