<![CDATA[Everyday NetLog]]> https://blog.zhoz.com/index.php zh-cn https://blog.zhoz.com/read.php?823 <![CDATA[PHP出现2个“紧急”级别漏洞注意处理]]> <> Thu, 22 Oct 2026 05:19:09 +0000 https://blog.zhoz.com/read.php?823 截至目前22日，这起事件属于影响范围广、风险等级高的 PHP 服务器安全事件。需要注意，事情已经从最初的漏洞预警进入了补丁发布和紧急修复阶段。
事件概要
预警时间： 2026 年 10 月 20 日，欧盟机构网络安全应急响应团队 CERT-EU 发布安全公告。
漏洞编号： CVE-2026-109618、CVE-2026-109619。
风险等级： 两个漏洞的 CVSS v4.0 评分均为 9.2/10，属于严重安全漏洞。
核心风险： 攻击者可能无需身份验证，即可通过网络远程执行恶意代码，进而控制受影响服务器。
影响范围： CERT-EU 根据外部信息指出，PHP 5 及后续版本可能受到影响。不过，PHP 5 及以后所有版本均受影响这一说法，最初并非来自 PHP 官方确认。

目前进展
PHP 官方已于 10 月 21 日发布相关安全更新。公开报道还指出，已有可利用漏洞的攻击代码出现，因此不能再把它视为单纯的潜在风险。

对网站运营者的影响
如果你运营的网站使用 PHP，建议立即采取以下措施：

检查版本： 确认服务器及网站实际运行的 PHP 版本，包括容器、虚拟主机和相关应用内嵌的 PHP 环境。
立即升级： 根据 PHP 官方安全公告，将受影响版本升级至对应的修复版本。
优先处理公网服务： 首先检查对互联网开放的生产网站、管理后台及 API 服务。
无法立即修复时： 暂时隔离受影响的公网应用，降低被攻击的风险。
检查入侵迹象： 查看异常 HTTP POST 请求、Web 服务进程、可疑命令执行、异常文件及网络连接。升级本身不能证明此前没有遭到入侵。
CERT-EU 也明确建议组织提前准备修复；无法及时修复时，应考虑将受影响的公网应用与公共网络隔离。

先修复本服务器：Rocky Linux 9.4 + PHP 8.2

官方已发布修复版 PHP 8.2.35因此升级到这个就行了，同时也发布了 8.3、8.4 和 8.5 分支的对应修复版本：
https://www.php.net/?PHPE9568F35-D428-11d2-A769-00AA001ACF42

以下是升级到PHP 8.2.35手顺
第 1 步：先模拟升级，确认不会切换 PHP 版本
直接复制执行：
sudo dnf clean metadata
sudo dnf makecache
sudo dnf upgrade --assumeno 'php*'

--assumeno 会预览升级事务，不会实际安装更新。
重点查看输出中的软件包版本，确认 php-cli、php-fpm、php-common 等是否会从 8.2.33 升级到 8.2.35 或更高的 8.2.x 修复版本。

第 2 步：执行升级
如果模拟结果正确，且没有移除现有扩展或切换 PHP 大版本，再执行：
sudo dnf upgrade 'php*'

如果提示没有可用更新，或者仍然只提供 8.2.33，先不要强行升级或更换仓库，把输出发给我，我再帮你排查 Remi 仓库的版本流和软件包候选版本。

第 3 步：重启并验证
升级成功后执行：

sudo systemctl restart php-fpm
sudo systemctl status php-fpm --no-pager

php -v
/usr/sbin/php-fpm -v

rpm -q php-cli php-fpm php-common

确认 CLI 和 FPM 都已经升级到修复版本，并且 PHP-FPM 显示 active (running)。然后检查网站首页、登录、数据库读写及主要 API 是否正常。

官方修复版本为 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12，请及时对应检查并升级，做好网络安全工作。


