LINUX.ORG.RU

Множественные уязвимости в PHP


0

0

Обнаруженные уязвимости позволяют удаленному пользователю произвести XSS нападение, обойти ограничения безопасности и потенциально скомпрометировать систему.

1. Массив "GLOBALS" является недостаточно защищенным. Удаленный пользователь может переопределить глобальные переменные с помощью "multipart/form-data" POST запроса со специально сформированным полем file upload или посредством сценария, вызывающего функцию "extract()" или "import_request_variables()". Удачная эксплуатация уязвимости требует, чтобы опция register_globals была включена в конфигурационном файле PHP.

2. Обнаружена ошибка при обработке входных данных в функции "parse_str()", когда эта функция вызывается только с одним параметром. Злоумышленник может отключить memory_limit во время обработки входных данных в функции parse_str() путем отправки уязвимой функции большого количества переменных. Функция parse_str(), на время обработки входных данных, включает опцию register_globals, и если во время выполнения функции произойдет отключение memory_limit, то опция register_globals останется включенной до перезагрузки web сервера.

3. Межсайтовый скриптинг возможен при обработке входных данных в функции phpinfo(). Удаленный пользователь может с помощью специально сформированного URL выполнить произвольный HTML сценарий в браузере жертвы в контексте безопасности уязвимого сайта.

4. Удаленный пользователь может обойти механизмы безопасности "safe_mode" и "open_basedir" с помощью модулей "ext/curl" и "ext/gd".

5. Неопределенная ошибка при вызове функции virtual() в Apache 2 может быть использована для обхода ограничений безопасности директив "safe_mode" и "open_basedir".

>>> Подробности

★★

Проверено: Shaman007 ()

И все описанные "дыры" от кривых рук.

drd ★★
()

>4. Удаленный пользователь может обойти механизмы безопасности "safe_mode" и "open_basedir" с помощью модулей "ext/curl" и "ext/gd".
А вот это уже серьезно.
gd практически на всех хостерах стоит.

xnix ★★
() автор топика
Ответ на: комментарий от anonymous

Народ. Кто уже обновился до 4.4.1. Чего там разработчики намудрили с safe_mode? Почему в safe_mode все перестало работать?

anonymous
()
Ответ на: комментарий от fk_

а я изначально думал, что язык плохой... а вот совсем недавно с ним познакомился поближе... все оказалось гораздо хуже, чем я предполагал... ЗЫ перл рулит... особенно в умелых руках. а на пхп, как ни извращайся, только хоумпаги нормально выходят.

anonymous
()
Ответ на: комментарий от lexius

>Home page есть home page.

точно... :)

пыхпыху то до перла как до китая раком, не то что до жабы, ваще как до луны... :)

mit
()
Ответ на: комментарий от anonymous

>>а я изначально думал, что язык плохой... а вот совсем недавно с ним познакомился поближе... все оказалось гораздо хуже, чем я предполагал... ЗЫ перл рулит... особенно в умелых руках. а на пхп, как ни извращайся, только хоумпаги нормально выходят.

Пол-инета сейчас на PHP работает - мало кто жалуется. И только фанатичные извращенцы делают скудные странички, но обязательно с верблюдом и надписью "Powered by Perl"

Мы все сдохнем (с) Beavis

anonymous
()
Ответ на: комментарий от Eldhenn

1. подобное мог сказать человек, писавший на нём только гостевухи 2. для остальных выше неуязвимых систем нет и ошибки есть везде

pento ★★★★★
()

бугага, пусть ломают open_basedir сколько угодно

ls -ld ~
drwx------  5 u10005 u10005 143 Oct 12 10:59 /var/www/u10005

borisych ★★★★★
()

для всех думающих людей подобный компромат на язык - серьезный повод задуматься о допустимости его использования...

вывод: недопустимо. Используют от скудоумия.

anonymous
()
Ответ на: комментарий от anonymous

для всех думающих - это серьёзный повод задуматься о выпрямлении своих рук, а не о допустимости его использования.

anonymous
()
Ответ на: комментарий от anonymous

У меня есть один знакомый, который во всех своих бедах обвиняет женщин... А они все бегут от него и бегут...

drd ★★
()

Примитивные организмы борются за выживание не с помощью качества, а с помощью количества

anonymous
()
Ответ на: комментарий от fk_

> А я только сегодня утром думал: какой хороший язык PHP :(

Попробуй подумать еще раз: в первый раз как-то не слишком хорошо получилось...

anonymous
()

PHP - это плохо, ОЧЕНЬ плохо. Впрочем, об этом _много_ раз говорили

--седайко стюмчик

sedajko_stjumchik
()

А быдлы плакали, кололись, но продолжали жрать свой тормозной и глючный PHP.

