Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в PHP, позволяющая обойти ограничения, заданные в php.ini, opennews (??), 07-Окт-21, (0) [смотреть все] Ну вот шо это такое И вот опять , Аноним (1), 09:57 , 07-Окт-21, (1) +10 // Философия PHP , nelson (??), 10:09 , 07-Окт-21, (3) +5 // Философия ПХП Давайте пыхнем , InuYasha (??), 15:50 , 07-Окт-21, (41) А кому это надо-то Мёртвый язык , QwertyReg (ok), 11:09 , 07-Окт-21, (8) –25 // Пффф Сотня другая компаний экономит на программистах нанимая школоту на пыхеЯ б, Аноним (58), 18:44 , 07-Окт-21, (58) +1 // И что же тебе понятно Что в каждом первом сервисном центре работают далеко не се, fg (??), 02:09 , 08-Окт-21, (73) +5 знаю несколько контор которые дурные деньги влили в проекты на пхп, но код да по, kissmyass (?), 18:56 , 08-Окт-21, (88) Да, всего-то каких-то 75-80 вёба, если верить w3c Без тенденции на понижение, , Онаним (?), 23:00 , 09-Окт-21, (100) +1 // Да давайте уж 100 , чего вы 100 всего веба работает на мёртвом языке , QwertyReg (ok), 15:04 , 11-Окт-21, (106) –1 Ну я же говорю, ошибка в исходном посыле, поэтому ёрничай - не ёрничай, а фак ес, Онаним (?), 23:06 , 11-Окт-21, (112) График на W3C выглядит для всех кроме PHP вообще печально Особенно для MS https, Онаним (?), 23:19 , 11-Окт-21, (114) И вот опять https bugs php net bug php id 73122 пофиксили 2021-08-18 спустя с, arzeth (ok), 13:05 , 07-Окт-21, (23) –1 Пили на Си Вот дался тебе этот ПХП Проходи мимо , Умпа (?), 19:02 , 07-Окт-21, (60) Ну так для php и не должно влиять на безопасность - тут вам не js и не nodejs, т, Аноним (62), 20:26 , 07-Окт-21, (62) +3 // Ах, да поделки вроде вордрпесс забылТам как раз левый код плагинов исполняют на, Аноним (62), 20:30 , 07-Окт-21, (63) +1 еваль в пхп это не функция, запретить через эту конструкцию нельзя можно модул, привет (ok), 10:00 , 07-Окт-21, (2) –1 // Это бессмысленно, есть миллион способов обойти такие запреты Надо запускать от и, Аноним (11), 11:29 , 07-Окт-21, (11) +2   // пару скиньте способов обойти запрещеные функции из миллиона не используяуязвим, привет (ok), 13:03 , 07-Окт-21, (22) –1   // Открыть файл в tmpdir, sessiondir или вообще в php memory, записать туда код, , Аноним (35), 14:59 , 07-Окт-21, (35)   Для shared единственное решение с учетом необходимости поддержки htaccess - mpm , Аноним (35), 15:00 , 07-Окт-21, (36)   Ещё можно просто записать в сессию и проинклюдить session file, полный путь к не, Аноним (35), 15:04 , 07-Окт-21, (37)   долгоже вы гуглили сессии на шаредах никто не хранит в файлах, для этого есть сп, привет (ok), 15:21 , 07-Окт-21, (40) –2   Я ничего не минусовал Какая разница, свой или чужой tmpdir Главное чтобы было к, Аноним (35), 15:54 , 07-Окт-21, (43) +2   itk, да Лучше пока не придумано fpm можно, но в рамках шареда это обречено D, Онаним (?), 22:54 , 09-Окт-21, (98)   Гуглить мне нафиг не надо, это такие школохостеры гуглят идиотские списки для di, Аноним (35), 16:04 , 07-Окт-21, (45)   Самое поганое - это выпиливание set_time_limit Пара новых клиентов таки нарвал, Онаним (?), 22:52 , 09-Окт-21, (96)   preload с эмуляцией не предлагать - это отдельные грабли , Онаним (?), 22:53 , 09-Окт-21, (97)   Слепил мелкопатч, добавляющий опцию strict_time_limit, в три строчки, не считая , Онаним (?), 23:00 , 11-Окт-21, (111)   