S

uhosin jest zaawansowanym systemem bezpieczeństwa dla języka PHP. Został on zaprojektowany tak, aby chronić serwery przed już znanymi, jak i dopiero nowymi lukami w aplikacjach oraz samym rdzeniu PHP. Składa się z dwóch niezależnych części: łaty nakładanej na sam interpreter jak i rozszerzenia, które można dołączyć do już skompilowanej instalacji. Mogą zostać one wykorzystane oddzielnie lub równocześnie. Pierwsza z nich implementuje kilka niskopoziomowych mechanizmów ochrony przed przepełnieniem buforów (ang. buffer overflows), czy nadużyciami z wykorzystaniem ciągów formatujących (ang. format string vulnerabilities). Druga część jest potężnym rozszerzeniem, które pozwala na implementację reszty ochrony.
czytaj całość »

Z

araz po standardowej instalacji eAcceleratora w wersji 0.9.6.1 – PHP mimo prawidłowego ustawienia open_basedir wyświetla komunikaty błędów: PHP Warning: Unknown: open_basedir restriction in effect. File() is not within the allowed path(s): (/ścieżka1:/ścieżka2) in /var/www/index.php on line 17, referer: http://strona.pl. W celu naprawy tego błędu należy przekompilować eAccelerator z parametrem –without-eaccelerator-use-inode.

P

o aktualizacji systemu CentOS z 5.5 do 5.6, na którym został zainstalowany panel Plesk firmy Parallels wszystkie strony PHP, które działały w trybie FastCGI – zwracają błąd: 500 Internal Server Error, a w logach widnieją wpisy typu: (104) Connection reset by peer: mod_fcgid: error reading data from FastCGI server [error] Premature end of script headers: index.php
czytaj całość »

O

pcja open_basedir ogranicza listę plików, które mogą zostać odtworzone przez interpreter PHP do określonego drzewa katalogów. Kiedy skrypt próbuje otworzyć plik za pomocą np. funkcji fopen() lub gzopen() najpierw sprawdzana jest lokalizacja tego pliku. W przypadku, gdy plik jest poza zdefiniowanym drzewem katalogów, PHP odmówi jego odtworzenia (Warning: open_basedir restriction in effect).
czytaj całość »

Z

astanawiałeś się kiedyś, czy kod, który napisałeś. jest nieskazitelnie czysty? Czy możesz użyć go na własnej stronie bez obawy, że ktoś wykryje lukę i zaatakuje system? Bałeś się, że sprzedaż klientowi skrypt, a jakaś osoba włamie się na stronę?
czytaj całość »

P

HP w swojej ofercie posiada jedną opcję oraz dwie funkcje, które stanowią potencjalne zagrożenie w postaci wyjawienia wersji używanego interpretera języka PHP. Ich wyłączenie pozwala na osiągnięcie niższej widoczności serwera dla ataków opierających się na prostych technikach rozpoznawczych, które pozwalają na wykrycie poziomów zagrożeń badanych celów.
czytaj całość »

A

rtykuł ten pokaże nową technikę web ataku. Pokazany został sposób, jak prosto można ukraść kliknięcia z witryny. Opis tej techniki pomoże zrozumieć proces sam w sobie oraz zaprezentuje problemy z zabezpieczaniem się przed tego typu atakiem.
czytaj całość »