forum.opennet.ru

"Уязвимость в библиотеке PharStreamWrapper, затрагивающая Dru..."

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Присылайте удачные настройки в раздел примеров файлов конфигурации на WIKI.opennet.ru.

. "Уязвимость в библиотеке PharStreamWrapper, затрагивающая Dru..."	+2 +/–
Сообщение от пох (?), 11-Май-19, 08:45
вам в пехепе 4. Ну или максимум - 5.2 (который пожалуй и был последним true php) С тех пор было объявлено что все есть стрим, и "файловые" операции внезапно начали делать странное, если имя файла начиналось на someshit:// Правда, для большинства этого шита доступны только самые примитивные операции, да еще и требуются явные разрешения или установка extension, а вот phar настолько прекрасен, что косплеит файловую систему целиком и включен из коробки (можно, конечно, выключить, но по неистребимой тяге разработчиков обмазываться всяким дерьмом, работать ничего кроме хеловротов и не будет). вопрос наличия мозгов у тех кто это придумывал - закрыт еще со времен демарша автора сухосина.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Уязвимость в библиотеке PharStreamWrapper, затрагивающая Dru..., opennews, 10-Май-19, 22:12 [смотреть все]

Красиво, Анонимус Суминонус, 10-Май-19, 22:12 (1)
Мы написали костыль, чтобы починить дырявый костыль Но новый костыль тоже оказа, Аноним, 10-Май-19, 22:38 (2) //
- Ответ очевиден - нужен ещё один костыль, Аноним, 12-Май-19, 23:18 (37)
Эх, это ж типовой косяк двадцатилетней давности , Michael Shigorin, 10-Май-19, 23:07 (3) //
- Михаил, это не та ли CMS, переходить на которую ты постоянно советовал, в коммен, Sluggard, 11-Май-19, 00:19 (4) //
  - Та самая Заметьте, советы обычно были с присказкой вроде вскакивать приходитс, Michael Shigorin, 12-Май-19, 00:51 (35)
Из документации PHP Да и имя функции намекает А тут ВНЕЗАПНО читаемЧто-то тут не, Аноним, 11-Май-19, 06:43 (5) //
- Не так тут PHP , Аноним, 11-Май-19, 08:17 (6)
- вам в пехепе 4 Ну или максимум - 5 2 который пожалуй и был последним true php , пох, 11-Май-19, 08:45 (8) //
  - Ерунду не говорите, создание своего стримвроппера в 4 3 2 появилось , Евгений, 11-Май-19, 08:52 (9) //
    - только вот что-то я не слышал о подобных уязвимостях не то что в 4, а и в ранних, пох, 11-Май-19, 10:38 (15)
      - У меня для вас очень плохие новости уязвимости в glob существовали безотносит, Онаним, 11-Май-19, 11:06 (21)
        
        а вот тут список непотребных символов вполне себе конечен маловероятно появлени, пох, 11-Май-19, 11:25 (24)
  - Вот с чем соглашусь - так это с тем, что вся механика phar - редкостное удолбище, Онаним, 11-Май-19, 13:21 (32) //
    - пожалуй что и да - я тут бегло полистал остальные стримы - нигде такой жопищи не, пох, 11-Май-19, 22:24 (34)
- Вы прочитали неправильно file_exists не определяет mime-тип , Евгений, 11-Май-19, 08:53 (10) //
  - то есть написано неправильно, Евгений, 11-Май-19, 08:55 (11) //
    - file_exists выполняет вначале код контейнера phar , Заря, 11-Май-19, 09:36 (12)
      - Лучше бы вы не писали, и не показывали свою собственную безграмотность Никакого , Онаним, 11-Май-19, 10:34 (14)
        
        но забыли опубликовать Официальные Таблицы Валидных Символов Допустимых для file, пох, 11-Май-19, 10:44 (16)
        
        Нет у меня формального критерия отличать ваш файл Я его просто априори переимен, Онаним, 11-Май-19, 10:50 (18)
        
        я вам уже демонстрировал, что для моей файловой системы этот файл совершенно вал, пох, 11-Май-19, 11:39 (26)
        
        Можешь называть свою кошку как угодно, поскольку ты даже не увидишь, что на серв, Онаним, 11-Май-19, 13:14 (31)
        Я просто из старых ассемблерщиков, и у меня строка - это не просто набор символо, Онаним, 11-Май-19, 13:39 (33)
        
        Ну и да, если уж зашли на валидацию - даже самая простейшая и не менее криворук, Онаним, 11-Май-19, 10:54 (19)
        
        А ты знаешь список всех функций где доступен этот API , Аноним, 11-Май-19, 12:58 (29)
        
        Считаем с запасом , что везде, где идут обращения к файлам, сокетам, etc Но де, Онаним, 11-Май-19, 13:07 (30)
        
        Ну и дополню ДА Мы не можем 100 валидировать имена пользовательских файлов , Онаним, 11-Май-19, 10:59 (20)
https github com nbs-system snuffleupagus- Close to zero performance impact- P, Аноним, 11-Май-19, 08:41 (7) //
- очередное щас мы всем покажем как правильно кодить и пофиг что половина списка , пох, 11-Май-19, 10:49 (17)
Хосспаде, долбодятлы Внезапно отсутствие валидации передаваемых имён и передача , Онаним, 11-Май-19, 09:48 (13)
Школота опять страдает - какой плохой пых, не защищает школоту от собственных кр, Онаним, 11-Май-19, 11:09 (22) //
- Они бы ещё на голых сях писать попробовали 8O, Онаним, 11-Май-19, 11:11 (23) //
  - я весь внимание - расскажите, как банальным вызовом stat или _любым_ способом , пох, 11-Май-19, 11:31 (25) //
    - В glibc очень долго можно было это потенциально сделать вызовом glob с необраб, Онаним, 11-Май-19, 12:22 (27)
    - Ну и да чужой код не выполняет и PHP Stream API с phar , представляешь себе , Онаним, 11-Май-19, 12:29 (28)
Придумают же костылей pharы какие-то хорошо что я ПХП уже лет 10 не трогал, InuYasha, 12-Май-19, 13:06 (36) //
- Держи в курсе, что ты там еще не трогал, Наноним, 14-Май-19, 23:24 (38)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру