PHP saugumas

Ei, gal kas turit kur užsislėpe php manuala, ta kur i kompa parsiputi, ten paieska gali naudotis funkcijoms rasti... Nes kiek ieskau php.net webe neberandu, yra tik html failai...

Ei, gal kas turit kur užsislėpe php manuala, ta kur i kompa parsiputi, ten paieska gali naudotis funkcijoms rasti... Nes kiek ieskau php.net webe neberandu, yra tik html failai...

http://www.php.net/download-docs.php ...

Ei, gal kas turit kur užsislėpe php manuala, ta kur i kompa parsiputi, ten paieska gali naudotis funkcijoms rasti... Nes kiek ieskau php.net webe neberandu, yra tik html failai...

Ir ka tu man čia dbr davei???

Ir ka tu man čia dbr davei???

Davė tai, ko prašei. Parsisiųsk CHM bylą ir bus tai ko nori.

Ir ka tu man čia dbr davei???

Okey, dar ir sukramčiau už tave - http://lt.php.net/get/php_manual_bg.chm/from/this/mirror :lol: Programuotojai, ######...

Visiškai pritariu išsakytai nuomonei, kad ne PHP saugumo spragos(?) ar sintaksė, o programuotojų paliktos "skylės" didžiąja dalimi įtakoja web aplikacijos saugumą. Pusmetį atsedėjau grynai prie vienos TVS klaidų taisymo, o virš poros metų dirbu su kitų žmonių paliestu kodu, tai... :lol:

Deja tenka pripažinti, kad daugiau kodo yra blogo nei gero. Bet nereikia liūdėti :) visgi situacija keičiasi: kažkada buvę žaliuojantys programuotojai (visi juk nuo to pradėjome), kurie domisi kodo kokybe, saugumu ir šiaip programavimu (yra ir tokių, kurie nesidomi... paradoksas?), tikrai pakėlė savo kokybės kartelę gerokai aukščiau.

Rekomendacija programuotojams: paskaitinėkit šioje temoje pateiktas nuorodas. Ar tu žalias, ar... jau virtas. Tekstas nesudėtingas, tačiau key elements yra labai teisingi.

Rekomendacija užsakovams: pamąstykit, ko jums reikia :D Man atrodo, kad tam tikras darbas turi tam tikrą $ vertę, nepriklausomai nuo to, kas jį daro. Žinoma, norint jį padaryti "gerai". O rinkdamiesi iš pat pradžių pigesnį/pigiausią variantą, galite pradinę vertę perlipti dėl (1) klaidų kode, prasto funkcionalumo, (2) būtinybės perprogramuoti kodą, (3) prarastos reputacijos, prasto starto ir t.t.

Kita vertus - jei darbas nesudėtingas, tai jį gali atlikti ir pradedantysis. O koks kodas gausis, ar jis neplečiamas ir t.t. - nesvarbu... iki kol nereikės plėstis B-)

Kaip su permokėjimu? Permokėti galima "šiaip", o galima ir papildomai sumokėti už gerą kodą (kurį greit perpras bent kiek patyręs programuotojas), struktūrą (kodo, failų, visus ryšius tarp elementų ir t.t.), ir panašius dalykus, kurių kartais "nesimato".

Absoliučiai visi tinklapiai yra nulaužiame. Jeigu net microsoft.com nulaužia ir ne kartą, tai ką čia kalbėti apie joomlas ir t.t.

 

Bet aišku, Lietuvoje tokio lygio hakerių nemanau kad yra.

Nori, isvengti nulauzimo - daryk backupus kasdiena ir nulauzimai netaps tokie jau baisus. Nulauzimo didziausia spraradimas -failui duombaze ir t.t. kai turi visada svieziai iskepta backup'a -tegul lauzia kiek nori, jei jiems patinka jaustis labiau vyriskais, nes ne viena merga nepasiraso su jais net uz pinigus :D

pritariu kazkieno issakytai nuomonei kad FOSS yra daug saugiau nei kazkokie custom sprendimai. netgi whitehouse.gov naudoja drupal, tai kazka sako ar ne?

o dabar griztant prie kazkokiu (pseudo)originaliu kuriniu, kad ir pvz www.cancan.lt saitas

uzejus is karto matome kad kazkoks neatpazistamas CMS, einam i pirma pasitaikiusia nuoroda "maistas i namus"

gauname:

http://www.cancan.lt/orders.php?tid=55

dedame kabute gale:

http://www.cancan.lt/orders.php?tid=55'

gauname:

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '\'' at line 1

kas galu gale reiskia, kad nera input validation, ko pasekoje daug sansu kad saitas turi klasikine sql inj spraga.

mars visi kabuciu deliot i savo saitus :)

Butent, kad ne. Kodel openBSD turejo tik viena kritine klaida, tuo tarpu Windows'ai kritiniu klaidu randa vos ne kas savaite?

Butent, kad atvira koda gali modifikuoti ir jeigu koks programeris pamare spraga - ja istaiso ir nusiuncia pranesima "main base". Tada pacth'as patvirtinamas ir programa tampa saugesne ? Viskas tai gali ivykti per diena, tuo tarpu komercinese variantuose spraga reiktu taisyti kokia savaite.

 

Esate Microsoft vergai :]

 

Saugiausia TVS yra OPENSOURCE

SmartWEB galima pavadinti open source, programino XX programerių, source turi XX programerių ir po XX metų jį vis dar nesunkiai hakina.

Saugiausia yra tai ko niekas nežino arba produktai su kuriais dirba aukšto lygio žmonės.

