第41回 PHP 5.3.4におけるセキュリティ上重要な仕様変更 | gihyo.jp
PHP 5.3.4のリリースは2010年12月にリリースされました。このリリースにはセキュリティ上重要な変更が追加されています。 Paths with NULL in them (foo\0bar.txt) are now considered as invalid. (Rasmus) パスに“foo\0bar.txt”などのようにNULLが含まれる場合は無効として処理される、とPHP 5.3.4のリリースノートには記載されています。PHP開発者の間でもあまり大きなニュースとして取り上げられていないので、この仕様変更をご存知でない方も多いと思います。2011年4月現在でもこの仕様変更はマニュアルには記載されていません。しかし、この修正はセキュリティ上非常に重要な意味を持っているので解説します。 仕様変更の必要性 PHP本体はC言語で記述されているため、ファイルを開く場合、最終的にはC言
PHP: rfc:builtinwebserver
When it comes to web development, most people wouldn't doubt PHP's best friend is Apache HTTPD Server. Having said that, developers who experienced any of web application frameworks of other scripting languages such as Ruby on Rails and Django may well find it cumbersome to set up httpd.conf just to use it within a development environment as those are most likely accompanied by a tiny web server t
12,000 Requests per second with Nginx, PHP and Memcached
12,000 Requests per second with Nginx, PHP and Memcached Edit: Part 2 is now available. This is the first entry in a short series I’ll do on caching in PHP. During this series I’ll explore some of the options that exist when caching PHP code and provide a unique (I think) solution that I feel works well to gain high performance without sacrificing real-time data. Caching in PHP is usually done on
PHP5 __destruct() and unserialize() function - TokuLog 改メ tokuhirom’s blog
http://co3k.org/diary/12 このへんみておもったこと。 unserialize() 関数はオブジェクトの unserialize もできるのだが、5 以後では __destruct() が導入されているので、その unserialize したオブジェクトの __destruct() がよばれてしまう。この際に、たとえば cache の処理などで __destruct() でファイルにデータをかきこむ、などの処理をしていると、そのファイルが汚染されてしまったりするということがおきうる。 で、実際に cakephp ではそういう状況になって、任意のコードが実行可能になった、と。 まとめると 5 以後では unserialize() をユーザーからの入力にたいしてはかならず検証してからおこなうようにするべき。 っていうか、ユーザーの入力にたいしては unserialize(
第30回 番外編：簡単なガンブラー対策 | gihyo.jp
いわゆるガンブラーと呼ばれる攻撃はFTPアカウントなどを乗っ取って不正なファイルを配置する攻撃です。PHPのセキュリティ対策とは関係ありませんが、様々なベンダーからガンブラー対策としてサービスや製品が提供され、被害も多く報告されている状態です。 ガンブラーとは？ Wikipediaでは Gumblar（ガンブラー）とは、「Webサイト改ざん」と「Web感染型ウイルス（Webサイトを閲覧するだけで感染するウイルス）」を組み合わせて、多数のパソコンをウイルスに感染させようとする攻撃手法（手口）のことである[1][2]。 同攻撃に関連するマルウェアを指す意味でも多用されるが、どの範囲のマルウェアを指すのかはメディアによって様々である。 http://ja.wikipedia.org/wiki/Gumblar と定義されています。 ウイルスの名称というより、IDとパスワードを盗み不正なファイ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
