PHP2Shell 취약점 대응: OOM 공격과 커넥션 고갈을 방어하는 백엔드 가이드

[HTTP 500 Error Spike & Memory Exhaustion Log]
PHP Fatal error:  Allowed memory size of 67108864 bytes exhausted (tried to allocate 1048576 bytes) in /var/www/html/session.php on line 42
[kernel] Out of memory: Kill process 18241 (php-fpm) score 820 or sacrifice child
[proxy_fcgi:error] [pid 1042:tid 1398] (104)Connection reset by peer: [client 178.249.214.6:49210] FastCGI process disconnected

[00:00:00] 1단계: 프록시 워커 고정 (Worker Pinning Stage)
           └─ 악성 진입 IP에서 수백 개의 미완료 HTTP 핸드셰이크 생성
           └─ Content-Length: 1048576 선언 후 1byte 전송 후 소켓 대기 유지
           └─ 가용한 리버스 프록시 및 웹 서버 워커 스레드를 단일 워커를 제외하고 고갈 유도

[00:00:01] 2단계: 힙 메모리 단편화 및 OOM 유도 (A1 Payload Stage)
           └─ 남은 워커로 청크 전송 방식의 멀티파트 요청(974개 파트, 106만 바이트) 전송
           └─ PHPSESSID 내 널 바이트 및 다중 중첩 배열 파라미터로 세션 힙 할당 유발
           └─ memory_limit(64MB) 초과로 HTTP 500 반환 및 미해제 힙 메모리 단편화 발생

[00:00:02] 3단계: 기저 주소 유출 시도 및 노드 패닉 (B1 Payload Stage)
           └─ 타깃 프로세스 재할당을 노려 동일 세션 식별자 요청 재전송
           └─ 배포 환경의 메모리 레이아웃 불일치로 유출 실패, 프로세스 패닉 및 OOM 강제 종료

[ PHP2Shell 방어 및 자원 격리 아키텍처 ]

  [ Internet External Traffic ]
                │
                ▼
  ┌─────────────────────────────────────────────────────────┐
  │ 1. API Gateway / Edge Reverse Proxy Guard               │
  │  - Early Rejection on Session Null-Byte Attack          │
  │  - Multipart Max Parts Inspection (Cap: 150)            │
  │  - Request Read Timeout Enforced (2s / 5s)              │
  └─────────────────────────────┬───────────────────────────┘
                                │
                                ▼
  ┌─────────────────────────────────────────────────────────┐
  │ 2. Isolated Backend Application Cluster (Kubernetes)     │
  │                                                         │
  │  ┌───────────────────────┐   ┌───────────────────────┐  │
  │  │ Nginx / Envoy Ingress │   │ PHP-FPM Engine Pool   │  │
  │  │                       │   │                       │  │
  │  │  - Short Keep-Alive   │   │  - memory_limit: 64M  │  │
  │  │  - Worker Decoupling  │───▶  - post_max_size: 8M │  │
  │  │  - Client Body Limit  │   │  - Stateless Session  │  │
  │  └───────────────────────┘   └───────────┬───────────┘  │
  └──────────────────────────────────────────┼──────────────┘
                                             │
                                             ▼
                               ┌───────────────────────────┐
                               │ Distributed Session Store │
                               │ (Redis Central Cluster)   │
                               └───────────────────────────┘

from typing import Callable
from fastapi import Request, Response, status
from starlette.middleware.base import BaseHTTPMiddleware

class PHP2ShellExploitGuardMiddleware(BaseHTTPMiddleware):
    """
    PHP2Shell 메모리 고갈 및 소켓 고정 공격을 
    L7 프록시 엔트리포인트에서 선제 차단하는 보안 미들웨어입니다.
    """
    def __init__(
        self, 
        app, 
        max_multipart_parts: int = 150, 
        max_post_body_bytes: int = 8 * 1024 * 1024
    ):
        super().__init__(app)
        self.max_multipart_parts = max_multipart_parts
        self.max_post_body_bytes = max_post_body_bytes

    async def dispatch(self, request: Request, call_next: Callable) -> Response:
        content_type = request.headers.get("content-type", "").lower()
        content_length = request.headers.get("content-length")

        if content_length and int(content_length) > self.max_post_body_bytes:
            return Response(
                content="Payload Too Large (Exceeds Security Cap)",
                status_code=status.HTTP_413_REQUEST_ENTITY_TOO_LARGE
            )

        cookie_header = request.headers.get("cookie", "")
        if "PHPSESSID" in cookie_header and ("%00" in cookie_header or "\x00" in cookie_header):
            return Response(
                content="Invalid Session Identifier State",
                status_code=status.HTTP_400_BAD_REQUEST
            )

        if "multipart/form-data" in content_type:
            boundary_count = request.headers.get("content-type", "").count("boundary=")
            if boundary_count > 1:
                return Response(
                    content="Malformed Multipart Header Structure",
                    status_code=status.HTTP_400_BAD_REQUEST
                )

        return await call_next(request)