С другой стороны флаги можно не патчить, а просто забить как admin_value, но я п, Онаним (?), 23:09 , 11-Окт-21, (113)   Сессии на шаредах как раз и хранят в файлах в основном Потому что это единствен, Онаним (?), 22:57 , 09-Окт-21, (99)   использую как раз memcached, где это возможно, с проблемами вроде не сталкивался, привет (ok), 10:52 , 11-Окт-21, (104)   Большинство типового софта на PHP ожидает, что сессия будет блокирующая, и пишет, Онаним (?), 14:08 , 11-Окт-21, (105)   тут Вы правы, такое действительно может случится, особенно если в сессии счетчик, привет (ok), 15:06 , 11-Окт-21, (107)   С редисом то же самое, что с мускулем - придётся коннект удерживать всё время вы, Онаним (?), 18:27 , 11-Окт-21, (108)   пара сокетов - в смысле один на запрос на клиенте, один на запрос на сервере , Онаним (?), 18:27 , 11-Окт-21, (109)   Ну и с DBMS обычно выходит неприятно, если они кластерные - нетранзакционные бло, Онаним (?), 18:31 , 11-Окт-21, (110)   Ну вот Пхп безопасен, говорили они Это код макак говорили они цукер все вылиз, Аноним (4), 10:13 , 07-Окт-21, (4) –8 // Кто говорил, что PHP безопасен А в Facebook изначально культивировались move fa, anonymous (??), 12:38 , 07-Окт-21, (19) +2 Так в НАШЕЙ hhvm никаких уязвимостей и не найдено Мои макаки все вылизали, сперв, Сцукенберг (?), 12:46 , 07-Окт-21, (20) // Хвостиком задели, оно и упало , n00by (ok), 13:10 , 07-Окт-21, (24) –1 // Ну ведь безопастно же ж , пох. (?), 21:53 , 07-Окт-21, (67) а не проще будет открыть proc self mem на запись и пропатчить интерпретатор на , Нанобот (ok), 10:32 , 07-Окт-21, (6) –1 Такой себе баг конечно Я не представляю кому в нынешние времена вообще может , Аноним (7), 10:59 , 07-Окт-21, (7) –1 // И почему фанатики всегда говорят такой себе баг конечно И ни в какую не хотят, Аноним (4), 13:13 , 07-Окт-21, (25) –3 // Не знаю кто там чего говорит, я просто изначально считаю бредом возможность откл, Аноним (115), 22:40 , 12-Окт-21, (115) Немедленно требуем прекратить публикацию подобных новостей После них сервер НАШЕ, Вежливое сообщество ROSA Linux (?), 11:13 , 07-Окт-21, (9) +3 // Пишите на Rust - самый безопасный язык с вежливым сообществом , Аноним (12), 11:30 , 07-Окт-21, (12) +2 // Что значит пишите У нас открытое и сообщество Скорее становитесь активистом , Вежливое сообщество ROSA Linux (?), 11:35 , 07-Окт-21, (13) +5 Нет ни одной темы чтобы кто-то не нагадил этой карозией , Аноним (89), 18:56 , 08-Окт-21, (89) Тот, кто пользуется disabled_functions и думает, что это безопасно - сам себе , Аноним (11), 11:13 , 07-Окт-21, (10) +2 // Толку изолировать пулы, когда злоумышленники могут исполнить свой код Как только, gogo (?), 13:02 , 07-Окт-21, (21) // Используя пхп, надо исходить из того, что исполнится там любой код Задача миним, Аноним (35), 14:57 , 07-Окт-21, (34) –1 Для себя для ручных проектов disabled_functions значения не имеет А на шаред, Онаним (?), 09:55 , 11-Окт-21, (103) Когда они уже догадаются эти костыли disable_functions и disable_classes вообще , Ilya Indigo (ok), 11:38 , 07-Окт-21, (14) –1 // чтобы не исполнять ничего внешнего, кроме самого пхп кода Мне интересно, почему, Sw00p aka Jerom (?), 13:30 , 07-Окт-21, (27) // А если нужно в веб-интерфейсе админки - получить список crontab, а иногда измени, Ilya Indigo (ok), 13:56 , 07-Окт-21, (30) // админки чего если у вас панель управления сервером на пхп - ок, значить туда по, Sw00p aka Jerom (?), 18:30 , 07-Окт-21, (57) Админки сайта Ну например, если используется SSE для сообщений или обновления ст, Ilya Indigo (ok), 19:04 , 07-Окт-21, (61) +1 админ тогда для чего нужен , Sw00p aka Jerom (?), 21:37 , 07-Окт-21, (65) Админ сайта а не сервера - , Ilya Indigo (ok), 21:39 , 07-Окт-21, (66) На shared-хостингах где режут функции, крона тоже обычно нет Нет крона, нет и п, Аноним (74), 05:35 , 08-Окт-21, (74) Для всего вышеперечисленного есть VPS очки, но там порожек вхождения немножко др, Онаним (?), 18:42 , 08-Окт-21, (87) +1 Действительно, несущественная атака Если у вас есть возможность модифицировать , Аноним (15), 11:45 , 07-Окт-21, (15) –1 Шо, опять , Ананоним (?), 11:55 , 07-Окт-21, (16) –2 Аноним PHP, у вас дыра в безопасности PHP Хоршо, что у нас хоть что-то в безоп, Массоны Рептилоиды (?), 12:03 , 07-Окт-21, (17) +4 если злоумышленник может выполнить этот код, то какая разница, запрещены какие-т, gogo (?), 12:30 , 07-Окт-21, (18) // ну код пхп и исполнения внешнего бинарника - разные понятия , Sw00p aka Jerom (?), 13:32 , 07-Окт-21, (28) // Внешний код можно и через FFI вызвать , Редкий уебок (?), 12:42 , 08-Окт-21, (80) // ну так в пхп это отключаемый модуль, который появился относительно недавно , Sw00p aka Jerom (?), 13:41 , 08-Окт-21, (83) to big to fail , Аноним (26), 13:24 , 07-Окт-21, (26) поправили, кстати https github com php php-src commit 15197702888f0641c1e9f648, Gemorroj (ok), 13:42 , 07-Окт-21, (29) Здравствуйте Меня зовут Вадик, мне 9 лет Я очень хочу стать хакером, потому чт, Аноним (4), 14:09 , 07-Окт-21, (31) // Дорогой Вадик Несколько дней внимательно понаблюдай за папой и 100 ты увидишь , suffix (ok), 14:23 , 07-Окт-21, (32) +3 // Уважаемый suffix, спасибо Вам за предложение И у Вас классная аватарка Но воров, Аноним (4), 15:11 , 07-Окт-21, (38) +1 Вадик Вышла НАША новейшая ОС ROSA 12, она полностью готова для дома Расскажи у, Вежливое сообщество ROSA Linux (?), 14:36 , 07-Окт-21, (33) // Уважаемое сообщество вежливых пользователей Rosa Linux, зачем дома Сервер с эле, Аноним (4), 15:19 , 07-Окт-21, (39) // Вадик Гороно - это ещё лучше Расскажи им про важность суверенитета Что бы его, Вежливое сообщество ROSA Linux (?), 15:51 , 07-Окт-21, (42) Вежливое сообщество ROSA Linux, а в данном случае суверенитет кого от кого, я не, Аноним (4), 16:08 , 07-Окт-21, (46) Вадик Решай, что для тебя важнее понять, или девочка Оля Решил Вот и молодец, Вежливое сообщество ROSA Linux (?), 16:33 , 07-Окт-21, (48) Вежливое сообщество ROSA Linux, я начинаю потихоньку понимать, к чему Вы клоните, Аноним (4), 16:58 , 07-Окт-21, (50) Так ты же не ногой ударил, значит за удар не считается Просто сказал, взломал з, Вежливое сообщество ROSA Linux (?), 17:19 , 07-Окт-21, (52) А вот это уже хак, спасибо Буду знать Но если двойки исчезнут у всех, то какой , Аноним (4), 17:34 , 07-Окт-21, (55) Правильно, это как топором, если будут упираться Если хочешь аккуратнее, скажи , Вежливое сообщество ROSA Linux (?), 18:03 , 07-Окт-21, (56) Уважаемое Вежливое сообщество ROSA Linux, пообщавшись с Вами я сегодня многое по, Аноним (4), 18:49 , 07-Окт-21, (59) +2 Не обижайся, Вадик, но не судьба Хакер способен сам