PHP5.3で非推奨になった機能や関数をざっくりあぶり出すワンライナー - Do You PHP はてブロ
via. PHP: PHP 5.3.x で推奨されない機能 - Manual もう、ざっくりざっくり。$SRC_DIRは適宜設定。 find $SRC_DIR -iname \*.php -print0 | xargs -0 grep -wE 'define_syslog_variables|register_globals|register_long_arrays|safe_mode|magic_quotes_gpc|magic_quotes_runtime|magic_quotes_sybase|(call_user_method|call_user_method_array|define_syslog_variables|dl|ereg|ereg_replace|eregi|eregi_replace|set_magic_quotes_runtime|session_register
例えばPHPのpreg_replace関数でe修飾子を避ける - hnwの日記
（2015/04/19追記）e修飾子はPHP 5.5からdeprecatedになっています。また、PHP7からは廃止されます。 PHPのpreg_replace関数では、e修飾子が利用できます。これはPerlから輸入された機能で、置換後パターンの文字列をPHP文法に従って評価する（evalする）というものです。Perlを知らないとあまり使わない機能かもしれませんが、Perlを知っているとPHPでも使いたくなるのではないでしょうか。本記事では、preg_replace関数でe修飾子を使う場合の注意点を指摘し、代替案を示します。 preg_replace関数のe修飾子 preg_replace関数のe修飾子は次のような機能です。 e 修飾子を設定すると、preg_replace() は、参照先の対応する置換を行う際に replacement 引数を PHP コードであるとして取り扱います。re
windows.php.net - /downloads/releases/archives/
[To Parent Directory] 3/22/2011 2:30 PM 19378176 php-5.2.10-nts-Win32-VC6-x86.msi 3/22/2011 2:30 PM 10385746 php-5.2.10-nts-Win32-VC6-x86.zip 3/22/2011 2:30 PM 16084074 php-5.2.10-src.zip 3/22/2011 2:30 PM 19555840 php-5.2.10-Win32-VC6-x86.msi 3/22/2011 2:30 PM 10487524 php-5.2.10-Win32-VC6-x86.zip 3/22/2011 2:31 PM 19950080 php-5.2.11-nts-Win32-VC6-x86.msi 3/22/2011 2:31 PM 10414217 php-5.2.11-nt
PHP 5.3.3/5.2.14登場、5.2ユーザはアップグレード | エンタープライズ | マイコミジャーナル
PHP: Hypertext Preprocessor PHPデベロッパチームは22日(米国時間)、PHPの最新版となるPHP 5.3.3およびPHP 5.2.14を公開した。安定性の向上とセキュリティ対策を主眼においたマイナーリリースで、すべてのユーザにアップグレードが推奨されている。 PHP 5.3.3では一部後方互換が崩れているので注意が必要。PHP 5.3.0から5.3.2まではネームスペースが指定されたクラスでは、ネームスペースクラス名の最後の要素名と同じ名前のメソッドは構築子として処理されていたが、PHP 5.3.3からはただのメソッドとして処理される。PHP 5.3.0から5.3.2までの間にこの機能を使っている場合には変更が必要になる。なお、ネームスペースが導入されたのが5.3からであるため、5.2系から移行してくる場合、この変更の影響は受けない。 PHP 5.2.14は5
文字コードとセキュリティ（クロスサイトスクリプティングなど）
では、このHTMLタグの無効化（サニタイジング）はどうすればいいかといいますと、皆さんご存知のように、左の表のように置換すれば良いことになります。これは、下記のような文字化け を悪用した攻撃にも効果的です。 例えば、「<」は16進文字コードで「0x3C」です。確かに、「<」で表示される文字（１バイト）なら、Shift_JISでもEUC-JPでもJISでも文字コードは一緒でしょう。しかし、もし「0x3C」を2バイト文字（漢字）の一部であると解釈すればどうでしょうか？ Shift_JISやEUC-JPには幸い「0x3C」は現れませんが、JISには現れます。 例えば、「紗」という漢字は、Shift_JISでは0x8ED1ですが、JISでは0x3C53です。0x3C53は、Shift_JISやEUC-JPでは、「1バイト文字が二つある」としか解釈できまず、この場合、「0x3C=<」「0x53=S」
ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション)
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年7月1日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPのデータベース・アクセス・ライブラリPDOは、DB接続時の文字エンコーディング指定ができないため、文字エンコーディングの選択によっては、プレースホルダを使っていてもSQLインジェクション脆弱性が発生します。 追記(2011/06/19) ここに来て急にブクマが追加されはじめていますが、このエントリを書いてから状況が改善しています。PHP5.3.6(2011/03/17)にて、PDOでもデータベース接続の文字エンコーディングを指定できるようになりました。この版で、UNIX版のPHPでは解決しましたが、Win
[prg][php]PEAR マニュアル
PEAR Manual Next PEAR Manual 2014-10-29 Edited By Daniel Convissor Martin Jansen Alexander Merz Edited By Rui Hirokawa Tadashi Jokagi Soshi Kido Haruki Setoyama Shoma Suzuki Masahiro Takagi Hideyuki Shimooka Copyright © 2001-2008, by The PEAR Documentation Group Table of Contents About the manual はじめに User Guide Basic concepts all PEAR users should understand Installation (Pyrus) インストール コマンドラインのイン