追记：直接一步到位升级到目前最新PHP 8.5.12

现在的 PHP 8.2 就是 Remi module stream，所以不需要卸载重装，直接用`switch-to` 切换到 8.5 的流：

# 1) 确认 remi-modular 仓库存在（remi-release 装过就应该有）
dnf repolist --all | grep -i remi

# 2) 一条命令完成 reset + enable + distro-sync（Remi 官方推荐）
sudo dnf module switch-to php:remi-8.5 -y

# 3) 重启并验证
sudo systemctl restart php-fpm httpd
php -v && php-fpm -v
php -m | sort



Tags - , , , ]]> https://blog.zhoz.com/read.php?815 <![CDATA[本blog第二次重大升级]]> <> Fri, 11 Sep 2026 10:35:41 +0000 https://blog.zhoz.com/read.php?815 本打算数据移过来就算了以后再说，但年纪大了可能想能随时回味，如果不升级代码完会是跑不通的，如果升级基本上接近重写。
我的风格说干就干！花了将近一天的时间，还是把它搞起来了：php5(初版2007年)→php7(2023年)→php8(2026/9/11)
其实在上个版本中并没有完全升级成功，有部分内容如标签、归档等功能还不大正常。
本次调整主要内容，相对比较全面：
1. PHP 8.2 兼容性修复 ：全站（前台+后台+RSS）修复了因 PHP 8 语法变化导致的致命错误 — 未定义变量/索引、`count(null)` 、`floor('')` 、裸常量、`mysqli` 函数签名等，约 30 个文件
2. 功能级 bug 修复 （不只是消警告）：
   - 文章页打不开（`$itemid` 传递被破坏）
   - 分类不显示（分类加载缺数据库回退）
   - 最新日志/最新评论空白（加数据库回退）
   - 后台文章管理、链接、分类、表情、皮肤等页面 fatal
3. 日历 + 农历深度修复 ：
   - 修复日历主体不渲染、农历乱码（`///` ）
   - 农历数据表从 2020 年扩展到 2100 年 （补 80 行权威数据）
   - 重写农历定位算法（原算法基准错位），与权威库 400 个日期交叉验证全部一致
4. 缓存机制兜底 ：服务器`data/` 目录缺失的缓存文件全部加`file_exists` 保护，关键数据（分类、最新日志、评论）缺失时直接查数据库，不再依赖缓存重建
5. 基础修复 ：`plugin_runphp` 返回值 bug、UBB 图片代码笔误（`$alignshow` →`$show` ）、RSS 输出、评论缓存空行处理
6. 调试收尾 ：临时调试块已删，错误输出恢复为“只写日志不打印页面”；项目记忆已存迁移经验

再次重新开放了，更像位老朋友，有我一路的足迹伴我人生路……
Tags - , ]]> https://blog.zhoz.com/read.php?806 <![CDATA[为解决Chrome引发的cross site cookes问题：SameSite=None; Secure]]> <> Thu, 27 Feb 2020 11:10:21 +0000 https://blog.zhoz.com/read.php?806
首先看看SameSite=None; Secure设置方法：
php新版本可以直接在setcookie中设置，这里只发老版本：
header("Set-Cookie: $cookie_name=$zhoz_code; SameSite=None; Secure");

Js：
//set cookies
function setCookie(name,value) {
  var Days = 30;
  var exp = new Date();
  var topDomain = getTopDomain();
  exp.setTime(exp.getTime() + Days*24*60*60*1000);
//  document.cookie = name + "="+ escape (value) + ";expires=" + exp.toGMTString() + "; domain=" + topDomain + ";path=/";
  document.cookie = name + "="+ escape (value) + ";expires=" + exp.toGMTString() + "; domain=" + topDomain + ";path=/;SameSite=None;Secure";
}

附加一下Js高级写法，js变量传给php，看不懂就算了。
var search = window.location.search;
var js_sid = getParamString('sid', search);
var xmlHttp;
if (typeof(js_sid) != "undefined" && js_sid != '') {
  xmlHttp=new XMLHttpRequest();
  if (xmlHttp!=null) {
    var url="/zhoz_track.php?acode=&js_sid="+js_sid+"&r=" + Math.round(Math.random() * 10000);
    var new_element=document.createElement('script');
    new_element.setAttribute('type','text/javascript');
    new_element.setAttribute('src',url);
    document.body.appendChild(new_element);
  }
}

2023/3/15补充：
如果您在本网站中设置了cookie，但在第三方网站上进行了POST请求后，再跳回到本站页面时无法获取之前设置的cookie，这可能是由于浏览器的SameSite策略引起的。

SameSite策略是一种用于增强Web安全性的浏览器安全机制，它可以防止跨站点请求伪造（CSRF）攻击。当浏览器检测到跨站点POST请求时，如果该请求来自于另一个域名，则会阻止该请求中的cookie在本站点进行使用。

