PHPコードのXSSやSQLインジェクション脆弱性をチェックする「Pixy」:phpspot開発日誌
Pixy: XSS and SQLI Scanner for PHP Pixy is a Java program that performs automatic scans of PHP source code, aimed at the detection of XSS and SQL injection vulnerabilities. PHPコードのXSSやSQLインジェクション脆弱性をチェックする「Pixy」。 Javaで書かれたツールのようですが、Webインタフェースも用意されていて、サイト上でPHPコードの脆弱性がチェックできるようです。 例えば、次のようなコードを検証してみましょう。 <?php ＄x = ＄_GET['x']; echo ＄x; ?> すると、次のように、脆弱な部分が赤く表示されました。 なお、いくつか脆弱なコードを試してみましたが、問題なし、となるコード
tidy_parse_string() オーバーフロー
(Last Updated On: 2018年8月13日)CVE-2007-3294にtidy_parse_string()オーバーフローが登録されています。 http://nvd.nist.gov/nvd.cfm?cvename=CVE-2007-3294 に脆弱性情報のソースURLが記載されています。 http://www.milw0rm.com/exploits/4080 すぐに応用可能な実証コード付きです。Linuxだと影響が大きすぎると考えたのか、実証コードの作成者がWindows環境が得意なのか、Windows環境のコードになっています。 tidy_parse_string()の第二引数（動作設定用パラメータ）のオーバーフローを利用しているので専用サーバで運用しているユーザにはあまり重要な脆弱性ではありません。（普通のコードならローカルからしか攻撃できない）しかし、PHPの場合
PHP 5.2.3のchunk_split()は未修整だった…
(Last Updated On: 2018年8月13日)http://blog.php-security.org/archives/84-PHP-5.2.3-released….html にも書いてあるのですが、PHP 5.2.3ではchunk_split()が直っているハズだったのですが直っていませんでした。 Fixed an integer overflow inside chunk_split() (by Gerhard Wagner, CVE-2007-2872) 直したつもりが整数オーバーフローが発生するコードになっており、ヒープオーバーフローが発生します… CVSには修正コードがコミットされています。 http://cvs.php.net/viewvc.cgi/php-src/ext/standard/string.c?r1=1.445.2.14.2.60&r2=1.445.
PHPMailerコマンドインジェクション – WordPress, Mantis, WebCalendar, Group-Office, Joomla, etc
PHPMailerコマンドインジェクション – WordPress, Mantis, WebCalendar, Group-Office, Joomla, etc (Last Updated On: 2018年8月13日)個人的には影響ないですがいろいろなアプリケーションで使われているPHPMailerと言うクラスにコマンドインジェクションの脆弱性があったようです。リンク先を見ればescapeshellarg()かescapeshellcmd()でエスケープすべき個所がエスケープされていない事が分かります。 どの位危険か?と言うと簡単にサーバを乗っ取られる（不正なプロセスを実行される等。プロキシ、SPAMメール中継、SSHアカウントクラック、DoS、etc）くらい危険です。対処が必要な方は早く対処すべきです。 以下はfull-disclosureのメールです。 PHPMailer is a
PHPセッションの問題修正
(Last Updated On: 2018年8月13日)Stefanさんのブログに書いてあったので気がついたのですが http://cvs.php.net/viewvc.cgi/php-src/ext/session/session.c?r1=1.417.2.8.2.35&r2=1.417.2.8.2.36 に結構面白いコミットがされています。CVS版なので正式リリースになるかは不明です。成り行きはがどうなるかは興味深いです。 MOPBで解説されていたセッションIDにインジェクションができる問題を修正しようとブラックリスティングで対応させようとしたようです。ブラックリスティングより暗号化した方が安全性と互換性を確保するのが簡単なのですがZend社の社員によるコミットだったのですがZend Platformとの互換性も維持できないパッチになっているようです。Stefanさんのブログを見ると
PHPによる攻撃コードが出現--GIFファイルに隠される
セキュリティ研究者らは米国時間6月19日、PHPによって記述され、GIFファイルに埋め込まれた攻撃コードを大手の画像ホスティングサイトで発見した。SANS Internet Storm Centerへの投稿によると、この攻撃コードはファイルの先頭に正規の画像を配置することで監視の目をすり抜けたという。 同社のセキュリティブログでは「これは、ネットワークセキュリティツールを迂回し、警報を鳴らしたり注意を引いたりすることなく攻撃コードを他者に引き渡す狡猾な方法だ」と説明されている。 悪意のある攻撃者によってPHPで記述された攻撃スクリプトは画像ファイルに埋め込まれる。PHPは動的なウェブサイトを作成するプログラミング言語としてよく用いられている。 SANS Instituteの最高調査責任者（Chief Research Officer）であるJohannes Ullrich氏は、この手の悪質
