【セキュリティ ニュース】「PHP」にセキュリティアップデート - 複数脆弱性を修正（1ページ目 / 全1ページ）：Security NEXT
PHPの開発チームは、複数の脆弱性へ対処した「PHP 7.4.1」「同7.3.13」「同7.2.26」をリリースした。セキュリティアップデートと位置付けられている。 今回のアップデートは、系統によって修正内容に差異があるが、コア部分における複数の関数をはじめ、EXIF処理や任意精度数学関数などで明らかとなった複数の脆弱性へ対処したもの。 画像処理モジュールなどをはじめ、マイナーなバグの修正もあわせて実施した。開発チームでは、各系統の利用者に対し、最新版へアップデートを推奨している。 なお、「同7.1」に関しては、2019年12月1日にサポートが終了した。今回のセキュリティアップデートについても用意されておらず、注意が必要。 （Security NEXT - 2019/12/20 ） ツイート
シェルを経由しないOSコマンド呼び出しがPHP7.4で実装された
この記事はPHP Advent Calendar 2019の5日目の記事です。 はじめに 私は6年前に、PHP Advent Calendar 2013として「PHPだってシェル経由でないコマンド呼び出し機能が欲しい」という記事を書きました。その中で、OSコマンドインジェクション対策の根本的かつ安全な対策は「シェルを経由しないコマンド呼び出し」であることを指摘した上で、末尾に以下のように書きました。 PHPコミッタのみなさま、PHP5.6の新機能として、シェルを経由しないコマンド呼び出しの機能を追加できませんか? 現実には当時からPCNTL関数にてシェルを経由しないコマンド呼び出しはできたのですが、当関数の使用が難しいことと、CLI版あるいはCGI版（FastCGIは可）のPHPでないとサポートされていないなどの制限があり、popenやproc_openなど使いやすいコマンド呼び出し関数に
anypicks.jp - anypicks リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
GHOST脆弱性を用いてPHPをクラッシュできることを確認した
GHOST脆弱性について、コード実行の影響を受けるソフトウェアとしてEximが知られていますが、PHPにもgethostbynameという関数があり、libcのgethostbyname関数をパラメータ未チェックのまま呼んでいます。そこで、PHPのgethostbynameを用いることでPHPをクラッシュできる場合があるのではないかと考えました。 試行錯誤的に調べた結果、以下のスクリプトでPHPをクラッシュできることを確認しています。CentOS6(32bit/64bitとも)、Ubuntu12.04LTS(32bit/64bitとも)のパッケージとして導入したPHPにて確認しましたが、phpallで確認した限りPHP 4.0.2以降のすべてのバージョンのPHPで再現するようです。なぜかPHP 4.0.0と4.0.1では再現しませんでした。 <?php gethostbyname(str_
Javaで書かれたPHP処理系のJPHPが高速だった - hnwの日記
JPHPというJavaで書かれたPHP処理系があります。これは2013年10月にはじまった新しいプロジェクトで、大半をメイン開発者一人で開発しているようですが、既に一定以上の完成度です。また、内部的にはPHPファイルを解釈して直接Javaバイトコードにコンパイルしており、かなり高速なPHP処理系になっています。 他のPHP処理系と異なり、既存のPHPコードをWebサーバ上で動かすことを重視していないようにも見えますが、興味深いプロジェクトですので紹介します。 JPHPを動かしてみる さっそくJPHPを試してみましょう。現時点ではGitHubからソースコードを持ってきてビルドする必要があります。JDK7以上が必要ですので注意してください。JPHPのドキュメント「Getting Started」の通り、次のようにしてJPHPがビルドできます。 $ git clone https://githu
結局Ruby on RailsとPHPってどっちが優れてるの？ - ぷれすとぶろぐ
よくこういう記事のタイトルを見るけど、Ruby on Rails(以下、Rails)が勝ちだとか、PHPのほうが優れてるだとか、思った方はいますぐ反省するべき。 この記事は、Ruby on Rails Advent Calendar 2014 – Qiitaの1日目の記事です。 こういうものには つかいどきが あるのじゃ 例えば、ページに単純なカウンタを埋め込むだけにRailsを使うでしょうか。今のHTMLにすぐ埋め込むことができるPHPのほうがよっぽど便利で楽でしょう。物事には適材適所という言葉がある通り、同様だと思います。 ここでは、Railsの魅力とかPHPとなぜここまで比べられるかを書いてみます。 （ここでフレームワークと言語を比較している理由は後述ですが世間的によく比較される事が多いため。） おまえ誰よって言われる前に、自己紹介をしておくと自称「IT系なんでも屋さん」。Rails
