PHP5.3.7のcrypt関数のバグはこうして生まれた
昨日のブログエントリ「PHP5.3.7のcrypt関数に致命的な脆弱性(Bug #55439)」にて、crypt関数の重大な脆弱性について報告しました。脆弱性の出方が近年まれに見るほどのものだったので、twitterやブクマなどを見ても、「どうしてこうなった」という疑問を多数目にしました。 そこで、このエントリでは、この脆弱性がどのように混入したのかを追ってみたいと思います。 PHPのレポジトリのログや公開されているソースの状況から、PHP5.3.7RC4までこのバグはなく、PHP5.3.7RC5でこのバグが混入した模様です。RC5はPHP5.3.7最後のRelease Candidateですから、まさに正式リリースの直前でバグが入ったことになります。 バグの入る直前のソースは、ここの関数php_md5_crypt_rから参照することができます。以下に、おおまかな流れを図示します。まずはバ
PHP と Web アプリケーションのセキュリティについてのメモ
このページについての説明・注意など PHP は、Apache モジュールや、CGI、コマンドラインとして使用できるスクリプト言語です。このページでは、主に PHP における、Web アプリケーションのセキュリティ問題についてまとめています。 Web アプリケーションのセキュリティ問題としては、以下の問題についてよく取り挙げられていると思いますが、これらのセキュリティ問題について調べたことや、これら以外でも、PHP に関連しているセキュリティ問題について知っていることについてメモしておきます。 クロスサイトスクリプティング SQL インジェクション パス・トラバーサル(ディレクトリ・トラバーサル) セッションハイジャック コマンドインジェクション また、PHP マニュアル : セキュリティや、PHP Security Guide (PHP Security Consortium) には、PH
第41回 PHP 5.3.4におけるセキュリティ上重要な仕様変更 | gihyo.jp
PHP 5.3.4のリリースは2010年12月にリリースされました。このリリースにはセキュリティ上重要な変更が追加されています。 Paths with NULL in them (foo\0bar.txt) are now considered as invalid. (Rasmus) パスに“foo\0bar.txt”などのようにNULLが含まれる場合は無効として処理される、とPHP 5.3.4のリリースノートには記載されています。PHP開発者の間でもあまり大きなニュースとして取り上げられていないので、この仕様変更をご存知でない方も多いと思います。2011年4月現在でもこの仕様変更はマニュアルには記載されていません。しかし、この修正はセキュリティ上非常に重要な意味を持っているので解説します。 仕様変更の必要性 PHP本体はC言語で記述されているため、ファイルを開く場合、最終的にはC言
CakePHPでフィクスチャに惑わされずにテストを書く方法
前回挙げたチュートリアルはやってみましたか？ 快適なテストライフを送ってますか？ テストケースをたくさん書いていると気づくのは、フィクスチャがメンテナンスの邪魔をするということ。 フィクスチャに初期データを定義すると、それを気にしながらテストケースを作ることになります。 これがとても面倒くさいんです。 これを解消すべく、今日はモックを使ったテストケースの書き方を紹介します。 モックとは SimpleTestのモックで参考になるのは、以下の書籍です。 Webアプリケーションテスト手法 著者: 水野 貴明 (著), 石井 勇一 (著), 新藤 愛大 (著), 岸田 健一郎 (著), 荻野 淳也 (著), 安井 力 (著), 田中 慎司 (著) 出版社: 毎日コミュニケーションズ 発売日: 2008/7/25 この書籍のp154にモックについて以下のように書いてあります。 モックを使うと
ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション)
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年7月1日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPのデータベース・アクセス・ライブラリPDOは、DB接続時の文字エンコーディング指定ができないため、文字エンコーディングの選択によっては、プレースホルダを使っていてもSQLインジェクション脆弱性が発生します。 追記(2011/06/19) ここに来て急にブクマが追加されはじめていますが、このエントリを書いてから状況が改善しています。PHP5.3.6(2011/03/17)にて、PDOでもデータベース接続の文字エンコーディングを指定できるようになりました。この版で、UNIX版のPHPでは解決しましたが、Win
PHPスクリプト1つでできる簡単サーバ監視
こんばんは、牧野です。最近急に寒くなったせいか、風邪を引きかけています。。。アシアル社内はつい最近までTシャツ一枚で過ごせるくらい暑かったのですが、この前の金曜日から急に寒くなりました。皆さんも風邪には十分お気をつけ下さい。 さて、今日はサーバ監視のTIPSです。以前紹介したcactiや、nagiosのようなソフトを使わなくても、php（とunixコマンド）だけで簡単に監視プログラムを作ることができます。（ただしunixサーバ限定です。） 今回は、監視対象サーバへのping、ウェブページへのアクセス、スクリプト設置サーバのハードディスク、メモリの使用量をチェックすることにします。プログラムは次のような感じです。 check_server.php <?php $SERVER_IP = 'xxx.xxx.xxx.xxx'; $URL = 'http://www.asial.co.jp'; $M
PHP Navigator MOONGIFT