PEAR Manual
PEAR Manual Next PEAR Manual 2014-10-29 Edited By Daniel Convissor Martin Jansen Alexander Merz Edited By Rui Hirokawa Tadashi Jokagi Soshi Kido Haruki Setoyama Shoma Suzuki Masahiro Takagi Hideyuki Shimooka Copyright © 2001-2008, by The PEAR Documentation Group Table of Contents About the manual はじめに User Guide Basic concepts all PEAR users should understand Installation (Pyrus) インストール コマンドラインのイン
PHP版HTML::FillInForm - Unknown::Programming
まだまだ続きます。 PHP版SQL::Abstract - Unknown::Programming PHP版Data::Page(::Navigation) - Unknown::Programming というわけで第三弾。 先日の記事で「HTML::FillInFormの移植もお願い！」とお願いされてたのとはまったく関係なく作りました＾＾。 →HTML_FillInForm-0.01.tar.gz で、HTML::FillInFormなんですが、実はもうすでに作ってらっしゃる方がいます。 2LBOX – Online Tool Reviews – Testing online tools that makes your life easier. ただ、ignore_fieldsやtargetなどのいくつかのオプションが足りないのと、データを埋め込む時にchecked="checkded
PHP版Data::Page(::Navigation) - Unknown::Programming
PHP版シリーズの続き。 PHP版SQL::Abstract - Unknown::Programming と、いうわけでSQL::Abstractに続き、Data::Pageも公開しておきます。多分みんな作ってるだろうけど。 →Data_Page-0.01.tar.gz 一応PEARにもPagerとかいうのがあるんだけど個人的にカナリ微妙なんで移植しました。 移植ついでにData::Page::Navigationの機能も盛り込みました。 まさに便利便利万歳、便利便利万歳、便利便利万歳、人間って感じです。
11. emacsでPHP開発
皆さんはPHPでプログラムを作る時、どんな開発環境を使っていますか？ 今回は、emacsを使う場合に便利なtipsをご紹介します。 PHP開発で普段emacsを使う人はそんなに多くないと思いますが、使わないといけない状況になった時のために、知っておくと役に立つのではないかと思います。 [1]php-modeでカラフルに php-modeを使うと、プログラム内の変数や関数が色分けされ、かなり見やすくなります。 やり方は簡単。 １．http://sourceforge.net/projects/php-mode/から最新のphp-modeをダウンロードします。 ２．ダウンロードしたファイルを解凍して、解凍したディレクトリ内の php-mode.elをemacsのsite-lispディレクトリに配置します。 site-lispディレクトリは、Linuxだとディストリビューションによって異なり ま
Apacheのログを解析してRSSに出来るPHP5用クラスライブラリ「Apache Log Analyzer 2 Feed」:phpspot開発日誌
Apacheのログを解析してRSSに出来るPHP5用クラスライブラリ「Apache Log Analyzer 2 Feed」 2007年06月11日- Apache Log Analyzer 2 Feed ApacheLogAnalyzer2Feed is a really powerful open source PHP 5 class to parse and analyze Apache Web Server log files. Apacheのログを解析してRSSに出来るPHP5用クラスライブラリ「Apache Log Analyzer 2 Feed」。 このクラスを使って、例えば次のようなことが出来るようです。 Googleのクローラーがサイトにいつ訪れたか？をRSSによって配信 Googleのクローラーがサイトのどのページにいつ訪れたか？をRSSによって配信 ユーザがいつ、どの
ウェブマイスターブログ: phpはいけてる？
明日 第6回アフィリエイトカンファレンス開催 └ pin at 2005.12.02 └ 藍玉 at 2005.12.04 └ Nori(管理人) at 2005.12.14 第2回ECサイト大見本市＆交流会 └ Jam-Croft at 2005.10.06 └ Nori(管理人) at 2005.10.07 バナーメーカー仮設 └ モア at 2005.10.04 └ Nori(管理人) at 2005.10.06 PHPスクリプト配布開始 └ pin at 2005.09.23 └ Nori(管理人) at 2005.09.24 └ pin at 2005.09.24 複数ブラウザのスクリーンショット └ Jam-Croft at 2005.09.18 └ Nori(管理人) at 2005.09.18 2009年04月(1) 2007年08月(4)