найти информацию Изучай л, n00by (ok), 11:16 , 09-Окт-21, (90) А еще подскажите, почему название все на английском языке Почему не Русская Опер, Аноним (4), 17:03 , 07-Окт-21, (51) Вадик, будь мужиком, ты уже сделал правильный выбор Не трать время на ерунду Т, Вежливое сообщество ROSA Linux (?), 17:31 , 07-Окт-21, (54) +2 дорогой Вадик есть очень специальные дяди, которые за определенные виды услуг да, СеменСеменыч777 (?), 16:01 , 07-Окт-21, (44) –2 // Уважаемый СеменСеменыч777Я не понимаю что это за специальные дяди и что мне за э, Аноним (4), 16:17 , 07-Окт-21, (47) +1 // дорогой Вадик я подумал над твоими вопросами и вот что предлагаю идешь в церко, СеменСеменыч777 (?), 16:35 , 07-Окт-21, (49) –2 Уважаемый СеменСеменыч777, у нас священники все с красивыми, светлыми, одухотвор, Аноним (4), 17:23 , 07-Окт-21, (53) +1 псссст, пацан не хочешь попробовать немношко FreeBSD , Михрютка (ok), 21:36 , 07-Окт-21, (64) –1 Доброго времени суток, Михрютка У Вас очень забавный никнейм А чем мне поможет F, Аноним (4), 22:02 , 07-Окт-21, (68) вот ты и спалился, проклятый фидошник, Михрютка (ok), 22:16 , 07-Окт-21, (69) –1 Уважаемый Михрютка, просто у меня вечер А в каком Вы часовом поясе я не знаю А, Аноним (4), 22:33 , 07-Окт-21, (70) Посмотрел в яндексе что такое фидошник Не понял кто и за что проклял эту старую , Аноним (4), 23:00 , 07-Окт-21, (71) Дорогой вадик,Попробуй разобраться в коде PHP, мб и найдёшь новую уязвимость Ин, BratishkaErik (ok), 09:44 , 08-Окт-21, (75) Уважаемый BratishkaErik, Мария Ивановна учит нас на уроках python Рассказывает , Аноним (4), 11:21 , 08-Окт-21, (79) Сёма, таки с одной стороны это статья, а с другой - зашквар Посему пшло вон отс, n00by (ok), 11:19 , 09-Окт-21, (91) Пересобрал PHP 5 3-8 0 Похоже, что на PHP 5 3 проблема не воспроизводится , Alex_K (??), 00:49 , 08-Окт-21, (72) // Хреновый баг, да Надо будет тоже заткнуть во всех сборках у нас 5 2-8 1rc D , Онаним (?), 09:50 , 08-Окт-21, (77) // У вас тут клуб некрофилов чтоли , Аноним (78), 10:35 , 08-Окт-21, (78) +1 // Легаси - это полный ппц Куча клиентских сайтов на 5 2, работающих , и обновл, Онаним (?), 18:40 , 08-Окт-21, (86) Без PHP не было бы сейчас половины сайтов Сидели бы все в консолях терминалов, Анон2 (?), 09:49 , 08-Окт-21, (76) // Половина сайтов не нужна Та самая причем половина, на пыхапы , Аноним (4), 13:35 , 08-Окт-21, (82) // За что ж вы так Wikipedia , anonymous (??), 15:03 , 08-Окт-21, (84) // Нам в школе Мария Ивановна запрещает использовать википедию в качестве источника, Аноним (4), 16:20 , 08-Окт-21, (85) Было исследование на нравнение количества допускаемых ошибок и неточностей в wik, anonymous (??), 12:45 , 09-Окт-21, (92) s нравление сравнение , anonymous (??), 12:46 , 09-Окт-21, (93) Кто исследовал и за кокой прайс Посмотри даже по софтинам, насколько все разнитс, макар иванович завуч (?), 15:43 , 09-Окт-21, (94) +1 И не только сайтов Из примеров - про FreePBX, думаю, все слыхали На пыхе не толь, Онаним (?), 23:02 , 09-Окт-21, (101) +1 // код этого FreePBX, правда, лютый отстой, наколенное самоделкино, ещё хуже вротп, Онаним (?), 23:03 , 09-Окт-21, (102) Ну это таки не баг а фича Можно реализовывать phpшные штучки, даже если хостер , Ornlo (ok), 19:41 , 09-Окт-21, (95) 1,2,4,6,7,9,10,14,15,16,17,18,26,29,31,72,76,95