Ajaxを使ったファイル管理ソフトウェア テキストファイルやHTMLファイルをWeb上で編集できるファイル管理ソフトウェアです。 Ajaxを使ったファイル管理ソフトウェア 何でもブラウザ上で動作するようになっていく現状ではあるが、近い将来ファイルサーバですらWebブラウザ上で動作するようになるだろうか。現状のインタフェースでは課題もあるが、解決できていることも多い。 Ajaxを使うとここまで出来る、と言うファイル管理ソフトウェアがこれだ。 今回紹介するオープンソース・ソフトウェアはPHP Navigator、Webベースのファイル管理ソフトウェアだ。 PHP NavigatorはAjaxを使うことでエクスプローラライクな操作感を実現している。フォルダの移動なども、ダブルクリックで進められる。また、コピーやリネーム、ファイルやフォルダの作成なども可能だ。 テキストファイルをダブルクリックする
Tag2Find MOONGIFT
ファイルもタグ管理 すっかり定着したタグ管理。ファイルの管理にも導入しよう。 ファイルもタグ管理 情報をタグで管理すると言うのは、Web2.0系（と言うのも曖昧だが）アプリケーションで数多く取り入れられるようになってきた。既に違和感なく扱っている人も多いのではないだろうか。 それすら通り越し、何でもタグがなければと思っている方はこれを使ってみるといい。 今回紹介するフリーウェアはTag2Find、Windowsにタグ機能をつけるソフトウェアだ。 Tag2Findを使えば、Windows上のファイルについてタグ管理できるようになる。勿論、全てのファイルに行う必要はない。必要だと思ったファイルにだけタグをつけよう。 後はタスクバーになる検索ウィンドウで、タグ文字列を入力すれば即座に結果が得られる。また、プレビューやファイル情報を見られる専用のファイル管理インタフェースもある。 Tag2Find
Flash Lite1.1とPHPセッションの連携 | Shin x blog
Flash Lite1.1では起動時にSWFに値を渡す方法（URLパラメータやparamタグ）が使えないようなので、SWFにセッションIDを渡すことができません。 そのためloadVariable()等でサーバと通信できても、セッションが特定できないので、ユーザを識別するようなアプリケーション（ゲームや会員向けサイト等）には使えませんでした。 そこでSWFにセッションIDが渡せないならばと、URLにセッションIDを含める方法を考えました。 つまり <a href="/path/to/hoge.swf?PHPSESSID=phpsessid">SWF</a> を <a href="/path/to/phpsessid/hoge.swf">SWF</a> とするわけです。 ファイル構成 以下のようなファイル構成を想定しています。 [/path/to] + .htaccess + user.sw
新聞つんどく レビュー MOONGIFT
新聞つんどく レビュー インストール （クリックすると拡大します) 起動 （クリックすると拡大します) 記事 （クリックすると拡大します) 関連記事 （クリックすると拡大します) 検索結果 検索部分でハイライト表示されます。 （クリックすると拡大します) 各種設定 設定1 （クリックすると拡大します) 設定2 （クリックすると拡大します) 新聞つんどく 紹介はこちら
PearのServices_JSONを使ってPHPの変数を簡単にJSON形式にするサンプル:phpspot開発日誌
PearのServices_JSONを使ってPHPの変数を簡単にJSON形式にするサンプル。 以前、「json用PHP機能拡張 php-json」というエントリで、PHP用のエクステンションを紹介しましたが、 インストールが面倒、という場合、PEARのServices_JSONが使えます。 <?php require_once('Services/JSON.php'); $json = new Services_JSON(); $obj = array( 'id' => array('foo', 'bar', array('aa' => 'bb')), 'foobar' => $string, 'a' => 123 , 'b' => true ); $js = $json->encode($obj); echo $js; ?> 要は、new Serivces_JSON() して
おさかなラボ - strictなシステムに対するSession Fixation対策
Session Fixationについては話題になって久しいので今さら解説するまでもないと思う。……と思ったらそうでもなさそうなのでちょっと書いてみる。 Session Fixationとは何か 一般に、Session Fixationとして話題にのぼるのは、PHPなどにおける以下のような手法である。 http://www.example.com/index.php?PHPSESSID=abcde こうすることで、(対策の取られていない)PHPは、セッションIDを’abcde’と解釈してしまう。セッションIDは本来サーバーが発行するはずのものであるが、URIに埋め込むことでクライアント側からセッションIDを指定することが出来てしまうものである。 この「セッションIDが任意のものに設定可能である」ことを利用した攻撃をSession Fixation攻撃と呼ぶ……と解釈している人は以
activecollab-ja.info is Expired or Suspended.
「 activecollab-ja.info 」のページは、ドメインが無効な状態です。 ウェブサイト管理者の方はこちらから変更・更新を行ってください。 「 activecollab-ja.info 」is Expired or Suspended. The WHOIS is here.
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PHPで大規模ブラウザゲームを開発してわかったこと
【特別企画】ZenCartでオンラインショップを始めよう (1) ZenCartのインストール (MYCOMジャーナル)
https://firestats.cc/
新規
日本語で読めるPHPフレームワークsymfonyの資料いろいろ:phpspot開発日誌
Quick Lookup
KausHalsHeth.com is for sale | HugeDomains