PHPとRubyの人気は互角であることが判明
PHP vs Ruby データ：ウォンテッドリー 求人サイト・ウォンテッドリーによれば、スタートアップで働きたければPHPかRubyを学ぶべきだ。 ウォンテッドリーは25日、登録企業3690社のうち2009年～2013年の間に創業した390社がサーバーサイドで使用している言語を集計した調査レポートを発表した。調査によれば、2009年の時点ではPHPが優勢だったが、その後Rubyの使用が増加。近年はほぼ互角の人気になっているという。 ウォンテッドリーは調査結果を「ウェブ系の企業では開発スピードを上げるためにRailsを採用する結果、Rubyが人気になっている可能性が高い。PHPは学習コストが低いので受託でも人を集めやすいほか、CakePHPやZendFramework、FuelPHPなど、フレームワークの選択肢が多いため」と分析する。 モバイル開発にも使われるJavaやObjective-C
PHPでHTTPの並行ダウンロードを実現する（Guzzle編） - hnwの日記
PHPで最近注目のHTTPクライアントライブラリにGuzzleがあります。日本での知名度はまだまだという印象ですが、かなり高機能かつ真面目にメンテナンスされている印象で、今後のデファクトスタンダードになりうるライブラリと言えるでしょう。 本稿ではこのGuzzleを使ってWebサーバから並行にダウンロードする方法を紹介します。Webブラウザのように同時に複数コネクションを管理しながらKeep-Aliveでコネクションを使い回しますので、下手なコードで実現するより接続先Webサーバにも優しいはずです。 Guzzleの特徴 まずは、Guzzleについて僕が特徴的だと思う点を紹介します。 パッと見でわかりやすいインターフェース cURLは必須ではないがデフォルトでcURLを使う cURLの無い環境がありうるので、cURL無しでも動くのは嬉しい cURLのわかりにくいインターフェースを隠してくれるの
PHP、かつてWebで人気だった言語が下火になりつつある | readwrite.jp
今月頭頃にPHPの勉強を始めた時、編集者や知り合いと目標を目指して燃えていた。 しかしながら技術に詳しい人からの反応は常に「アレのどこがいいの?」というものばかりだった。 PHP、かつてパーソナルホームページの略であるとされ、その名前から元々シンプルかつカスタマイズが容易なWebサイトを作るために生まれてきたこの言語では、Webページにインタラクティブな要素を盛り込むことができる。 サイト上でPHPを用いることで、ページを静的なものから、投稿するとすぐにそれが反映されるBlogの様に動的なものにすることが出来る。 私がPHPに興味を持った最初の理由はこれだ。Blog構築で人気のプラットフォームであるWordPressは、Blogの見た目や機能をカスタマイズするためのテーマエンジンにPHPを用いているため、もしPHPを使えるのであれば、Blogのかなり細かいところまでいじることが出来る。 P
「保守性・管理性が劇的に上がるPHPのスマートなコードの書き方12選」の解説 その1 - assertInstanceOf('Engineer', $a_suenami)
以下のような記事が昨日話題になりました。 はてなブックマーク - 保守性・管理性が劇的に上がるPHPのスマートなコードの書き方12選 | BULK SERVER blog 現在では記事自体は削除されていますが、魚拓がとられているのでまだご覧になってない方は以下のリンクをどうぞ。 http://bulkserver.jp/blog/2014/08/07/php-code/ - 2014年8月12日 09:28 - ウェブ魚拓 すでに消されてる記事に対して、アレコレ言うのはちょっと悪趣味かなとも思ったのですが、ブコメを見ると「もうすこし優しく教えてあげなよ」「括弧の省略がなんで嫌いなんだろう」といった記述があったので書いてみることにしました。 元記事を書いた方にこのエントリが読まれることを切に願います。 自分の立場 なんというか某記事、そんなにDisりたくないし、自分だって間違った理解でブログ
switch文を使ってはいけない
昔Qiitaで書いた内容なんですが、PHPのswitch文は悪名高い「==」演算子で比較を行います。 <?php switch (true) { case 0: echo '数字の0'; break; case '0': echo '文字列の0'; break; case '0.0': echo '文字列の0.0'; break; case true: echo '真偽値のtrue'; break; } このコードは「文字列の0.0」を出力します。大変分かりにくいですね。 この点はif ... elseif ...を使えば解決するんですが、switchで書きたくなるようなコードをelseifにするとおそらく読みにくくなるでしょう。 ではどうするか。 正解はオブジェクトのポリモーフィズム(多態性)機能を使うことです。 といっても、多態性で調べて出てくる記事とか書籍に関しては抽象的な説明が多い
