PHP5.3.7のcrypt関数のバグはこうして生まれた
昨日のブログエントリ「PHP5.3.7のcrypt関数に致命的な脆弱性(Bug #55439)」にて、crypt関数の重大な脆弱性について報告しました。脆弱性の出方が近年まれに見るほどのものだったので、twitterやブクマなどを見ても、「どうしてこうなった」という疑問を多数目にしました。 そこで、このエントリでは、この脆弱性がどのように混入したのかを追ってみたいと思います。 PHPのレポジトリのログや公開されているソースの状況から、PHP5.3.7RC4までこのバグはなく、PHP5.3.7RC5でこのバグが混入した模様です。RC5はPHP5.3.7最後のRelease Candidateですから、まさに正式リリースの直前でバグが入ったことになります。 バグの入る直前のソースは、ここの関数php_md5_crypt_rから参照することができます。以下に、おおまかな流れを図示します。まずはバ
第28回 あまり語られないセキュリティの基本 ── トラストバウンダリ | gihyo.jp
何事も基本が一番大切です。システム開発／コンピュータプログラミングも同じく基本が大切です。基本を守らないシステム設計やコーディングは問題発生の原因となる可能性が高いことは経験上理解できると思います。 セキュリティ対策の基本も非常に大切ですが、何故か基本はあまり語られていません。今回は安全性確保の基本中の基本を紹介したいと思います。 あまり語られない核心 正しいセキュリティ対策を行うには、セキュリティ問題の原因を理解する必要があります。 セキュリティ対策の記事などでは個々のセキュリティ問題に対する具体的な原因と対策が紹介されていることが多いです。私のブログも含め個人ブログなどでは「こういう場合はこうする」といった簡単な対処例が紹介されることが多いです。例えば、「SQLインジェクション対策にはプリペアードクエリだけを使えば大丈夫」などです。 読者の方もセキュリティ対策はどうすればよいのか、具
PHPでGAE上に社員検索アプリを作る （1/3）- ＠IT
第4回 PHPでGAE上に社員検索アプリを作る 萩原 巧 リトルソフト株式会社 中越 智哉 株式会社ナレッジエックス 2010/3/18 Web アプリケーション開発者にとって、魅力的な環境に映るGoogle App Engineだが、データの永続化などで落とし穴が存在する。これまでの開発手法を変えずに使えないだろうか（編集部） 第1回から第3回まで、Google App Engine（GAE）上で動作するリレーショナルデータベース「SQL4G」の紹介と、GAE上でPHP／Rails開発を行うために必要な環境設定を説明しました。 今回は、GAE上でPHPを実行するために必要なライブラリの説明をします。 また、それらを活用したアプリケーションを作成しながら、PHP＋リレーショナルデータベースとGAEの連携という新しい世界へ皆さんを招待したいと思います。 ライブラリの説明 PHP4Gでは、GA
Cybozu Inside Out: SpiderMonkeyを使ってPHPでサーバーサイドJavaScript
はじめまして。2009年に新卒で入社しました天野祐介です。amachang を期待された方はゴメンナサイ！ 先日 SpiderMonkey を利用して PHP から JavaScript を実行する方法を調べる機会がありましたので、ご紹介します。 SpiderMonkey とは SpiderMonkey は C で実装された Mozilla の JavaScript エンジンです。 これを PHP から実行する拡張を利用すると、 PHP コード内で JavaScript が実行できます。 SpiderMonkey extension のインストール こちらhttp://devzone.zend.com/article/4704に記載されている方法で CentOS にインストールしてみました。 PHP 5.3.0 以上が必要です。 $ wget http://ftp.mozilla.org
PHPをC++に変換して高速化する「HipHop for PHP」をFacebookが公開 : candycane development blog
アメリカ時間の昼ごろにTwitter上が一つのニュースで埋め尽くされました。 PHPをC++に変換して高速化する技術をFacebookが公開したというものです。世界中のPHPハッカーが注目する興味深いリリースという事でちょっと長いですが、リリースノートの和訳を行いました。 原文 http://developers.facebook.com/news.php?blog=1&story=358 Facebookにおいて重要なことのひとつが動作の速さです。過去6年間にわたって、PHPが提供する高速な開発ペースによって多くを成し遂げてきました。プログラミング言語としてみると、PHPはシンプルです。簡単に習得し、簡単に書き、簡単に読み、簡単にデバッグする事ができます。我々は他の言語よりも早くエンジニアを獲得し、それによってより早いイノベーションをすることができます。 今日、私は2年に渡って作業して
zou3.net - zou3 リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
PHP基礎文法最速マスター
PerlとRubyの文法一覧がとても良くまとまっていたので、便乗してPHPでもやってみました。 Perl基礎文法最速マスター – Perl入門〜サンプルコードによるPerl入門〜 Route 477 – Ruby基礎文法最速マスター 他の言語をある程度知っている人はこれを読めばPHPの文法を何となく理解できると思います。 間違い、不足等々あれば教えて下さいm(_ _)m バージョン PHP5.3系がリリースされていますが、ここではPHP5.2系を対象としています。 1.基礎 コードブロック PHPコードは「<?php」という開始タグから始まります。終了タグは「?>」です。HTMLにPHPコードを埋める際は終了タグを使いますが、ライブラリのようにPHPコードのみを記述する際は終了タグを省くことが慣例となっています。 終了タグを省く理由について id:Kiske さんに解説頂いています。ありが