hnwの日記 - PHPの奇妙なround関数
(2012/11/01追記) 4年ほど前の記事「PHP5.3.0alpha3のround関数の実装がPHP5.2.6と変わった - hnwの日記」でお伝えした通り、PHP 5.3.0から別の実装が採用されており、本ページで指摘しているような挙動のPHPは既に絶滅危惧種です。念のため。 さて、プログラミングの話題もたまには書いてみます。今回はPHPのround関数の挙動が変だ！という話題です。 round()は浮動小数点数を四捨五入する関数で、大抵の言語に同じ名前で実装されているかと思います。ではPHPのround関数の何が問題なのか、ちょっと試してみましょう。 $ uname -sro Linux 2.6.9-42.0.10.plus.c4smp GNU/Linux $ php --version PHP 5.1.6 (cli) (built: Feb 23 2007 06:56:38)
狐の王国 PHPが嫌われながら生き残る3つの理由
#1 PHPが嫌われながら生き残る3つの理由 phpspotのひどい正規表現サンプル記事に対するはてブの反応 を見て、「PHPは生き残る」ことを確信にまで深めた。しかし、ただ生き残るのではない。嫌われながら生き残るのだ。その理由を書いてみよう。 ＠ 1. PHPは簡単に書けてきれいに書けない: これは多くのPHPプログラマが実感しているだろう。PHPはさくさくと書ける一方、メンテナンスを考慮してきれいに書こうと思うとなかなかきれいに書けたものではない。Perlほど柔軟な構文でもなく、Rubyほどきれいな構文でもない。PHPを嫌う理由の筆頭にあがってもいい項目である。だがとりあえず書けば動く。これは大きい。 ＠ 2. PHPの実装はひどいがとりあえず動く: バージョンごとに仕様がごろごろ変わる、セキュリティホールだらけ等々。とにかくひどいものである。それでもPHPは速いと信じてる人もいる
PHPネタ盛り上がってますね - Unknown::Programming
404 Blog Not Found:そろそろPHPに関して一言いっとくか 前に言いたいことは言ったのであまり言うことは無いですが、トラックバックとか見てるとちょっとだけ気になった点が。 PHP使えば導入が簡単だとかWebアプリがサクっと作れるとか技術者要らずだとか言ってる人が結構いてかなりびっくり。 えっと、これだけは言っておきますが結局どの言語だろうがセキュアなアプリケーションを作ろうと思ったらかなりの労力を必要とします。 PHPだろうがPerlだろうが、です。 でPHPの場合、導入ばかりが簡単だと皆が言うからセキュアでないアプリケーションが世に溢れてる気がします。 何も考えずに作るのならそりゃPHPの方が色々一発でできるんだから簡単でしょう。 ちゃんと作るのなら結局PHP使ったとしてもそんな劇的に楽になることはありません。 むしろ僕はPHPの方がそういう面で作りにくいと感じています。
[pear]Crypt_Blowfishの罠にはまる(´・ω・｀) | みるくぜりー
テキストを復号可能な形で暗号化したい！ でも、phpの標準関数を利用することができないので何かいいものないかしら？ ということでしらべてみたらCrypt_Blowfishという便利なpearがあることが判明。 include_once 'Crypt/Blowfish.php'; $key = 'secret'; $text = 'てすてす暗号のテスト中'; $blowfish = new Crypt_Blowfish($key); $encrypt = $blowfish->encrypt($text); $decrypt = $blowfish->decrypt($encrypt); echo '暗号化前のテキスト ' . $text . ' 復号化後のテキスト' . $decrypt; がしかし本番のプログラムに組み込むと「The key is not initialized.」という
![[pear]Crypt_Blowfishの罠にはまる(´・ω・｀) | みるくぜりー](https://cdn-ak-scissors.b.st-hatena.com/image/square/2302e44c95c7e474fefb218540004f95dc47a4bb/height=288;version=1;width=512/https%3A%2F%2Fimaging.jugem.jp%2Ftemplate%2Fimg%2Fjugem_og-image.png)
ウノウラボ Unoh Labs: PHP最適化tipsまとめサイト
こんにちは。親知らずを抜いて離乳食三昧のyukiです。GWの暴飲暴食から脱し、ダイエットするには好都合ですね。すいません。負け惜しみです。 さて、今回は「PHPのちょっとしたコツ」の続きネタで、PHP最適化Tipsまとめサイトの紹介です。 これらは既に有名なサイトで紹介されていたり、常識の範囲かもしれませんが、ひとつでも有用に感じていただければ幸いです。 そして英語が極端に苦手なため、意訳突っ込み等あれば宜しくお願い致します。 PHPの最適化 12 PHP Optimization tips (元ネタはこちらでしょうか？ http://www.ilia.ws/files/zend_performance.pdf) staticが使えるなら、staticを使う。速度は4倍になる。 __get, __set, __autoload は避ける。 require_once() はコストがかか
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://neta.ywcafe.net/000743.html
PHP5 オブジェクトのリファレンスとデストラクタ - 教えて！goo
Loading...