PHPにおけるオブジェクトインジェクション脆弱性について — A Day in Serenity (Reloaded) — PHP, CodeIgniter, FuelPHP, Linux or something
SQLインジェクションはかなり有名になりましたが、オブジェクトインジェクションはまだあまり聞かないので、まとめておきます。 Dependency Injection（DI）とは関係ありません。 オブジェクトインジェクション脆弱性とは？ SQLインジェクションが外部からSQL文を注入する攻撃であるのと同じように、オブジェクトインジェクションとは外部からオブジェクトを注入する攻撃です。 外部からオブジェクトを注入できれば、そのオブジェクトの機能によりさまざまな攻撃ができる可能性があります。最悪の場合、任意のコードを実行できる脆弱性になります。 PHPの場合、この攻撃が可能なのは、unserialize()関数を悪用できる場合です。 攻撃の方法 unserialize()関数に外部から任意のデータを渡すコードがあった場合、攻撃者は自由にシリアライズされたデータを送信することで、生成されるオブジェ
PHPでスクレイピング【Goutte vs. Simple HTML DOM Parser】 - Qiita
PHPでスクレイピングをしようと思って検索すると、Simple HTML DOM Parserというライブラリと、Goutteというライブラリが紹介されてあるようです。 昔から存在してPHPスクレイピングの定番になっているのが、Simple HTML DOM Parserらしく、紹介記事も多い。 Goutteは、パフォーマンスが良いらしいが、比較すると記事が少ない。 そこで、本記事は、パフォーマンスバトルと実装方法についてまとめておきます。 「SayMove!のランキングページから、動画のタイトルを取得する」でベンチマーク対決していただきます 1, Simple HTML DOM Parserのベンチマーク 1-1, 導入 Simple HTML DOM Parserの公式サイトにアクセスして、ダウンロードして、作業ディレクトリにsimple_html_dom.phpを配置する。 1-2,
PHPerのためのJenkins
序文 ソフトウェア開発とはままならないものだ。そもそも開発と銘を打たれているにも関らず製造工程のような量的単位「工数」で管理しようとしているので致し方無いのかも知れない。そう、開発と言うからには「作ったことの無いものを作る」ということであるにも関わらず、 ・「何人がかりで何日で出来る?」と聞く ・「何日くらいですかね、やってみないと分からないけれど」と答える ・「分からないけれど」はとりあえず無視して、何日かの余分をとってスケジュールを作る そんなことをしていれば古典落語に出てくる「致し方ないけれど起こる残念な出来事」のようなオチにしかならないのは目に見えているのだが、これは現実によく有るやりとりである。しかし、これでもまだマシな部分も有る。少くとも作ろうとしてとしている人が「何日で出来そうか?」について答えているからだ。作ろうとしている人ではない人が当てずっぽうに答えてスケジュールが決ま
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
Ratchet -PHP WebSockets
Ratchet WebSockets for PHP Ratchet is a loosely coupled PHP library providing developers with tools to create real time, bi-directional applications between clients and servers over WebSockets. This is not your Grandfather's Internet. Learn more » Fast & Easy Write your own chat (aka "Hello World!" for sockets) application in a matter of minutes. After understanding "the new flow" - event driven p
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
安全なPHPアプリケーションの作り方2014
PHPにおけるI/O多重化とyield
YAPC::Asia 2014 - 半端なPHPDisでPHPerに陰で笑われないためのPerl Monger向け最新PHP事情
PHPオブジェクト指向入門（前半） - Qiita
