Re: [apache-talk] php & security

[Khimenko Victor <khim@xxxxxxxxxxxx>]

On Tue, 20 Nov 2001 frodo@xxxxxxxxxxxx wrote:

> KV>> Что значит "забудьте" ? Вырезать из библиотеки ? Это выход. А ошибок,
> KV>> позволявших запустить из него любые команды я сам видел штук пять,
>
> А. Я, кажется, понял. Мы говорим о разных вещах, похоже, Я имел в виду
> внещний security (т.е. у вас есть скрипт на PHP, юзер его запускает), а

Здесь тоже возможны проблемы - но их куда меньше.

> Вы, похоже, внутренний (у вас есть PHP, юзер пишет для него скрипты).

Да, в основном это - но была в PHP и парочка проблем с upload'ом файлов,
через которые и удаленный пользователь мог переписывать любые файлы в
системе... Ну а дальше - заливашь .php-скрипт и см. раздел "внутренний
враг".

> Тогда дело другое. Safe mode в PHP изрядно дыряв. Его бы давно пора
> переписать наново, но ни у кого руки не доходят. А функции вырезать,
> кстати, довольно просто - в новом php есть опция в php.ini -
> disable_functions.

Да - но это уже требует глубокого ковыряния в потрохах...

=============================================================================
=               Apache-Talk@xxxxxxxxxxxxx mailing list                      =
Mail "unsubscribe apache-talk" to majordomo@xxxxxxxxxxxxx if you want to quit.
=       Archive avaliable at http://www.lexa.ru/apache-talk                 =