O

pcja open_basedir ogranicza listę plików, które mogą zostać odtworzone przez interpreter PHP do określonego drzewa katalogów. Kiedy skrypt próbuje otworzyć plik za pomocą np. funkcji fopen() lub gzopen() najpierw sprawdzana jest lokalizacja tego pliku. W przypadku, gdy plik jest poza zdefiniowanym drzewem katalogów, PHP odmówi jego odtworzenia (Warning: open_basedir restriction in effect).
[ czytaj całość… ]

O

pcja Multiviews w serwerze Apache jest ustawiana dla każdego katalogu z osobna. Oznacza to, że może zostać ustawiona za pomocą dyrektywy Options wewnątrz takich sekcji jak <Directory>, <Location> oraz <Files> w plikach konfiguracyjnych serwera (i hostów wirtualnych) lub w plikach .htaccess (jeśli AllowOverride zostało poprawnie ustawione). Warto mieć na uwadze, że ustawienie Options All, nie aktywuje opcji Multiviews; należy wywołać ją z osobna.
[ czytaj całość… ]

W

2003 roku firma WhiteHat Security odkryła nową formę ataku, którą nazwano – XST (ang. Cross-Site Tracing). Wykorzystuje ona wywołanie TRACE protokołu HTTP. Wywołanie metody TRACE odpowiada za diagnostykę oraz analizę kanału komunikacyjnego. Dlatego wysłanie zapytania przez klienta do serwera WWW za pomocą metody TRACE będzie zawierać w odpowiedzi serwera wszystkie dane wysłane przez użytkownika np. informacje o ciasteczkach, czy dane autoryzacyjne, które są cenne dla potencjalnego agresora.
[ czytaj całość… ]

Z

łóżmy, że posiadamy prosty, ale wielojęzyczny serwis napisany w języku HTML, który jest obsługiwany przez serwer WWW Apache. Naszym celem jest automatyczne przekierowywanie po stronie serwera użytkowników z różnych krajów na odpowiednie wersje językowe znajdujące się w katalogach /en/ (angielski) /de/ (niemiecki) /ru/ (rosyjski). Pierwszym sposobem może być użycie mechanizmu geolokalizacji. Firma MaxMind udostępnia różne API dla swojej bazy, w tym również dla Apache’a.
[ czytaj całość… ]

F

ull Path Disclosure (FPD) – polega na ujawnieniu pełnej ścieżki dostępu (np. /var/www/test.php) do wadliwie skonstruowanego lub źle wywołanego skryptu. Błąd FPD najczęściej wywoływany jest poprzez wstrzykiwanie nieoczekiwanych i niefiltrowanych znaków oraz poleceń do parametrów skryptów na stronie internetowej. Skrypt, który przyjmuje określone parametry po wstrzyknięciu nieoczekiwanego znaku zwraca komunikat błędu, w którym zawarte są informacje na temat napotkanego błędu oraz pełna ścieżka dostępu do wywołanego skryptu.
[ czytaj całość… ]

W

iele standardowo zainstalowanych serwerów WWW obsługiwanych za pomocą Apacza ujawnia zbyt wiele danych umożliwiających przeprowadzenie tzw. ataku banner grabbing należącego do grupy ataków typu fingerprinting. Jeśli chodzi o standardową konfigurację Apacza atak banner grabbing można przeprowadzić bez szczegółowego wgłębiania się w nagłówek HTTP. W przypadku zdezaktualizowanych serwerów może stanowić to pretekst do szybko podjętej decyzji o ataku wymierzonym w wykryte podatności starszej wersji.
[ czytaj całość… ]

Tytuł oryginału: “The Magic Cauldron”
Autor: Eric S. Raymond
Tłumaczenie pochodzi z serwisu: www.linuxcommunity.pl
Tłumaczenie: Artur Skura, marzec 2001 r.

W kolejnym ze swoich słynnych esejów Eric S. Raymond przedstawia m. in. różne konkretne argumenty przemawiające za uwolnieniem źródeł. Otwartość niekoniecznie musi oznaczać straty finansowe, czy nawet niższe zyski – wręcz przeciwnie. Poczytajmy.
[ czytaj całość… ]

W

ielu użytkowników posiadających własny serwer WWW np. Apache – od dłuższego czasu może zaobserwować w własnych logach access_log oraz error_log występowanie następujących wpisów:

89.19.27.114 - - [20/Sep/2009:05:33:39 +0000] "GET /w00tw00t.at.ISC.SANS.DFind:) HTTP/1.1" 400 226 "-" "-"
[Sun Sep 20 05:33:39 2009] [error] [client 89.19.27.114] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /w00tw00t.at.ISC.SANS.DFind:)

Są to ślady jakie zostawia skaner DFind testujący web serwery pod kątem luk w zabezpieczeniach. Posiada on możliwość skanowania wybranego adresu IP lub całych ich zakresów. Ze względu na fakt, iż proces skanowania odbywa się z różnych adresów IP blokując ręcznie jeden adres IP – ślady w logach zaczynają pojawiać się z innego.
[ czytaj całość… ]

W

środowisku firmowym często można na serwerach intranetowych znaleźć oprogramowanie potencjalnie podatne na różnego rodzaju ataki. Co gorsza, zdarza się, iż od publikacji informacji o dziurze w zabezpieczeniach do wydania odpowiedniej łatki mija niemało czasu.
[ czytaj całość… ]

W

drugiej połowie 2000 r. w środowiskach związanych z bezpieczeństwem systemów informatycznych zawrzało. Odkryto całkiem nową klasę nadużyć. Okazało się, że mnóstwo programów, między innymi tak znane aplikacje jak wu-ftpd, Apache i PHP3 czy screen, ma poważne dziury. A wszystko przez ciągi formatujące.
[ czytaj całość… ]