Сообщения

[Сортировка по времени | RSS]

	11. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+2 +/–
	Сообщение от Аноним (11), 07-Окт-21, 11:29
	Это бессмысленно, есть миллион способов обойти такие запреты. Надо запускать от изолированного пользователя в чруте (php-fpm умеет). От взлома же макакокода типа вордпресс-плагинов не обезопасит ничто, вопрос в том чтобы ущерб был изолирован.
	Ответить | Правка | Наверх | Cообщить модератору

	22. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	–1 +/–
	Сообщение от привет (ok), 07-Окт-21, 13:03
	пару скиньте способов обойти запрещеные функции (из миллиона) не используя уязвимостей. Я запишу и буду иметь их ввиду (условие - я могу загрузить свой код на шаред, допустим), open_basedir естественно задействован. Мне реально интересно тк есть шареды.
	Ответить | Правка | Наверх | Cообщить модератору

	35. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от Аноним (35), 07-Окт-21, 14:59
	Открыть файл в tmpdir, sessiondir или вообще в php://memory, записать туда код, проинклюдить.
	Ответить | Правка | Наверх | Cообщить модератору

	36. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от Аноним (35), 07-Окт-21, 15:00
	Для shared единственное решение с учетом необходимости поддержки htaccess - mpm itk.
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	37. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от Аноним (35), 07-Окт-21, 15:04
	Ещё можно просто записать в сессию и проинклюдить session file, полный путь к нему вычисляется легко. Ограничения типа openbasedir обходятся разными стримами, тем же imap+file:/
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	40. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	–2 +/–
	Сообщение от привет (ok), 07-Окт-21, 15:21
	> Ещё можно просто записать в сессию и проинклюдить session file, полный путь > к нему вычисляется легко. > Ограничения типа openbasedir обходятся разными стримами, тем же imap+file:/ долгоже вы гуглили. сессии на шаредах никто не хранит в файлах, для этого есть специальные обработчики. tmpdir на шаредах тоже у каждого свой. imap ? Речь полагаю о CVE-2018-19518 ? вообщем нет никаого мильона - это все громкие необдуманный слова и зачем было минусовать первый месседж, что это вам дало?
	Ответить | Правка | Наверх | Cообщить модератору

	43. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+2 +/–
	Сообщение от Аноним (35), 07-Окт-21, 15:54
	Я ничего не минусовал. Какая разница, свой или чужой tmpdir? Главное чтобы было куда записать. На большинстве хостов вообще всегда можно найти куда, какой-нибудь upload dir с выставленными туда 777, потому что в наркоманской схеме с modphp под юзером капча иначе никак. Шареды, где сессии не в файлах, можно пересчитать по пальцам. CVE тот, а сколько ещё стрим врапперов в php? Вы лично все проверили? Подход с modphp под апачевым юзером и попытки заткнуть дыру фиговым листком в виде open basedir и disabled functions - это как пытаться перечислить места, где в общаге могут спрятать незаконные вещества. Да везде могут. Либо itk, либо fpm с отдельными пулами, чрутом и каким-нибудь эмулятором htaccess. Все остальное - дыра по определению.
	Ответить | Правка | Наверх | Cообщить модератору

	98. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от Онаним (?), 09-Окт-21, 22:54
	itk, да. Лучше пока не придумано. fpm можно, но в рамках шареда это обречено :D
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от Аноним (35), 07-Окт-21, 16:04
	Гуглить мне нафиг не надо, это такие школохостеры гуглят идиотские списки для disabled functions, выпиливая безобидные функции типа parse_ini_file, но оставляя create_function или proc_open. А задизейблить reflection вообще никому в голову не придёт, потому что все di-контейнеры поотваливаются типа ларавела, но через ReflectionFunction прекрасно делается eval. Короче, дайте название вашего хостинга, чтобы обходить стороной. Не то, чтобы мне когда-либо в жизни понадобился шаред, но чтобы хоть люди знали.
	Ответить | Правка | К родителю #40 | Наверх | Cообщить модератору

	96. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от Онаним (?), 09-Окт-21, 22:52
	Самое поганое - это выпиливание set_time_limit(). Пара новых клиентов таки нарвалась и ноет, но раз давно собирался - на днях буду все версии движка на шаредах патчить, чтобы функция не выпиливалась, но и лимит не меняла.
	Ответить | Правка | Наверх | Cообщить модератору

