Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость, позволяющая удалённо выполнить код на сервере PH..., opennews (?), 29-Авг-18, (0) [смотреть все] Загадка что общего у дешёвого китайского роутера и крупнейшего репозитория паке, Китайский кулхацкер (?), 22:44 , 29-Авг-18, (1) +3 // Голая жопа торчащая в интернет , Аноним (2), 23:07 , 29-Авг-18, (2) +14 Ну вот, мироздание опять пришло в равновесие А то непорядок, сайт на PHP был, а, anonymous (??), 00:26 , 30-Авг-18, (4) +3 // Прям бальзам Типичные пыхеры, с типичным решением , хоть кол на голове теши , anonymous (??), 00:29 , 30-Авг-18, (5) +2 // То есть типичных рубистов и питонщиков мы игнорим, а пыхари-то козлы налажали П, Аноним (10), 04:25 , 30-Авг-18, (10) +2 // Как скажешь Веб дерьмо и дерьмом останется Все кто пишут для веба нелюди Так , Аноним (11), 06:09 , 30-Авг-18, (11) –1 Согласно концепции web2 0 ты сейчас тоже пишешь для веба Нежнее надо быть, Ан, Leah (?), 00:24 , 31-Авг-18, (43) Питонщиков, слава богу, приучили не пользоваться system и передавать аргументы м, anonymous (??), 07:16 , 30-Авг-18, (15) да-да, фильтровать untrusted data не надо, за вас позаботится массив аргументов , пох (?), 08:20 , 30-Авг-18, (20) Я такого не говорил И фильтровать надо, и передавать массивом Безопасности мно, anonymous (??), 08:32 , 30-Авг-18, (24) Фееричный фикс Не удивлюсь, если они до сих пор не видят никаких проблем в само, Аноним (7), 01:51 , 30-Авг-18, (7) +3 // в самом использовании php, Отражение луны (ok), 02:11 , 30-Авг-18, (8)   // А что с PHP не так Мне правда интересно , istepan (ok), 06:24 , 30-Авг-18, (12) +2   // мне не менее интересно, что не так с system , если, конечно, не тянуть в параме, пох (?), 07:02 , 30-Авг-18, (13)   Вот ты лалка, а таким спецом выставлялся, прям гуру админства и проектирования с, anonymous (??), 07:13 , 30-Авг-18, (14) –3   Да тут 99 такие и 99 не знают, как GNU расшифровывается , Агин (?), 07:26 , 30-Авг-18, (16)   Зато вы, как узнали, сразу илитой себя ощутили, да , Тот_Самый_Анонимус (?), 18:19 , 30-Авг-18, (39) +1   так оно у тебя ещё и зашифровано , Leah (?), 00:31 , 31-Авг-18, (44)   обалдеть Нет, дружище, это не решение проблемы Это признание твоего неумения пр, пох (?), 08:24 , 30-Авг-18, (21)   Ребята из Drupal могут много рассказать про их надежную многоуровневую фильтраци, anonymous (??), 08:38 , 30-Авг-18, (25)   в смысле У них ее отродясь как раз и не было - фильтруют где попало и когда поп, пох (?), 10:39 , 30-Авг-18, (33)   кстати, я тормоз - пишу про php, думаю про си впрочем, кажется, автор исходной , пох (?), 10:34 , 30-Авг-18, (31)   Например, накладные расходы, связанные с запуском внешней программы, которых мож, Аноним (29), 10:28 , 30-Авг-18, (29)   предусмотренно, конечно, только если тебе надо из пехепе запустить, как тут, svn, пох (?), 10:36 , 30-Авг-18, (32)   А почему бы и нет Если на сайт заходят в день полтора анонимуса, можно и через , Аноним (37), 14:12 , 30-Авг-18, (37)   Можно было бы заморочится в систему типов, введя безопасные и небезопасные строк, Аноним (45), 14:25 , 31-Авг-18, (45)   Хипсталюбители тянуть всё автоматом из овнореп опять страдают Ну удивительно ж, Аноним (23), 08:25 , 30-Авг-18, (23) –1 // Вы не поверите, но тянуть автоматом из овнореп - это единственный путь, общий , Аноним (29), 10:34 , 30-Авг-18, (30) // Окей, корректировочка тянуть код автоматом из слабо верифицированных реп Дальш, Аноним (35), 12:22 , 30-Авг-18, (35) // Что, в принципе, тоже вполне себе модель разработки, имеющая доказанную примерам, Аноним (38), 16:07 , 30-Авг-18, (38) кек, трындеть все горазды, а вы бы лучше код свой показали, Аноним (26), 08:45 , 30-Авг-18, (26) +1 Звучит так, как будто иметь возможность компрометации это ожидаемо, да вот баг м, Blind Vic (ok), 09:22 , 30-Авг-18, (27) // видимо это нужно понимать как при таком раздолбайстве со стороны разработчиков , Cradle (?), 09:39 , 30-Авг-18, (28) +3 // а потом сраться в комментариях о гендере и прочем sjw, имя (?), 12:38 , 30-Авг-18, (36) –1 1,4,7,23,26,27

Сообщения

[Сортировка по времени | RSS]

	8. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	+/–
	Сообщение от Отражение луны (ok), 30-Авг-18, 02:11
	* в самом использовании php
	Ответить | Правка | Наверх | Cообщить модератору

	12. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	+2 +/–
	Сообщение от istepan (ok), 30-Авг-18, 06:24
	А что с PHP не так? Мне правда интересно.
	Ответить | Правка | Наверх | Cообщить модератору