为了解决这个问题，可以将设置的cookie的SameSite属性设置为None。例如：

//php7.2-
$t = time() + 60 * 60 * 24 * 365 * 10;
//setcookie("agree_use_cookie", 1, $t);
setcookie("agree_use_cookie", 1, $t, "/; SameSite=None; Secure");

//php7.3+
setcookie('agree_use_cookie', '1', [
    'expires' =>$t,
    'path' => '/',
    'secure' => true,
    'samesite' => 'None'
]);
Tags - , , ]]> https://blog.zhoz.com/read.php?770 <![CDATA[php正则抓取淘宝、亚马逊、京东指定商品的价格等信息]]> <> Wed, 26 Nov 2014 09:17:38 +0000 https://blog.zhoz.com/read.php?770 已测试，京东不能直接抓取，需要先写个Js来模拟生成数据，再进行抓取。
等需要的时候，再补上方法。


Tags - , ]]> https://blog.zhoz.com/read.php?738 <![CDATA[PHP的异常原理与实例说明 Fatal error: Uncaught exception]]> <> Mon, 25 Feb 2013 11:15:06 +0000 https://blog.zhoz.com/read.php?738 PHP5+ 开始提供了一种新的面向对象的错误处理方法，用于在指定的错误（异常）情况发生时改变脚本的正常流程。这种情况称为异常。

一般使用方法：

throw new Exception('XXX') ： 抛出一个异常
try  ： 使用异常的函数应该位于 "try" 代码块内。如果没有触发异常，则代码将照常继续执行。但是如果异常被触发，会抛出一个异常。
Catch：代码块会捕获异常，并创建一个包含异常信息的对象
自定义异常类：

myException类是一个自定义的异常类，必须继承Exception
Exception是一个PHP自带的内置的异常类，默认情况下会使用PHP默认的内置异常类，但是我们可以通过自定义的方式，自定义成满足自己需求的异常类。
使用自定义异常类的时候，throw new myException 抛出异常也需要抛出自定义的异常类类名
catch的时候也需要捕获自定义的异常类
如果抛出了异常而不捕获处理的话，就会发生PHP代码报错，如下：
[sql]
Fatal error: Uncaught exception 'myException' in D:\AppServ\www\cctv\trunk\index.php:12 Stack trace: #0 {main}  
thrown in D:\AppServ\www\cctv\trunk\index.php on line 12

PHP默认异常类详细：

可以看到PHP默认异常类中有很多自定义变量和方法
$e->getMessage 一般是获取错误信息
$e->getCode() 一般是获取错误码
$e->getFile() 获取错误的文件信息
$e->getLine() 获取错误行数
$e->getTrace() 异常经过的文件路径
__toString() 一般可以重载，用于返回可输出的字符串
PHP异常类的作用：
捕获异常，一般可以在MYSQL链接不上，或者业务逻辑错误的时候，抛出异常，在代码最顶端接收。
异常分析处理。可以在出异常的时候，捕获到异常的错误信息，写入日志。
可以返回友好化的提示信息，例如WEB端可以返回页面形式，也可以在AJAX端返回JSON数据格式。
原则：如果异常抛出了，就必须捕获它，否则会PHP报错。

Tags - , ]]> https://blog.zhoz.com/read.php?719 <![CDATA[php查询文件并取得行数、条数等方法]]> <> Mon, 03 Dec 2012 12:58:22 +0000 https://blog.zhoz.com/read.php?719

Tags - ]]> https://blog.zhoz.com/read.php?708 <![CDATA[zend解密真的有效-Dezender]]> <> Thu, 08 Nov 2012 10:54:34 +0000 https://blog.zhoz.com/read.php?708 http://down.chinaz.com/soft/20941.htm

使用：
解压到E盘，然后进入E:\Dezender\PHP5\PHP5，修改php.ini文件的最后两行，修改成如下：

zend_extension_manager.optimizer_ts="E:\DeZender\Zend for PHP5\"
zend_extension_ts="E:\Dezender\Zend for PHP5\Zend for PHP5\Optimizer-3.3.0\php-5.2.x\ZendOptimizer.dll"

