サーバの構成をCentOS7+H2O+php-fpm(PHP7)にしてみた - SUSH-i LOG
最近H2Oというnginxよりも早いと言われているらしいWebサーバを知ったので、取り敢えず入れてみました。 またコレを機に、HHVMよりも早くなったらしいPHP7も気になっていたので、そちらも入れてみました。今のところWordPressは動いているみたいです。 ちなみにCentOS7です。 目次 H2Oの用意 H2Oのインストール H2Oの設定 H2Oの起動・停止 PHP7をphpenv+php-buildでインストール phpenvのインストール php-buildのインストール php-buildでPHP7をインストール PHP7でphp-fpmを設定・起動 H2Oの用意 H2Oのインストール 「Development Tools」をインストールしておけば、わりとサクッとインストール出来るようです。後は依存パッケージをインストール。 yum groupinstall "Develop
著名PHPアプリの脆弱性に学ぶセキュアコーディングの原則
著名PHPアプリの脆弱性に学ぶセキュアコーディングの原則1. 著名PHPアプリの脆弱性に学ぶ セキュアコーディングの原則 EG セキュアソリューションズ株式会社 徳丸 浩 2. 徳丸浩の自己紹介 • 経歴 – 1985年 京セラ株式会社入社 – 1995年 京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社(現社名:EGセキュアソリューショ ンズ株式会社)設立 • 経験したこと – 京セラ入社当時はCAD、計算幾何学、数値シミュレーションなどを担当 – その後、企業向けパッケージソフトの企画・開発・事業化を担当 – 1999年から、携帯電話向けインフラ、プラットフォームの企画・開発を担当 Webアプリケーションのセキュリティ問題に直面、研究、社内展開、寄稿などを開始 – 2004年にKCCS社内ベンチャーとしてW
PHPカンファレンス2017にてセキュアコーディングの話をします
PHPカンファレンス2017にて講演する機会をいただきました。 日時：10月8日（日）10:00～17:00（徳丸の出番は14:10から） 場所：大田区産業プラザPiO（東京都大田区） 費用：無料（申し込みはこちら） 講演タイトル：著名PHPアプリの脆弱性に学ぶセキュアコーディングの原則 想定聴講者としては、SQLインジェクション対策は聞き飽きた、もう少し突っ込んだ話が聞きたいという方を念頭においていますが、小難しくならないように、できるだけ平易にお話したいと考えています。 私はセキュアなプログラミングに関して、とにかく個別の脆弱性を守るための各論が大切で、それを知らないとどうしようもないという立場を取ってきました。その考え自体は変わっていないのですが、そうは言っても個別の各論を束ねる原則論、総論はないかのという思いはもちろんあります。 従来から、そのような「セキュア開発の原則」については
GDB で php プロセスの覗き見 - hibomaの日記
php を GDB でデバッグするのが便利。 以下のエントリで手法が説明されている qiita.com blog.anatoo.jp stackoverflow.com 以降、私が書くのはこれらのエントリに書かれている手順を真似たものなので、詳細を知るにあたっては是非リンク先も読んでほしい 検証: GDB で実行中の php プロセスを覗き見る GDB は実行中のプロセスを解析の対象とすることもできる。このエントリでは、無限ループするバグった php を GDB で覗いてみよう <?php function third($bar = "") { for (;;) { } } function second() { third(); } function first() { second(); } first(); 検証環境 CentOS7.4 (1708) php-5.4.16-42.el
シンボリックリンクを用いたアトミックデプロイと opcache と realpath cache - ngyukiの日記
これまで PHP のアプリケーションのデプロイは rsync でどべーとコードを撒いていました。が、それだと新旧のコードが混在するし Capistrano とかはデフォでシンボリックリンク切り替えでアトミックなデプロイになっているし、周回遅れな感じもしますが今後は似たような方法でデプロイしたいと思います。 releases/ ディレクトリの中にリリースタグでディレクトリを掘ってコードを配置して current を最新のリリースのディレクトリへのシンボリックリンクにします。そして Apache や Nginx でドキュメントルートを current の中の公開用のディレクトリに設定します（/path/to/app/current/public とか）。 /path/to/app/ releases/ 20161213/ 20161224/ 20170101/ current -> relea