Pvz: http://www.secus.lt/admin/

Login: admin

Password: 1') OR 1 = ('1

Vuolia. (Prašymas negadinti sistemos, tiesiog tai "real life" pavyzdys)

http://img710.imageshack.us/img710/5159/36792121.png

Vat ir "open source", prie sistemos sėdėjo ~10-20 programerių, o viso to rezultatas nerealus. Žinoma, yra open source darbų kurie tikrai velniškai gerai veikia, tačiau jų tikrai nedaug, o su jais dirba tikrai aukšto lygio developeriai. :)

Manau reiktų pranešt jiem apie šitą klaidą... Nes po to gali labai nukentėt nuo to. Bet jei pranešiu, apšauks dar kokiu nors hackeriu, vagim ar pan. :)

Manau reiktų pranešt jiem apie šitą klaidą... Nes po to gali labai nukentėt nuo to. Bet jei pranešiu, apšauks dar kokiu nors hackeriu, vagim ar pan. :)

Tai parašyk jiems, pasakyk, kad radai saugumo klaidą jų svetainėje ir gali už 200 lt pataisyti. :)

tai va jei prie to projekto dirbu kas nori, o ne 10 zmoniu tai jis ir butu saugus.

o ka tu aprasei tai yra sql injection bypass :)

SmartWEB galima pavadinti open source, programino XX programerių, source turi XX programerių ir po XX metų jį vis dar nesunkiai hakina.

 

Saugiausia yra tai ko niekas nežino arba produktai su kuriais dirba aukšto lygio žmonės.

 

Pvz: http://www.secus.lt/admin/

 

Login: admin

Password: 1') OR 1 = ('1

 

Vuolia. (Prašymas negadinti sistemos, tiesiog tai "real life" pavyzdys)

 

http://img710.imageshack.us/img710/5159/36792121.png

 

Vat ir "open source", prie sistemos sėdėjo ~10-20 programerių, o viso to rezultatas nerealus. Žinoma, yra open source darbų kurie tikrai velniškai gerai veikia, tačiau jų tikrai nedaug, o su jais dirba tikrai aukšto lygio developeriai. :)

Parašiau į el. paštą:

Sveiki,

Jūsų tinklapis nesaugus...

 

Nueikite į http://www.secus.lt/admin/

Prisijungimo vardas: admin

Slaptažodis: 1') OR 1 = ('1

 

Kaip matote galima prisijungti nežinant slaptažodžio.

--

Pagarbiai,

Gediminas

Jo aš irgi parašiau, tik išsamiau truputį ir dar patarimų daviau :). Bet kol kas atsakymo negavau. ;P

turbut niekada ir negausi ;)

be to kodel tu nori jiem dykai dirbti? parasyk emaila, kad jusu puslapis nesaugus, konsultacija x lt.

kompanijos turi QC departmentus ir darbuotojai uz darba $$ gauna, o cia tu uzdyka bugus pranesineji :)

Gavau atsakymą iš jų ;). Nebūtų mano pagalbos prašę, nes jie jau turi sistemos administratorių nusamdę ir jis ten visą darbą atlieka..

Prastai jis dirba, dar nepasitaisė :]

Vis dar nepataisė. ;) Šiaip gal galit kas pakeist linką pirmoj žinutėj, ar kažką panašaus parodyt, nes nebeveikia, bent jau man, o paskaityt būtų įdomu. :D

Gal kas turit šį pdf'ą? Labai reikėtų man jį pasiskaityti, o nuoroda pirmame pranešime - neveikianti. Būčiau labai dėkingas.

tas lrs.lt tai isvis su sql injekcija stovejo. tai kur ten nenulausi :) o seip visi puslapiai turi skyliu pradedant nuo ftp exploitu iki visokiausiu sql ar iki shell ikelimu :) blogiausiu atveju ddos nieks neatlaikys

Ačiū, pravers. :)

Elementari apsauga PHP: tikrinti visą ateinančią informaciją iš trečiujų šalių lyg ten gali būti belenkas. Turėkit omeny, kad net į png failą galima įdėti javascript kuris suveiks tam tikrom aplinkybėm. Galima įdėti paveiksliuką į puslapį užkoduotą base64. Yra tiek daug galimybių nulaužti puslapį, kad nos vek ir arijom dainuok. Bet pats pirmas ir svarbiausias, tai nepasitikėti ateinančiais duomenimis kurie generuoti ne tavo skripte.

trumpas patarimas rasantiems uzklausas. jeigu pvz per $_GET['id'] norite perduoti kazkoki parametra kuris zinote kad turi buti skaicius ir ji naudosite sql uzkausoje, tai naudokite $id = (int) $_GET['id'] struktura taip apibrezdami kintamojo tipa. labai nesunku ir efektinga. labai verta perskaityti si saugumo gida http://ilia.ws/files/phpworks_security.pdf

"PHP Application Security Checklist`as".

geras resursas yra www.exploit-db.com

taigi jei kuriate kazkoki produkta ir naudojate kazkokia technologija, ar plugina, ar CMS rekomenduotin pasiziuet i sita websaite kokie pazeidziamumai yra paskelbti.

pvz turim wordpress, taigi ivedam i search langeli wordpress ir gaunam

http://www.exploit-db.com/search/?action=search&filter_page=1&filter_description=wordpress&filter_exploit_text=&filter_author=&filter_platform=0&filter_type=0&filter_lang_id=0&filter_port=&filter_osvdb=&filter_cve=