NFsec Logo

HTTP Strict Transport Security – wymuszamy SSL na przeglądarkach

04/11/2012 w Bezpieczeństwo 1 komentarz.

H

TTP Strict Transport Security (HSTS) jest opcjonalnym mechanizmem zabezpieczeń, w którym serwer WWW oświadcza klientowi (np. przeglądarce internetowej), że komunikacja powinna odbywać się tylko po bezpiecznym połączeniu. Oświadczenie serwera WWW odbywa się poprzez zastosowanie specjalnego nagłówka odpowiedzi HTTP: „Strict-Transport-Security„. Klient obsługujący mechanizm HSTS otrzymując ten nagłówek będzie zapobiegał wszelkiej łączności poprzez protokół HTTP w określonej domenie i starał się, aby wszystkie połączenia odbywały się przez HTTPS.
[ czytaj całość… ]

Podstawy bezpieczeństwa PHP – Suhosin

30/12/2011 w Bezpieczeństwo Brak komentarzy.

S

uhosin jest zaawansowanym systemem bezpieczeństwa dla języka PHP. Został on zaprojektowany tak, aby chronić serwery przed już znanymi, jak i dopiero nowymi lukami w aplikacjach oraz samym rdzeniu PHP. Składa się z dwóch niezależnych części: łaty nakładanej na sam interpreter jak i rozszerzenia, które można dołączyć do już skompilowanej instalacji. Mogą zostać one wykorzystane oddzielnie lub równocześnie. Pierwsza z nich implementuje kilka niskopoziomowych mechanizmów ochrony przed przepełnieniem buforów (ang. buffer overflows), czy nadużyciami z wykorzystaniem ciągów formatujących (ang. format string vulnerabilities). Druga część jest potężnym rozszerzeniem, które pozwala na implementację reszty ochrony.
[ czytaj całość… ]

eAccelerator – open_basedir restriction in effect

10/06/2011 w Administracja Brak komentarzy.

Z

araz po standardowej instalacji eAcceleratora w wersji 0.9.6.1 – PHP mimo prawidłowego ustawienia open_basedir wyświetla komunikaty błędów: PHP Warning: Unknown: open_basedir restriction in effect. File() is not within the allowed path(s): (/ścieżka1:/ścieżka2) in /var/www/index.php on line 17, referer: http://strona.pl. W celu naprawy tego błędu należy przekompilować eAccelerator z parametrem –without-eaccelerator-use-inode.

CentOS 5.6 – panel Plesk 10.1.1 oraz problem z PHP FastCGI

14/04/2011 w Administracja, Debug Brak komentarzy.

P

o aktualizacji systemu CentOS z 5.5 do 5.6, na którym został zainstalowany panel Plesk firmy Parallels wszystkie strony PHP, które działały w trybie FastCGI – zwracają błąd: 500 Internal Server Error, a w logach widnieją wpisy typu: (104) Connection reset by peer: mod_fcgid: error reading data from FastCGI server [error] Premature end of script headers: index.php
[ czytaj całość… ]

Podstawy bezpieczeństwa PHP – open_basedir

28/02/2011 w Bezpieczeństwo Brak komentarzy.

O

pcja open_basedir ogranicza listę plików, które mogą zostać odtworzone przez interpreter PHP do określonego drzewa katalogów. Kiedy skrypt próbuje otworzyć plik za pomocą np. funkcji fopen() lub gzopen() najpierw sprawdzana jest lokalizacja tego pliku. W przypadku, gdy plik jest poza zdefiniowanym drzewem katalogów, PHP odmówi jego odtworzenia (Warning: open_basedir restriction in effect).
[ czytaj całość… ]

Robactwo w kodzie

03/10/2010 w Hakin9 & Linux+ Brak komentarzy.

Z

astanawiałeś się kiedyś, czy kod, który napisałeś. jest nieskazitelnie czysty? Czy możesz użyć go na własnej stronie bez obawy, że ktoś wykryje lukę i zaatakuje system? Bałeś się, że sprzedasz klientowi skrypt, a jakaś osoba włamie się na stronę?
[ czytaj całość… ]

Podstawy bezpieczeństwa PHP – Wyjawienie wersji

13/07/2010 w Ataki Internetowe, Bezpieczeństwo Brak komentarzy.

P

HP w swojej ofercie posiada jedną opcję oraz dwie funkcje, które stanowią potencjalne zagrożenie w postaci wyjawienia wersji używanego interpretera języka PHP. Ich wyłączenie pozwala na osiągnięcie niższej widoczności serwera dla ataków opierających się na prostych technikach rozpoznawczych, które pozwalają na wykrycie poziomów zagrożeń badanych celów.
[ czytaj całość… ]

Clickjacking – groźny link

25/05/2010 w Hakin9 & Linux+ Brak komentarzy.

A

rtykuł ten pokaże nową technikę web ataku. Pokazany został sposób, jak prosto można ukraść kliknięcia z witryny. Opis tej techniki pomoże zrozumieć proces sam w sobie oraz zaprezentuje problemy z zabezpieczaniem się przed tego typu atakiem.
[ czytaj całość… ]

Podstawy bezpieczeństwa PHP – Full Path Disclosure

23/05/2010 w Ataki Internetowe, Bezpieczeństwo Brak komentarzy.

F

ull Path Disclosure (FPD) – polega na ujawnieniu pełnej ścieżki dostępu (np. /var/www/test.php) do wadliwie skonstruowanego lub źle wywołanego skryptu. Błąd FPD najczęściej wywoływany jest poprzez wstrzykiwanie nieoczekiwanych i niefiltrowanych znaków oraz poleceń do parametrów skryptów na stronie internetowej. Skrypt, który przyjmuje określone parametry po wstrzyknięciu nieoczekiwanego znaku zwraca komunikat błędu, w którym zawarte są informacje na temat napotkanego błędu oraz pełna ścieżka dostępu do wywołanego skryptu.
[ czytaj całość… ]

Proste monitorowanie serwera WWW za pomocą PHP

17/02/2010 w Hacks & Scripts Brak komentarzy.

P

HP może zostać wykorzystanie nie tylko do pisania dynamicznych aplikacji internetowych, ale również prostych skryptów, takich jak np. skrypt służący do monitorowania wybranej strony WWW, którego zadaniem jest powiadamianie poprzez e-mail w przypadku, gdy serwer WWW nie odpowiada lub szukana fraza na stronie nie została znaleziona.
[ czytaj całość… ]

Strona 1 z 212