PHPのエラーと例外再入門 / php-error-and-exception
PHPカンファレンス福岡2017の登壇資料です。
teratailに投稿されたメールフォームにCSRF脆弱性が残存した理由 | 徳丸浩の日記
teratailに以下のような投稿がありました。 PHPでメールフォームを作成したので、脆弱性がないかアドバイスいただけないでしょうか。 エンジニアでもなければ、PHPもろくに書けない雑魚ですが、「php メールフォーム 作り方」でググって表示されるサイトを見ると、「んんんんん？？？」と思うところがあります。 これらを参考にしたり、コピペする方は、記述されているコードの良し悪しは判断できないかと思います。 そのような方々が参考にできるメールフォームを作りたいという思いで、調べて作りました。 周りに書いたコードを確認してもらえる人もいないので、皆様からのアドバイスがほしいです((_ _ (´ω｀ )ﾍﾟｺ 【PHP】作成したメールフォームに脆弱性がないか、アドバイスもらえないでしょうかより引用 どれどれ…と確認すると、トークンのチェックが入っているにも関わらずクロスサイト・リクエストフォージ
PHP Object Injection Attack / PHPオブジェクトインジェクションの攻撃 - http80
PHPオブジェクトインジェクション(PHP Object Injection)攻撃に関してまとめました。Webのインジェクション攻撃というと、SQLインジェクションやOSコマンドインジェクションなどが先に思い浮かびますが、PHPにはオブジェクトインジェクションと呼ばれるものがあります。 PHPにおけるオブジェクトインジェクションは、データのシリアライズに関係するunserialize関数を使用している場合、外部から安全でないシリアライズされた値が注入されることにより、脆弱性になりうる可能性があります。どのような影響があるかどうかは、コードの書き方によって様々です。 本稿は、独自の検証、調べによるもののため、厳密には誤りであったり、そもそも違っているということがあるかもしれません。 ●脆弱性を再現するコード 簡単に脆弱性を再現するコードを用意しました。次の攻撃シナリオはローカルのhostsフ
PhpStorm導入アンチパターン / phpstorm-anti-pattern
「ママ向けNo.1アプリ」の 更なる成長を支える仕組み / startup-engineer-night-connehito
PHPの例外 - Qiita
定義済み例外とSPL例外 PHPにはPHP本体が持つ定義済み例外とPHPに標準でバンドルされるStandard PHP Library(SPL)の例外のSPL例外の2種類の例外があります。SPLは標準で組み込まれるのでPHPの機能として標準的に使うことも可能ですが、マニュアルでも個別のページを持っています。 定義済み例外 SPL例外 SPL例外 SPLの作者はPDOなど多数のパッケーのleadを務められているMarcus Börgerさんです。(PECLサイト参照 https://pecl.php.net/user/helly) MarcusさんがSPLのために作成したスライドStandard PHP Libraryから例外の部分を２つ抜粋します。 「守るべき３つのルール」 例外は例外の時に使用する (Exceptions are exceptions) 制御構造のために例外を用いない (
複雑さに潜り込む - 大規模PHPアプリケーションにおける例外・モニタリング・ロギング - すずけんメモ
みなさん、PHP書いてますか？ここ2ヶ月くらいPHPも書いていたのでその話を書きます。 この記事はVOYAGE GROUP techlog / Advent Calendar 2016の記事です。 例えば以下のような話に身に覚えはありませんでしょうか。 例外がどこかで握りつぶされており、例外的状況なのにエラー表示がまちまち。レスポンスステータスも一貫性がない。エラーログが適切に出ていない。 エラーログ出力用コードがいろんなところで散乱している。エラー文字列整形のための適当なヘルパメソッドがクラスごとに実装されている。 エラーごとにエラー表示のためのメッセージを設定するのが面倒になり、「システムエラーが起きました」とだけ表示されるようになってしまった。 例外ハンドリング周りのコードは考えるのが面倒なのでコピペだらけになっている。 オブジェクトの依存関係がクラスのプロパティに大量に埋め込まれて