	13. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	+/–
	Сообщение от пох (?), 30-Авг-18, 07:02
	мне не менее интересно, что не так с system(), если, конечно, не тянуть в параметры любой мусор, полученный из веба.
	Ответить | Правка | Наверх | Cообщить модератору

	14. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	–3 +/–
	Сообщение от anonymous (??), 30-Авг-18, 07:13
	> мне не менее интересно, что не так с system() Вот ты лалка, а таким спецом выставлялся, прям гуру админства и проектирования сложных надежных систем. Для безопасного вызова внешних бинарников есть семейство функций exec*, которые позволяют не заботится об экранировании вообще и решить проблему принципиально.
	Ответить | Правка | Наверх | Cообщить модератору

	16. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	+/–
	Сообщение от Агин (?), 30-Авг-18, 07:26
	Да тут 99% такие и 99% не знают, как GNU расшифровывается.
	Ответить | Правка | Наверх | Cообщить модератору

	39. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	+1 +/–
	Сообщение от Тот_Самый_Анонимус (?), 30-Авг-18, 18:19
	Зато вы, как узнали, сразу илитой себя ощутили, да?
	Ответить | Правка | Наверх | Cообщить модератору

	44. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	+/–
	Сообщение от Leah (?), 31-Авг-18, 00:31
	> как GNU расшифровывается. так оно у тебя ещё и зашифровано?!!
	Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

	21. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	+/–
	Сообщение от пох (?), 30-Авг-18, 08:24
	> Для безопасного вызова внешних бинарников есть семейство функций exec*, которые позволяют не > заботится об экранировании вообще и решить проблему принципиально обалдеть. Нет, дружище, это не решение проблемы. Это признание твоего неумения программировать, и перекладывание ее решения на других. Причем оно закрывает один узкий сегмент этой уязвимости, оставляя все остальные нараспашку, да еще и при ложной уверенности что ты сделал все правильно и можно уже не проверять данные из внешних источников. Молодец, так держать. И нет, надо не экранировать, а фильтровать. P.S. до кучи, еще один такой же звоночек - использование sn/strn вместо s/str - в надежде что уж тут-то буфер точно не переполнится.
	Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

	25. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	+/–
	Сообщение от anonymous (??), 30-Авг-18, 08:38
	> Это признание твоего неумения программировать, и перекладывание ее решения на других. Ребята из Drupal могут много рассказать про их надежную многоуровневую фильтрацию.
	Ответить | Правка | Наверх | Cообщить модератору

	33. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	+/–
	Сообщение от пох (?), 30-Авг-18, 10:39
	в смысле? У них ее отродясь как раз и не было - фильтруют где попало и когда попало - с весьма предсказуемым результатом. Причем в основных частях все сделано уже почти правильно (за миллион итераций с remote exec каждый раз), но, поскольку это каждый раз делалось для конкретного случая, а не общий интерфейс предусмотрен - оно каждый раз оказывается забыто в очередном новом месте ;-) Не говоря уже про авторов плагинов, которые велосипед изобретают каждый раз заново. Потому что опять же нет готового api для них.
	Ответить | Правка | Наверх | Cообщить модератору

	31. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	+/–
	Сообщение от пох (?), 30-Авг-18, 10:34
	кстати, я тормоз - пишу про php, думаю про си. (впрочем, кажется, автор исходной фигни вообще не в теме) php'шный exec() ни разу не обертка вокруг системного, он не имеет отдельного массива аргументов, и от system отличается только тем, что system() возвращает stdout обратно в вызывающий php, если ты собираешься его разглядывать или юзеру вывести прямо в браузер. Exec аккуратно складывает его в массив или просто выбрасывает, если не подставить.
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	29. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	+/–
	Сообщение от Аноним (29), 30-Авг-18, 10:28
	Например, накладные расходы, связанные с запуском внешней программы, которых можно было бы избежать, если для тех же целей подвязать сишную либу (которая, собственно говоря, и выполняет работу) и дёргать её внутри интерпретатора. Если честно, я хз, предусмотрено ли в php такое.
	Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

	32. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	+/–
	Сообщение от пох (?), 30-Авг-18, 10:36
	> Если честно, я хз, предусмотрено ли в php такое. предусмотренно, конечно, только если тебе надо из пехепе запустить, как тут, svn или hg - ты будешь писать враппер для svnlib, а для hg, который на пихоне - изобретешь его с нуля заново? ;-)
	Ответить | Правка | Наверх | Cообщить модератору

	37. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	+/–
	Сообщение от Аноним (37), 30-Авг-18, 14:12
	А почему бы и нет? Если на сайт заходят в день полтора анонимуса, можно и через system вызывать, а если нагрузка высокая, то на каждый запрос запускать процесс - это уже непозволительное расточительство, тут уже стОит озаботиться каким-то более эффективным способом.
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Уязвимость, позволяющая удалённо выполнить код на сервере PH..."	+/–
	Сообщение от Аноним (45), 31-Авг-18, 14:25
	Можно было бы заморочится в систему типов, введя безопасные и небезопасные строки. Вот константа - безопасна, так как не подвержена инъекции. А вот $_GET опасен. Складываем безопасную с опасной - получаем опасную. При таком подходе инхекций не было бы, так как у говнокодеров сайт просто падал бы с ошибкой. Впрочем в пыхе и более простые вещи поломаны, о чём можно говорить?
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема