在不升级应用程序的情况下，是否可以通过过时的php web应用程序的渗透测试？

Question

我的项目的漏洞列表版本。客户端宁愿不将PHP版本升级到最后一个版本。另外，在从5.1.6切换到5.3.0之后，一些代码很可能会中断。然而，我面临两个问题：

• 有些漏洞不能用代码解决，只能通过修复重新编译PHP来解决；我不得不重写代码以避免它们
• 对于大多数漏洞，我似乎找不到PoC(概念的证明)；我怎么知道我已经修复了它们/问题在哪里呢？

任何建议都是非常感谢的。

Answer 1

升级和重写部分代码将是解决漏洞的最安全方法。根据应用程序的访问方式，您可以查看几个不同的透视图。

如果这是外部访问互联网，我将假设用户将在一个特定的地理范围内。例如。现场为当地一家当地公司提供当地产品。你可以阻止所有的国际交通，因为它将不需要。

如果它是一个内部intranet应用程序，那么只需监视网络中任何可疑的事情。

如果它是在互联网上与国际曝光为一项要求，保持所有的更新和修补，因为你将被扫描。

Answer 2

您可能会看到，是否可以使用mod_security http://www.modsecurity.org/减轻一些风险。