根据你要解密的php文件的版本来，如果是php-5.1的就修改成php-5.1.x，它支持php4和php5几乎所有的版本。
这里的zhoz.php是放在E:\Dezender\PHP5\PHP5目录下的，如果是其他地方，就需要使用绝对路径。
执行完，会自动生成一个zhoz.de.php的解密后的文件。

D:\Dezender\PHP5\PHP5>php.exe zhoz.php
X-Powered-By: PHP/5.2.1
Content-type: text/html
Tags - , , ]]> https://blog.zhoz.com/read.php?692 <![CDATA[zend framework文件上传并改名类的使用]]> <> Wed, 12 May 2010 17:05:52 +0000 https://blog.zhoz.com/read.php?692 1、.tpl里的表单直接提交到控制器中，但用传统的$_POST将获取不到任何值；
2、zend framework框架中，单独写PHP文件，是无法直接访问的，只能得到以下的404信息：
Invalid controller specified (index)
传统方法是行不通了，立即转换思路，从Zend的底层寻找方法，原来只需要以下几行代码就可以解决所有的check 、报错等信息。


以上的修改文件名方法，感谢大师兄提供，我开始是修改低层Zend/File/Transfer/Adapter/Http.php来实现的：

Tags - , , ]]> https://blog.zhoz.com/read.php?685 <![CDATA[ZendServer oci8.so - libaio.so.1: cannot open shared object file]]> <> Wed, 28 Apr 2010 06:26:16 +0000 https://blog.zhoz.com/read.php?685 但发现在phpinfo中始终没有加载成功，即看不到Oci8的信息。
enderServer有管理端。。无意中跑到里面看到有加载报错日志。。。
[27-Apr-2010 17:45:34] PHP Warning:  PHP Startup: Unable to load dynamic library '/usr/local/zend/lib/php_extensions/oci8.so' - libaio.so.1: cannot open shared object file: No such file or directory in Unknown on line 0
在国外的一个站上看到了这样的信息：sudo apt-get install libaio1
于是按下面的方法，问题解决：
yum install libaio.i386


Tags - , , ]]> https://blog.zhoz.com/read.php?684 <![CDATA[国外Php开源建站平台收集]]> <> Sat, 24 Apr 2010 19:19:01 +0000 https://blog.zhoz.com/read.php?684


WordPress是使用PHP开发的著名博客平台，免费开源，功能强大，不仅仅用于博客搭建，还可以广泛应用于各类网络信息发布平台。

论坛：phpBB

phpBB是一种广泛流行的开源论坛软件，具有易于使用的管理面板和友好的用户安装界面，可以轻松地在数分钟内建立起一个论坛，功能上具有很高的可配置性，能够完全定制出相当个性化的论坛。

CMS：Drupal

Drupal是一个开源的内容管理系统(CMS)平台，拥有强大并可自由配置的功能，能支持从个人博客到大型社区驱动的网站等各种不同应用的网站项目。

Wiki：MediaWiki

MediaWiki是PHP语言写成开源Wiki引擎，全世界最大的Wiki项目维基百科就是使用MediaWiki引擎。

Digg：Pligg

Pligg是一套灵活的类似Digg的Web2.0 CMS系统，系统使用PHP开发，模仿了国外流行的DIGG系统。

图像：Gallery

Gallery 是一个非常有名的免费开源图库相册软件，基于 PHP 和 MySQL， PostgreSQL 等数据库。功能非常强大，有丰富的扩展可以下载，安装很简单，有很多插件可用。

RSS：Gregarius

Gregarius是一个RSS聚合程序，免费开源，具备不错的用户体验，易于操作和管理。可以把其当成RSS阅读器使用。

电子商务：osCommerce

osCommerce是一套由自由软件开发社团开发并维护的在线商店的解决方案，免费开源，并可以应用到任何的商业环境中，可以在短时间内生成一个功能强大的电子商务网站。

广告：OpenX

OpenX（原名phpAdsNew）是一个用PHP开发的广告管理与跟踪系统，适合各类网站使用，能够管理每个广告主拥有的多种任何尺寸横幅广告，按天查看，详细和概要统计并通过电子邮件发送报表给广告主。

数据库：phpMyadmin

phpMyAdmin是用PHP开发的MySQL的数据库管理工具。可以在Web界面上实现各种各样对MySQL数据库的管理和操作。


Tags - , , ]]>