Кто бы мне объяснил, откуда такое невообразимое количество любителей этой откровенно ублюдочной технологии?

anonymous
()
Ответ на: комментарий от fk_

PHP как язык, независимо от реализации, один из самых ублюдочных, когда либо созданных пьяным человечеством.

anonymous
()
Ответ на: комментарий от anonymous

А чего тут думать? Я не вижу ни одного аргумента ЗА использование PHP. Ну, кроме кажущейся дешевизны хостинга.

anonymous
()
Ответ на: комментарий от Selecter

Придумай хотя бы одну причину, почему не надо гнать на PHP. Он не просто плох, он плох во всём, абсолютно. Я совершенно не понимаю, почему его применяют, настолько он убогий и нелепый.

anonymous
()
Ответ на: комментарий от Selecter

Ну не получается у людей что-то делать... Вот и кричат - это отстой, это - гадость. А вечером едут на метро домой...

drd ★★
()
Ответ на: комментарий от drd

Почему не получается? Очень даже всё получается с Java+Hibernate+Spring. И после этого очень-очень грустно смотреть на жалкую, безнадёжную возню странных существ-пэхэпэхеров.

anonymous
()
Ответ на: комментарий от pento

> 1. подобное мог сказать человек, писавший на нём только гостевухи 2. для остальных выше неуязвимых систем нет и ошибки есть везде

1) а можно примерчик "не только гостевухи" на пых-пых? теоретически, мы все -- гении :)

2) примерчик хотябы близкой по реализуемости/серьезности уязвимости для, ну, к примеру, jboss

anonymous
()
Ответ на: комментарий от anonymous

> Придумай хотя бы одну причину, почему не надо гнать на PHP. Я совершенно не понимаю...

Принцип локализации идиотов: кто называет идиота идиотом, тот сам идиот.

mokhin
()
Ответ на: комментарий от anonymous

да, сточник для пункта 2) можно любой, хоть гугл, ввиду крайне непростой задачи :)

anonymous
()
Ответ на: комментарий от anonymous

> Придумай хотя бы одну причину, почему не надо гнать на PHP. Он не
> просто плох, он плох во всём, абсолютно. Я совершенно не понимаю,
> почему его применяют, настолько он убогий и нелепый.

Хороший шаблон :) А тепер поставь вместо слова "PHP" по очереди слова "Python", "Java", "C#"... :)

PHP прост в установке (требует мало зависимостей), мал сам по себе - 4.5 метра суммарный объем всех пакетов php* в FC4, при выдерживании стиля программа на пхп выглядит красиво и понятно, нет излишних сложностей с включением файлов (пакеты/области видимости/.....).

Можешь еще почитать:
http://www.dklab.ru/chicken/nablas/2.html
http://php.rus-phpnuke.com/intro-whatcando.html
http://phpclub.unet.ru/


P.S. Всему свое место - лучше технологии для веб чем PHP пока не придумали. Perl - идеально для автоматических скриптов, Java - тормоз зато везде работает, питон - для фанатов типа любителей слаки.

vs240
()
Ответ на: комментарий от anonymous

Я конечно с jboss не работал и на PHP не пишу, но вот примерчик кучи веб-приложений, которые используются очень, повторюсь, очень многими. http://www.horde.org/

Кстати, подозреваю, что приложения, написанные "знатоками" того, что PHP - это язык на котором ничего написать нельзя, не являются и на 10% такими же популярными и мощными как то, что есть на этой странице.

По работе сталкивался с Horde/IMP - очень удобный веб-мейлер. В академических кругах в Европе чрезвычайно распространён. А это пусть и не самый объективный, но показатель.

Crazy_Doctor
()
Ответ на: комментарий от vs240

>лучше технологии для веб чем PHP пока не придумали

А обосновать? Что есть в PHP, чего нет в Perl и CPAN? Что есть в PHP, чего нет в Java (J2EE)? Что придумали пхпшники? Записывать массивы и хэши одним способом? Соединять код и шаблоны? Какие ещё есть гениальные изобретения?

Eldhenn
()
Ответ на: комментарий от vs240

1. В современных дистрах - по фигу на простоту установки. Разве что речь идёт о сервере детского сада - тогда да, тогда PHP поставить чуть проще, чем JBoss.

2. Кого вообще сношает размер?!?

3. Синтаксис и семантика PHP таковы, что как бы ты не выдерживал стиль, а получится нечто кривое, громоздкое и нечитабельное. Потому как сам язык дюже поганый, хиленький и кривенький.

4. Java - тормоз? Ты с какой Луны свалился? Java работает на порядки быстрее пыхпыхпыха! PHP - самая кривая технология для веба из всех существующих, только очень больной фанатик будет гнать, что нет ничего лучше.

anonymous
()
Ответ на: комментарий от anonymous

>а можно примерчик "не только гостевухи" на пых-пых?

Увы, на пых-пых написано дохрена всего. Просто дохрена.

Eldhenn
()
Ответ на: комментарий от pento

Нет, на пых-пых можно писать не только гостевухи. На нём можно писать даже порталы. Но - лучше это делать другими, более удобными средствами.

