2/2

Und jetzt geht's los, die Katze ist aus dem Sack, Exploits incoming in 5, 4, 3, 2, ...

@ordnung

Der Webserver kann aber blocken, bevor der Request dem PHP-Stack überreicht wird.

Filter in Lighttpd:

$REQUEST_HEADER["Content-Type"] =~ "multipart" {
url.access-deny = ( "" )
}
$REQUEST_HEADER["Content"] =~ "multipart" {
url.access-deny = ( "" )
}

Filter für Apache 2,4
<If "req('Content-Type') =~ /multipart/i">Require all denied</If>

#php #php2shell #patch