	97. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от Онаним (?), 09-Окт-21, 22:53
	(preload с эмуляцией не предлагать - это отдельные грабли)
	Ответить | Правка | Наверх | Cообщить модератору

	111. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от Онаним (?), 11-Окт-21, 23:00
	Слепил мелкопатч, добавляющий опцию strict_time_limit, в три строчки, не считая пустой. Для 8.0 тут: https://pastebin.com/t8DszAH2 Для остальных лепится по образу и подобию. Не забываем заодно патчить флаги переменных для ini_set, иначе можно будет объехать через ini_set('max_execution_time'), а отключать ini_set - ну так себе затея, его каждый второй для display_errors использует.
	Ответить | Правка | К родителю #96 | Наверх | Cообщить модератору

	113. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от Онаним (?), 11-Окт-21, 23:09
	С другой стороны флаги можно не патчить, а просто забить как admin_value, но я предпочитаю на хостингах оба действия сразу, для надёжности.
	Ответить | Правка | Наверх | Cообщить модератору

	99. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от Онаним (?), 09-Окт-21, 22:57
	Сессии на шаредах как раз и хранят в файлах в основном. Потому что это единственный вариант с предсказуемой совместимостью. Всё остальное налетает на проблему с блокировкой этих самых сессий, если её нет - сюрпризов будет море. Я как-то подкостыливал сессии в MySQL с блокировкой через сам MySQL, но мне не понравилось, надо лишний коннект держать всё исполнение, а MySQL не резиновый. Как вариант ещё хранить в каком-нибудь KV (memcached например), а блокировать продолжать пустыми файлами, но пока лень возиться с доработкой, всё и так работает.
	Ответить | Правка | К родителю #40 | Наверх | Cообщить модератору

	104. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от привет (ok), 11-Окт-21, 10:52
	использую как раз memcached, где это возможно, с проблемами вроде не сталкивался (форумы, разного рода шареды, просто хостинги) тут, конечно, мильон экспертов локалхоста, но у меня еще и винты шифрованы, потому иметь большое кол-во мелких и вообщем то ненужных файлов не слишком эффективно для io (на мой, конечно, взгляд), зачем, когда можно иначе.
	Ответить | Правка | Наверх | Cообщить модератору

	105. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от Онаним (?), 11-Окт-21, 14:08
	Большинство типового софта на PHP ожидает, что сессия будет блокирующая, и пишет состояние по ходу всего выполнения, получается транзакция. Где не надо - выдаётся session_write_close() эксплицитно. Если сессия неблокирующая - два параллельных сеанса запишут сериализованные данные сессии в неизвестном порядке, более поздняя сессия может отписать данные раньше более ранней, и данные от поздней сессии будут потеряны. Слишком явного проявления у данной фигни может не быть, но более свежие данные от последнего запроса могут теряться.
	Ответить | Правка | Наверх | Cообщить модератору

	107. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от привет (ok), 11-Окт-21, 15:06
	тут Вы правы, такое действительно может случится, особенно если в сессии счетчики всякие и тп, я как то не сталкивался с подобной проблемой, но информация очень полезна - спасибо, вообще идеально конечно поюзать редис для этих дел (там есть своя блокировка)
	Ответить | Правка | Наверх | Cообщить модератору

	108. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от Онаним (?), 11-Окт-21, 18:27
	С редисом то же самое, что с мускулем - придётся коннект удерживать всё время выполнения скрипта, до session_write_close() или завершения. Короче либо файл, либо пара сокетов к RDBMS/DDBMS/KVDBMS, хрен редьки не слаще. Всё зависит от того, где узкое место.
	Ответить | Правка | Наверх | Cообщить модератору

	109. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от Онаним (?), 11-Окт-21, 18:27
	(пара сокетов - в смысле один на запрос на клиенте, один на запрос на сервере)
	Ответить | Правка | Наверх | Cообщить модератору

	110. "Уязвимость в PHP, позволяющая обойти ограничения, заданные в..."	+/–
	Сообщение от Онаним (?), 11-Окт-21, 18:31
	Ну и с DBMS обычно выходит неприятно, если они кластерные - нетранзакционные блокировки типа мускульного GET_LOCK() как правило действительны только в пределах ноды, а транзакционные блокировки в кластерных RDBMS как правило разрешаются через lock timeout на коммите, что в случае сессий уже слегка поздновато.
	Ответить | Правка | К родителю #107 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема