Новая уязвимость в PHP

Не погорячились насчёт "произвольного кода"? На ЛОРе новости проверять будут когда-нибудь?

>Обнаружено переполнение буфера в функциях wordwrap(), array_fill() и substr_compare()

о да :)

>Удаленный пользователь может выполнять произвольный код в системе, передавая этим функциям некорректные параметры

о да - два раза :)))

кто верит "удаленным пользователям", тот сам себе злой буратино

программист должен исходить из предпосылки, что "удаленный пользователь" зол по своей природе ;)

Все правильно, но от ошибок никто не застрахован. Поэтому такие потециальные дыры всегда неприятны

может стоит php переписать с нуля? а то уж очень много в нем чего находят

>а то уж очень много в нем чего находят

Чем много пользуются, в том и находят.

А где там в експлоитах вы видите исполнение произвольного кода?

>Все правильно, но от ошибок никто не застрахован. Поэтому такие потециальные дыры всегда неприятны

ошибки в таких функциях, которыми мало пользуются - вот их и нашли только сейчас

а данные от пользователя проверять все же надо - это камень не в РНР, а доверчивым кодерам ;)

Угу. Только вот факты говорят все-же о том, что php дыряв как решето. Да еще и способствует написанию уязвимых приложений. А ламеров пишущих на нем уже выше крыши. Почем мне знать - не вы ли один из них? (Защищаете свой любимый ЯП...) ;) Короче говоря, у php репутация настолько-же плоха, как и у винды. Он настолько-же популярен и настолько-же дыряв.

главное не язык а умение на нём зарабатывать.

>главное не язык а умение на нём зарабатывать.

+1 :)

Идиотизм. Цэ получается вообще решето потому что кривые параметры переданные в memcpy могут реально испольнить левый код. Полное гавно может случиться на любом языке программирования - главное руки покривее иметь. Кто думает что "прямой" язык и "прямая" rtl панацея - должен работать лопатой. И нефиг говорить что один язык более прямой а другой менее - нефиг свою неквалифицированность оправдывать высокими материями.

>Идиотизм. Цэ получается вообще решето потому что кривые параметры переданные в memcpy могут реально испольнить левый код. Полное гавно может случиться на любом языке программирования - главное руки покривее иметь. Кто думает что "прямой" язык и "прямая" rtl панацея - должен работать лопатой.

+1

недавно смотрел код на С++, который мужик писал после программирования на C#

диагноз - разжижение мозга ;)

AcidumIrae, только человек в разжиженным мозгом может добровольно писать на С++.

--седайко стюмчик

>AcidumIrae, только человек в разжиженным мозгом может добровольно писать на С++.

не люблю употреблять слово "быдлокодер", но после ваших слов, только это вам могу и ответить ;)

Убери корявки от плюсов, зараза...

перекваливицируйся в прораба работающих лопатой

Как это в падонк-сленге ... ах да! Аффтар, выпей йаду.

Как на лоре народ любит не аргументированно высказываться ...

слово "умнокодер" ещё смешнее. интеллектулы, доморощенные... :)

--седайко стюмчик

Как Вам рубашечка? Рукава длинноваты? Ничего, сейчас мы их Вам на спине завяжем, и все будет хорошо :)

Ок. Заработок - дело святое. :)
Цитата с opennet.ru :
---
Примечательно, что разработчики PHP были уведомлены о данных проблемах 45 дней назад, ответ до сих пор не получен, исправления не вышли.
---
Отстой этот ваш PHP.

Что такое РНР?

Русский Народный Рок?

>Идиотизм. Цэ получается вообще решето А давайте не будем сравнивать разные по уровню и предназначению языки? И непредвзято еще раз посмотрим на PHP... (Надеюсь, вам не надо напоминать что такое С? Или вы про него только лишь где-то слышали?)

go to http://www.php.net/ dude

>>Идиотизм. Цэ получается вообще решето А давайте не будем сравнивать разные по уровню и предназначению языки? И непредвзято еще раз посмотрим на PHP... (Надеюсь, вам не надо напоминать что такое С? Или вы про него только лишь где-то слышали?)

а давайте мы вспомним, что РНР написан на С и екстеншены к РНР в основном на С пишутся - с этого боку РНР это просто интерпретатор cgi для С ;)))

получается РНР библиотечка на С - ну не без багов ;)

>получается РНР библиотечка на С - ну не без багов ;)

А я то думал, вы сделаете отсюда вывод, что PHP написан криворукими быдлокодерами... ;) Цитата: "Полное гавно может случиться на любом языке программирования - главное руки покривее иметь."

> Что такое РНР?

> Русский Народный Рок?

нет, просто пых-пых

> а давайте мы вспомним, что РНР написан на С и екстеншены к РНР в основном на С пишутся - с этого боку РНР это просто интерпретатор cgi для С ;)))

в таком случае я отдам предпочтение другому "просто интерпретатору cgi для С"

>А я то думал, вы сделаете отсюда вывод, что PHP написан криворукими быдлокодерами...

А выводы делать неблагодарное дело а то выясниться что переполнение происходит по вине компилятора который тоже типа не виноват потому что так дизайном проца положенно работать а там дизайн автоматом с vhdl генерили на компилере с фортраном а там прохо плавающая точка обрабатывалась потому что - а хрен знает почему. Низя виноватых искать. Нашли дефект - поправили. Программеры на PHP если знали про эту пакость должны были по идеи пересмотреть свои творения если кто не подстраховался зная о неблагонадежности сверху(пользователи) и снизу(интерпретатор). Ну и получить малость бабла за досрочное затыкание баги на сайте :D В два раза больше надо просить если дыра не образовалась в силу прямых рук :D Zendовцы очевидно тоже подарков ждут и тянут чтобы в овертайм исправить :D Чего не так то?

>в таком случае я отдам предпочтение другому "просто интерпретатору cgi для С"

отдавайте пожалуйста - вас никто не заставляет ;)

непонятно другое - почему некоторые личности начинают швырятся дерьмом? :)))

как обезьяны в киевском зоопарке :)

>непонятно другое - почему некоторые личности начинают швырятся дерьмом? :)))
Ах, да. Прошу прощения за употребление слова "отстой". Надо было помягче, да завуалировать... не в зоопарке, все-же. А про дырявость - правда глаза колет, да?

>Ах, да. Прошу прощения за употребление слова "отстой"

"А ламеров пишущих на нем уже выше крыши." :)

>А про дырявость - правда глаза колет, да?

далась вам дырявость РНР, что вас силой кто-то его использовать заставляет?

РНР это язык следующего уровня(если вас не понятно - софтина написанная на С) и про дырявость языка здесь говорить просто безграмотно :)

язык не ДЫРЯВ, дырява РЕАЛИЗАЦИЯ некоторых функций :)))

перепишите РНР с нуля без дыр, если вас так ДЫРЯВОСТЬ бесит :)))

Люди, а по подробностям-то 404 :) Неужели вообще никто по ссылке не ткнул 8-O ?

>Люди, а по подробностям-то 404 :) Неужели вообще никто по ссылке не ткнул 8-O ?

а зачем? пофлеймить и так можно ;)

и не читать по ссылке - старая традиция

>"А ламеров пишущих на нем уже выше крыши." :)

Ну, вы же сами, кажется, согласны с этим? Не вас же я имел в виду, в самом деле.. как вы только могли подумать? Неужели сомневаетесь в собственных знаниях? ;)

>РНР это язык следующего уровня(если вас не понятно - софтина написанная на С) и про дырявость языка здесь говорить просто безграмотно :)

Нет, ну что же вы так придирчивы? Ведь поняли о чем речь, не так ли? ;)

>язык не ДЫРЯВ, дырява РЕАЛИЗАЦИЯ некоторых функций :)))
>перепишите РНР с нуля без дыр, если вас так ДЫРЯВОСТЬ бесит :)))

Меня она смешит, если вы еще не заметили. А вот, некоторых пэхапэшных кодеров замечания о дырявости их любимого языка просто таки выводят из себя.

А про переписать с нуля... Позвольте спросить - зачем? Вам не нравятся Perl, Ruby и Java? ;)

Подозреваю что через опубликованную багу эту страницу и проковыряли :D:D:D

"Выполнение произвольного кода и отказ в обслуживании в PHP" на секлабе http://www.securitylab.ru/vulnerability/266231.php
Advisory: http://www.infigo.hr/en/in_focus/advisories/INFIGO-2006-04-02
Особенно интересно:
Vendors Status:
Vendor contacted several times, no official response.
Vendor contacted on 2nd Mar 2006
Vendor contacted on 5th Mar 2006
Vendor contacted on 7th Mar 2006
Vendor contacted on 8th Mar 2006
Vendor contacted on 4th Apr 2006

>А про переписать с нуля... Позвольте спросить - зачем? Вам не нравятся Perl, Ruby и Java? ;)

А они уже PHP понимают? ;)

Если верить википедие то Руби вышел примерно одновременно с первым PHP. Популярность всетаки чегото решает (Хотя не честно их сравнивать потому что то что на руби можно делать к тому php просто не предназначен). Хостингов с PHP больше чем с Ruby. К томуже руби "малость" тяжеловат особено если после кубасика или еще чего. Жаба имхо менее тяжела. Рядом с php можно пожалуй поставить JS :D А тот как мы знаем еще более дыряв в своих реализациях :P

Пису пис.

После подтверждения ссылка была.

Это там глюки какие-то с редиректом. http://www.securitylab.ru/vulnerability/266231.php -- работает.
http://securitylab.ru/vulnerability/266231.php -- в подробностях
почему-то перенаправляется на ссылку такого вида:
http://www.securitylab.ru//vulnerability/266231.php

> К томуже руби "малость" тяжеловат

Фигасе, проще только питон и схема имхо. А уж Java сложнее точно, хотя если взять все тонкости руби то да, но то что используюеться в основмно учиться за день-два...

> Люди, а по подробностям-то 404 :) Неужели вообще никто по ссылке не ткнул 8-O ?

Стёрли "новость" с securitylab'а.

>> К томуже руби "малость" тяжеловат
> Фигасе, проще только питон и схема имхо.

Простота и тяжесть - это сильно разные вещи. Про производительность речь идет.

array_fill - это точно не баг. Это истощение ресурсов памяти. mem_limit
на всех вменяемых хостингах выставлен. wordwrap в cgi режиме выдает
такую мессагу: child process 7567 killed by signal 11
Это сильно страшно?