Pull to refresh

Comments 25

Ну если хватило ума залезть в php.ini, то должно хватить ума не делать include_once($_SERVER['DOCUMENT_ROOT'].«file.php»).
вы понимаете, я не раз сталкивался с другим случаем: есть старые скрипты, неизвестно когда и кем написанные, которые проще оставить с регистр глобалс чем везде все менять, и есть новые скрипты, которые уже с правильными конфигами и правильным подключением. И как всегда стыковка старого и нового пораждает кучу уязвимостей.

Заметка написана чтобы пропалить тему действующего сейчас ботнета и немного усложнить им автоматическую жизнь :)
UFO just landed and posted this here
По-умолчанию они выключены.
UFO just landed and posted this here
ну, в примере лог с одного из сайтов мастерхоста :)
Да вроде бы директива register_globals уже отжила себя.
Хотя, я думаю, до сих пор найдутся товарищи, которые так программируют.
UFO just landed and posted this here
если вам не приходилось перебирать старье на предмет использования глобалсов то вам однозначно повезло
Часто вижу, что к серверным переменным доверие практически абсолютное. А зря
ну-ка? как можно фэйкнуть енвайренмент апача кроме этого способа?
а я именно про этот способ. Разработчики слепо верят что все что вписано в серверные переменные это абсолютная истина, а потом их скрипты ставят на globals on и получается дуршлак
не только register_globals, а еще и allow_url_include — кому вообще взбредет в голову/понадобится включать последнее?
UFO just landed and posted this here
Можно написать бота который будет гулять по нету и искать сайты возвращающие ошибку при обращении с таким заголовком…
А смысл?
Помнится давно встречал встречал примеры запросов в гугле, да и самому можно их написать, которые находят всякие там *.inc, *.conf файлы на сайтах с криво настроенным апачем. Единственное позитивное в этом, если вы понимаете, что так не надо делать, то значит вы лучше чем 80 процентов php — кодеров (= А значит работу вы всегда найдете.
повторюсь, бот уже вовсю работает, в заметке кусочек из реального лога, с ральными ссылками на сайт паразит, судя по реакции мастерхоста, бот достаточно успешно действует :)
В PHP 6 их глобальные регистры запиля. Слава тебе яйца!
а еще есть sql инекции, тайваньский(или китайский не помню) символ пробивающий стрипслешес, подбор md5 хеша(если не солить), анализ ошибок выводимых пользователю и много чего еще.
учить матчасть, думать головой(быть параноиком) и если пользуешь чужие скрипты, знать что там все чисто или переписывать нах… ибо потом может оказаться дороже.
а боты которые реагируюит на самые простые лажи, это уже давно боян
а можно про символ поподробнее?
он mysql_real_escape_string не пробивает надеюсь?
Да, интересно было почитать про символ :-)
Sign up to leave a comment.

Articles