Eldhenn
()
Ответ на: комментарий от Crazy_Doctor

Никто не говорит, что написать хорошее приложение на PHP нельзя. Можно даже на Фортране. Только вот глупо это, писать хорошие приложения на плохом языке. Ведь можно написать на хорошем, гораздо быстрее и дешевле.

anonymous
()
Ответ на: комментарий от anonymous

Надо писать на том, на чём нравится. А значит --- это дело вкуса. А спорить о том какой язык самый великий --- глупое и абсолютно непродуктивное занятие.

Надо просто писать то, что хочется или за что деньги платят.

И вообще, пусть будет больше хороших, нужных и удобных приложений и не важно, на чём они написаны. :-)

Честное слово, сколько можно? Каждый раз, как новость про языки программирования начинается "религиозная" рубка какой лучше. К чему? :-(

Crazy_Doctor
()
Ответ на: комментарий от vs240

>нет излишних сложностей с включением файлов (пакеты/области видимости/.....).

Излишних? ;-)


>лучше технологии для веб чем PHP пока не придумали
java

>Java - тормоз зато везде работает

http://www.caucho.com/articles/benchmark.xtp

Java быстрее чем PHP,Perl,Python,Ruby и на многих операциях почти так же шустра как C++ (не путать с C).

http://www.idiom.com/~zilla/Computer/javaCbenchmark.html

Yilativs ★★★★
()

"HTML сценарий в браузере жертвы"

Пасмеялса, спасибо. Аффтар, пеши есчо. Асилю.

anonymous
()
Ответ на: комментарий от Crazy_Doctor

Нельзя писать на том, что нравится. По многим причинам - на том, что нравится, ты будешь писать гораздо дольше, чем на том, на чём надо, соответственно, заплатят тому, кто напишет быстрее и лучше на правильном языке, а не детке-любителю с его нравящимся уродством. Кроме того, если человеку искренне нравится кривейший PHP, то это уже серьёзный признак его интеллектуальной недостаточности.

anonymous
()
Ответ на: комментарий от anonymous

>Синтаксис и семантика PHP таковы, что как бы ты не выдерживал стиль, а >получится нечто кривое, громоздкое и нечитабельное.

Мальчик, PHP -- это не твой QBasic, который ты видать только и видел. Не идеал, да, но в кривых руках... А при грамотном подходе вполне себе рабочий инструмент.

anonymous
()
Ответ на: комментарий от Selecter

Это не зря 8(( PHP редкостное дерьмо, увы. Говорю как человек с большим hands-on expirience с этим...

Zulu ★★☆☆
()
Ответ на: комментарий от Crazy_Doctor

> Кстати, подозреваю, что приложения, написанные "знатоками" того, что PHP - это язык на котором ничего написать нельзя, не являются и на 10% такими же популярными и мощными как то, что есть на этой странице.

ну, во-первых, никто и не говорил, что "PHP - это язык на котором ничего написать нельзя". вопрос был о том, что имелось ввиду под "не просто гостевуха" в отношении php.

популярность очень часто не является показателем качества приложения, поскольку может отражать совершенно далекие от этого вещи начиная от хорошего маркетинга и заканчивая "сделано специально для широкого круга пользователей, не обладающих специальными знаниями и навыками".

разные потребности -- разные критерии оценки, перечислять которые я даже не возьмусь.

а вот что касается "мощности", то любая среднего размера система, основанная на j2ee, делает привиденный уважаемым оппонентом пример, как говориться, в легкую. да, что там система, даже отдельные компоненты, из которых она состоит.

> В академических кругах в Европе чрезвычайно распространён. А это пусть и не самый объективный, но показатель.

сложно не согласиться, но я бы сделал акцент на "не самый объективный" и даже сказал бы, что далеко не самый объективный

anonymous
()
Ответ на: комментарий от Eldhenn

> Но - лучше это делать другими, более удобными средствами.

Пример пожалуйста. Желательно хотя бы чуть чуть работающий.

anonymous
()

вот понабежало красноглазых ,-) Кому не нравится пхп - не трогайте его, отойдите в сторонку, вдохните поглубже и продолжайте писать на своем любимом Лиспе :)

Кстати, помнится, когда - то яву точно так же ругали... а сейчас сплошной позитив.

insa
()
Ответ на: комментарий от Eldhenn

По поводу perl смотреть http://www.dklab.ru/chicken/nablas/2.html

По поводу CPAN смотреть pear.php.net (кстати реально нужные вещи в CPAN не найдешь - например покажи мне в CPAN модуль отправки мыла через SOCKS прокси).

Что придумали... Придумали специализированный язык для веба, в котором изначально задуманы $_GET, $_POST, $_COOKIE, $_SESSION, множество встроенных функций. То что в других языках делается через внешние модули/классы в пхп реализовано изначально, и о таких мелочах как input name="n[]" забывать тоже не стоит :)

vs240
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.