PHP の内部構造（Zend Engine）について教えてください。
PHPの変数や関数、クラス等を書籍等を見ながら勉強してる入門者です。 PHPがはじめての言語なので、PHPの内部構造（C言語）は読めません(･ω･`；) 変数や関数など記述したコードがPHPの内部でどのような流れで処理されているのか理解したく、調べております。 PHP7で内部構造が変わっていることは承知しております。 PHP7については情報少ないので、PHP5の内部構造を調べております。 コンパイラやzval構造体、ハッシュテーブルなど一部にフォーカスして説明した記事は結構ありましたが、全体を示す図がなかなか見つからず、2日ぐらいググって下記の図を見つけました。 引用：Quick tour of PHP from inside LexerやParser、OPcode、zval、HashTablesなど単体を説明した記事はありましたので、それぞれがどのような役割をしているのかは何となく理解し
フリーエンジニアのIT案件ならレバテックフリーランス
2016年11月3日（祝）、大田区産業プラザPiOにて開催された国内最大のPHPイベント「PHPカンファレンス2016」。レバテックフリーランスでは、カンファレンスセッションの登壇者のひとり・和田卓人氏にインタビューを実施しました。 テスト駆動開発の先駆者として知られる和田氏ですが、今回の講演テーマは「PHP7で堅牢なコードを書く-例外処理、表明プログラミング、契約による設計」。あえてテスト以外のテーマを設定した理由をはじめ、PHPの優位性や今注目している言語、初心者エンジニアへのアドバイスなど、幅広くお話を伺ってきました。 ＜この記事の要約＞ 1. PHPの良い点は、ゆるふわな言語に見せかけて堅牢なコードも書けるところ。悪い点は、覚えることが多くて難しいところ。 2. テストを書いていればコードの品質が高いわけではない。また、テストが書けないくらい問題を抱えたコードでも、中から改善してい
PHP AST 徹底解説
ちゃんとした C# プログラムを書けるようになる実践的な方法～ Visual Studio を使った 高品質・低コスト・保守性の高い開発慎一 古賀
PHP の JIT 実装を試す - y_uti のブログ
PHP の開発者向けメーリングリストに、JIT の開発を始めたという投稿がありました。PHP 8.0 への搭載を目標として開発を進めるそうです。 php.internals: JIT for PHP project そこで、投稿に書かれているベンチマークテストを私の環境*1でも実行してみました。結果は以下のとおりでした。それぞれ 10 回の実行時間を平均したものです。実行したベンチマークプログラムは PHP のソースコードに含まれているマイクロベンチマークです。Zend/bench.php (GitHub リポジトリ) でソースコードを確認できます。 左端の青色の系列は、次期マイナーリリースの PHP 7.1.0 RC1 で実行したものです。これは JIT なしでの実行になります。これ以外の 2 系列は JIT を有効にして実行したものです。中央の薄橙色の系列は、メーリングリストに投稿され
PHPで高速オシャレな配列操作を求めて - Qiita
PHPには大量の配列操作関数が用意されています。 これらの関数、イマイチ書き味が悪いということで、よくPHPがDISられるポイントになっています。 お題として、こんな感じのコードを書きたいとしましょう。(意味は特にないです) 0~10000のうち、偶数だけを抽出して自乗し、結果が20を超えるものを足しあわせよ array_xxx系の関数だけで入れ子にしながら書くとこんなことになります。 echo array_sum( array_filter( array_map( function ($v) { return $v ** 2; }, array_filter(range(0, 10000), function ($v) { return $v % 2 === 0; }) ), function ($v) { return $v > 20; } ) ); 読めたもんじゃないですね。 関数の
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
hatebu.me
【改訂版】PHP7で堅牢なコードを書く - 例外処理、表明プログラミング、契約による設計 / PHP Conference 2016 Revised
php.iniの話
安全なPHPアプリケーションの作り方2016
