Re: [apache-talk] php & security

[Khimenko Victor <khim@xxxxxxxxxxxx>]

On Wed, 21 Nov 2001 frodo@xxxxxxxxxxxx wrote:

> KV>> > disable_functions.
> KV>>
> KV>> Да - но это уже требует глубокого ковыряния в потрохах...
>
> какого ковыряния? пишется
> disable_functions=system,exec,passthru,shell_exec и т.п....
>
А откуда ты получишь список функций и (особенно) список "опасных" функций ?
Типичный администратор (да и, пожалуй, типичный пользователсь PHP) такой
информацией не обладает. Ну то есть он знает (если знает) пару-тройку
таких опасных функций - но какой смысл запрещать часть опасных функций,
но не все ? А составление списка таких функций на основе изучения
исходников - как раз и есть "ковыряние в потрохах" ...

P.S. Вообще дело не только в кривой реализации safe mode, но и вообще в
непродуманном API :-(( Я попытался вызвать программу, передав ей в
качестве параметра имя файла (пресловутый /.../Program files/.../ :-)
Не смог: это дело упорно передавалось как два аргумента - как ни приседай.
Посмотрев в исходники я понял, что так, собственно, и должно быть.
Пришлось для этого скрипта safe mode отключить :-(( А чего стоило первый
аргумент сделать массивом ?

=============================================================================
=               Apache-Talk@xxxxxxxxxxxxx mailing list                      =
Mail "unsubscribe apache-talk" to majordomo@xxxxxxxxxxxxx if you want to quit.
=       Archive avaliable at http://www.lexa.ru/apache-talk                 =