PHP: getopt - Manual
Getting Started Introduction A simple tutorial Language Reference Basic syntax Types Variables Constants Expressions Operators Control Structures Functions Classes and Objects Namespaces Enumerations Errors Exceptions Fibers Generators Attributes References Explained Predefined Variables Predefined Exceptions Predefined Interfaces and Classes Predefined Attributes Context options and parameters Su
マッチするはずの正規表現がマッチしない現象 - T.Teradaの日記
今日は、PHPでよく使用される正規表現エンジンであるPCRE（Perl Compatible Regular Expression）の、余り知られていない（と思う）制約について書きます。 プログラム 題材は下のPHPプログラムです。 <?php header('Content-Type: text/html; charset=latin1'); $url = $_REQUEST['url']; if (preg_match('/^(.*?):/s', $url, $match)) { $scheme = $match[1]; if ($scheme !== 'http' && $scheme !== 'https') { exit; } } echo '<a href="'. htmlspecialchars($url). '">link</a>'; 外部から受け取った「url」パラメータ
今更ながらmagic_quotes_gpcの欠点 - teracc’s blog
今更ながらですが、PHPのmagic_quotes_gpcをOnにすべきでない理由を整理してみます。 世の中には、magic_quotes_gpcはOffにすべき、と書いた文章は多数あるのですが、その理由を（私が見る限りで）十分に説明しているものは無いからです。 以下では、 1. 対象外の変数の存在 2. 弊害（副作用） 3. エスケープの不完全さ という三つの観点から記述します。 対象外の変数の存在 magic_quotes_gpcの、「gpc」はGET/POST/COOKIEを表しています。つまり、この3種類のリソースからの入力はエスケープされますが、それ以外は原則エスケープされません。 エスケープされているもの、されていないものを、以下にまとめてみます。 エスケープ済み ・$REQUEST $_GET・$_POST・$_COOKIE 場合によってエスケープ済み ・$_SESSION（
PostgreSQL 使用時の文字列のエスケープ回避問題 - t_komuraの日記
2006.03.06 追記 この問題については、iakio日誌(2006-02-15)において、PHP スクリプトで回避する方法の例と、PostgreSQL に Patch を当てて回避する方法を示しておられます。問題の影響を受ける場合は参考にすると良いと思います。 1月22日に書いた、addslashes() による SQL 文字列のエスケープ回避問題の続きです。PostgreSQL でさらに検証してみました。 結論としては、前回と同様ですが、PostgreSQL に関しては、SJIS は使用しない方が安全という事になります。 クライアントの文字コードとして、SJIS を使用している場合、addslashes() によるエスケープは既に指摘されている通りですが、PostgreSQL 用の文字列エスケープ関数である、pg_escape_string() を使用している場合でも問題があります
PHP6開発 UTF-16化を断念、5.3へロールバック | エンタープライズ | マイコミジャーナル
PHP: Hypertext Preprocessor PHPの次期メジャーバージョンはPHP6になるとみられてきたが、問題を打破するために開発ブランチを5.3ベースへ巻き戻すという対処が実施された。Rasmus Lerdorf氏がphp.internals: PHP 6においてPHP6 Unicodeの実装が失敗したことを伝えている。PHP6ではエンジン内部の処理がUTF-16に統一される計画になっていたものの、関係者からはこの方針は間違っているのではないかという指摘もあった。今回実装が行き詰まったことで、PHPはUnicodeに対して新しいアプローチをとることになる。 このあたりの事情がFuture of PHP 6 - Johannes Schluterにまとまっている。紹介されている内容をまとめると次のとおり。 これまでの取り組み PHP6で取り組む基本的な内容として、PHPエンジ
PHP 5.3.2 での修正点や機能追加について - t_komuraの日記
先日、PHP 5.3.2 が公開されました。セキュリティ問題を含む多くの修正や機能追加が行われています。 PHP 5.2.12 や PHP 5.2.13 で修正され、PHP 5.3.1 に含まれていないセキュリティ問題の修正も含まれていますので、特に PHP 5.3.0 や PHP 5.3.1 を使っている場合は、アップデートした方が良いと思います。 PHP 5.3.2 Release Announcement PHP 5 ChangeLog (Version 5.3.2) 以下に、今回のアップデートで、気になった部分についてメモしておきます。 文字エンコーディング関連の修正 PHP 5.3.2 の ChangeLog などには書かれていないような気がしますが、以前、以下に書いた問題の修正が行われています。 PHP 5.2.12 の文字エンコーディング関連の修正点 最新の PHP スナップ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PDOにおけるSQLインジェクションの危険性とその回避についてまとめ
blog.ishinao.net
PHPのプログラムをお願いしいます。 - Yahoo!知恵袋
PHPアプリケーションのセキュリティーチェックシートPDF:phpspot開発日誌
PHP: Integers - Manual
http://twitter.com/moriyoshi/status/10655763122
はてなブログ | 無料ブログを作成しよう