Modern PHP Programming 入門 @ PFI 社内セミナー - 肉とビールとパンケーキ by @sotarok
バイトとしてお世話になっている，PFIで，「モダンPHPプログラミング入門」について，社内セミナーでお話してきました． 約一時半，Ustもながしつつ，社員の皆さんから質問をうけつつ．長々と，しゃべってしまいました． 対象者は，PFIの社員さんのように 他のプログラミング言語を知っている 「PHPって，HTMLの中に <?php とかって書くやつでしょ？」とか未だに思ってる 昔触ったことあったけど最近のPHPしらない みたいな人．そんな内容です． テンプレート言語と言われるPHPですが，プログラミング風の機能もたくさんついているんだぁ！ということを感じていただければ嬉しいです(w Modern PHP Programming @ PFI SeminarView more documents from sotarok. Ust の録画： Ustream.tv: ユーザー preferred:
【課金サービス開発日誌】 決済システムへの接続テストをやってみる - IDEA*IDEA ～ 百式管理人のライフハックブログ
ドットインストール代表のライフハックブログ
PHP マニュアルビューワ phpman が凄い! - 肉とビールとパンケーキ by @sotarok
触発されて． Kazuho@Cybozu Labs: Cppref: reading cppreference.com docs offline, like man or info or perldoc はてなブログ language command C man C++ cppref Perl perldoc Ruby ri, refe Python pydoc, IPython ... ... ターミナルで使えるリファレンスマニュアル - プログラミング言語編 - (ひ)メモ アレッ，PHPなくね？そりゃそうか．．．テンプレートエンジンだからな．．．プログラミング言語じゃないしな．．．．いやいやいや，ぼくらPHPerだってターミナルで作業してんだい！！ 追記：もうリストに加えてくれました！ id:hirose31 さんありがとうございます． ってことで作った．(すごいとか言ってますが自分
CSSを柔軟にデザインできるフレームワーク·CSScaffold MOONGIFT
CSScaffoldはPHP+CSS製のオープンソース・ソフトウェア。CSSは柔軟に設定ができるため、つぎはぎに設定を付け足していくと管理が煩雑になっていく。はじめこそネストした設定も適切に行うのだが、徐々に乱れていくとやたら長いクラス名ができたり、設定が複数箇所に点在したりすることになる。 元CSSファイル そうなるともう管理しきれるものではない。また最初から作り直したい気分になることだろう。そんな状況を防ぐためにも使ってみたいのがCSScaffoldだ。CSScaffoldはPHPを使ってCSSを生成するソフトウェアで、標準のCSSの書き方に加え、便利な機能を付け加えてくれる。 まずネストだ。CSSの設定をネストして書けばブラウザからのアクセス時には展開して表示する。複数階層でも問題ない。そして定数も便利だ。定数を定義して、数式を用いて内容を変更できる。例えばpaddingの設定を一律
プログラミングができなくても作れるTwitter botの作り方
Twitterのおかげで、それまではごく一部の人しか知らなかったbotというものが、だいぶん身近で親しみやすいものになったと思うんだけど、 こうなったらもっと気軽に誰でもbotを作れるようになったら楽しいんじゃないか。プログラミングができない人でも一人一botくらい持つ勢いで。 ということでこの記事を書いてみました。
これは使える、PHPやRubyで書かれたTwitterとやり取りするコードスニペット１０:phpspot開発日誌
これは使える、PHPやRubyで書かれたTwitterとやり取りするコードスニペット１０ 2009年09月17日- これは使える、PHPやRubyで書かれたTwitterとやり取りするコードスニペット１０ といっても殆どPHPのコードになってます。 コードの内容は以下のように、便利そうなものばかりですので覚えておくとサクッと機能を実装できそうです。 ・自動フォローのスクリプト(PHP) ・フォロワー数を得る(PHP) ・フォローしてるけどフォローしてくれてない人をゲット(Python) ・ステータス更新(Vim) ・最新のTwitterステータスを得る(PHP) ・Twitter検索してメールアドレスを取得する(PHP) ・tweetsをバックアップする(Ruby) ・WordPressのブログにTwitterのステータスを表示(PHP) ・RSSをTwitterに投稿するスニペット(PH
XSS、SQLインジェクションを発見する·Pixy MOONGIFT
PHPはWebシステムの中で広く使われているポピュラーなスクリプト言語だ。だが、手軽に習得し、開発が行えるとあって成果物のレベルが様々であり、中にはセキュリティ上問題のあるコードが多数存在することがある。そうしたセキュリティ上の問題を解決する手法やフレームワークもあるが、ごく簡単なシステムでは使われることがないだろう。 SQLのコードを精査し、問題の発見につなげる そのようなものを放置しておくと、いつ何時問題がわき上がるか分からない。そうした不安を取り除くためにもPixyを使ってみよう。 今回紹介するオープンソース・ソフトウェアはPixy、XSS、SQLインジェクションを発見するスキャナソフトウェアだ。 最初に断っておくと実際試してみたところでは100%の解決にはつながらなさそうなのでご注意いただきたい。PixyはJavaで作られたソフトウェアで、PHPファイルを指定して実行するとソースフ
ke-tai.org > Blog Archive > 実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました
実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました Tweet 2009/7/31 金曜日 matsui Posted in PHP, ソフト紹介 | No Comments » ※ご注意※ この記事は執筆した時点から比べると、セキュリティを巡る情勢が大きく変わり、現時点では不適切な内容となってしまいましたので削除いたしました。 かんたんログインの実装については、次の記事が参考になります。 → @IT 再考ケータイWebのセキュリティ 第2回 間違いだらけの「かんたんログイン」実装法 [atmarkit.co.jp] 関連： ケータイのユーザIDを通知・非通知設定するためのURLまとめ ケータイの端末ID・ユーザIDの取得についてまとめてみました（サンプルプログラム編） PHPでケータイからセッションを使う場合の設定方法 タグ: かんたんログイン, ログイン,
PHP開発者もクラウド開発を始めよう！（1/4） - ＠IT
特集：PHP on Windows Azure PHP開発者もクラウド開発を始めよう！ デジタルアドバンテージ 一色 政彦 2009/07/28 2009年7月16日、Webデザイナ／Web開発者向けのイベント「ReMIX Tokyo 09」が東京ミッドタウン・ホールにて開催され、新登場したSilverlight 3や、マイクロソフトのクラウド・プラットフォームと絡めたWeb開発などのセッションが開かれた。その中でも、今回レポートするのは「Silverlight + PHP (FastCGI) + Windows Azure で作る初めてのクラウド アプリケーション」というセッションだ。 セッションの前半では、Windows Azure Platform（従来は「Azure Services Platform」と呼ばれていた）の概要やWindows Azureでの基本的な開発／運用方法が、
PHP プログラマが "@" を使うべきでない 5 つの理由 - 肉とビールとパンケーキ by @sotarok
＃釣りっぽいタイトルですが大まじめです via. PHP 逆引きレシピ - 肉とご飯と甘いもの @ sotarok で、 @ （エラー制御演算子といいます！）はねーよ的な話をしましたが、著者の方から、「@に対して批判的になる理由が記載されていない」とのメールをいただきました。確かにその通りでした。実は理由を下書きのときには書いたのですが、長くなってしまったので削ってポストしたのですが、かえってわかりづらくなってしまいましたね．すみません。 ということで、PHPプログラマが、エラー制御演算子「@」使うべきでない 5 つの理由を述べます． 始める前に、本質的なところ 色々理由はつけようと、やっぱり前回述べた、 終的に$qに入るものが同じであることと、コードとして同じ意味であるかは、別じゃないでしょうか。 が一番本質的な話で、それ以上の話ではありません。 つまり、発生する可能性があるとわかってい
要注目！HTMLからPDFを生成するPHPライブラリ·mPDF MOONGIFT
Webシステムを開発する際に問題になりやすいのが帳票やレポートの扱いだ。そのレイアウトを含めて柔軟に変更できる必要があり、それでいて開発工数を低くする必要がある。PDFはHTMLとは異なるので、柔軟なレイアウト設計を可能にするライブラリはとても貴重だ。 元HTMLファイル そう、レイアウトがHTMLと異なるのが問題なのだ。それを一緒にできれば、どれだけ幸せになれるだろう。 今回紹介するオープンソース・ソフトウェアはmPDF、HTMLからPDFを生成するソフトウェアだ。 mPDFは現状では日本語には対応していないが、UTF-8に対応しているのでフォントや設定を行えば問題なく表示できると思われる。実際アラビア語も表示できている。HTMLをテンプレートとしてPDFを生成するのが特徴だ。 PDF化されたファイル 画像や外部リンク、CSSによるレイアウト設計をある程度PDFとして実現してくれる。テー
PHP逆引きレシピは概ね良いが、SQLインジェクションに関しては残念なことに - ockeghem's blog
404方面でも絶賛されていたPHP逆引きレシピを購入した。本書はとても丁寧な仕事で素晴らしいと思ったが、セキュリティに関しては若干残念な思いをしたので、それを書こうと思う。 目次は以下のようになっている。 第1章 準備 第2章 PHPの基本構文 第3章 PHPの基本テクニック 第4章 ファイルとディレクトリ 第5章 PEARとSmarty 第6章 Webプログラミング 第7章 クラスとオブジェクト 第8章 セキュリティ 8.1 セキュリティ対策の基本 8.2 PHPの設定 8.3 セキュリティ対策 第9章 トラブルシューティング 第10章 アプリケーション編 PHP逆引きレシピ オフィシャルサポート 本書は、タイトルの示すように、コレコレしたいという目的ごとにPHPでの書き方が書かれている。よくある逆引き辞典タイプの本だが、類書に比べて丁寧に書かれている印象を受けた。私が感心したのは、PH
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IDEA * IDEA