The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Типичные проблемы безопасности PHP скриптов в примерах

18.05.2007 11:22

Ilia Alshanetsky опубликовал текст презентации (PDF, 570Кб) подготовленной для конференции PHP|Tek 2007. В документе наглядно на простых примерах в популярных PHP скриптах рассказывается о типичных ошибках PHP программистов, приводящих к серьезным проблемам безопасности.

  1. Главная ссылка к новости (http://ilia.ws/archives/171-PH...)
  2. OpenNews: Оптимизация web-сервера для PHP.
  3. OpenNews: Около 90% программ на PHP содержат проблемы безопасности
  4. OpenNews: Десять правил написания безопасного кода на PHP
  5. Основы безопасного программирования на PHP
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/10816-php
Ключевые слова: php, security
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (16) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Sergey A. Bulba (?), 12:14, 18/05/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    И это правильно. Постоянно кричать дырявый софт - это одно. Кричать, что можно использовать более надёжные инструменты - второе. Третье дело, показать, что в любой среде можно безопасно и удобно для рраазботчика делать нужную работу.
     
  • 1.2, zedis (?), 12:34, 18/05/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Хорошая заметка побольше бы таких, а то все гонят на дырявость PHP приложений.
     
     
  • 2.7, citrin (??), 17:02, 18/05/2007 [^] [^^] [^^^] [ответить]  
  • +/
    И правильно гонят. Потому что 90% тех кто пишет на PHP никогда не будут читать статьи по безопасности.
     
     
  • 3.11, аноним (?), 01:46, 19/05/2007 [^] [^^] [^^^] [ответить]  
  • +/
    тем более, что существует множество примеров, когда для обеспечения безопасности приходится программно обходить косяки в самом РНР! Петон, перл, руби в массы! РНР на колъ!
     
  • 3.18, Kaban (??), 22:56, 19/02/2008 [^] [^^] [^^^] [ответить]  
  • +/
    И при чём тут php если программисты не квалифицированные?
     

  • 1.3, Аноним (-), 13:24, 18/05/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Перечисленные ошибки возможны в программах на любом языке, но это не отменяет ошибок в самом PHP и низкого уровня PHP программистов в общем.
     
  • 1.4, Аноним (-), 14:30, 18/05/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    такие вещи надр на титульной странице каждого хостинговом провайдера вешат... бо достали...
     
  • 1.5, Аноним (5), 15:33, 18/05/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Для написания пхп скриптов не нужно знать программирования практически, собственно из-за этого и делают множество ошибок. А учитывая огромное число мега руководств в сети по поводу написания собственных cms с дырками увеличивает число взломов на порядок.
     
     
  • 2.6, devcoder (??), 16:11, 18/05/2007 [^] [^^] [^^^] [ответить]  
  • +/
    я думаю так, что PHP по суммарному критерию
    "качество переведённой документации + простота/близость (например к распространённым  С,паскаль) синтаксиса",
    устанавливает самую низкую планку для начинающих разработчиков,
    в сравнении с Python, Perl, Ruby

    у одного синтаксис - аж моск с непривычки сводит, отгадайте старичка
    у другого полная документация только на английском,
    некоторый доки даже только на японском

    все это безусловно оказывает влияние на результаты первоначального выбора языка и платформы веб-разработки
    а потом уже и затягивает ;(

     
     
  • 3.9, Bakyt Niyazov (?), 18:45, 18/05/2007 [^] [^^] [^^^] [ответить]  
  • +/
    Приветствую!

    Вообще, IMHO PHP взял тем, что у него изначально была

    1. Поддержка почти всех СУБД
    2. Документация
    3. Простота+интересный подход


    Сейчас ситуация, по моему мнению, меняется к лучшему поскольку технология развивается
    да и требование на качественный софт увеличилось.

    С уважением,
    Ваш покорный слуга.

     

  • 1.8, Zoonman (?), 17:51, 18/05/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Все проблемы с любыми языками связаны с незнанием или глупостью. PHP годен лишь для рюшечек по мелочи. Да писать на нем легко и удобно. Аналог ZendStudio для Perl есть? А нормальный хелп на русском языке с индексом, а не полотно на 90 kB с фреймами?
    Ну и это людям мешает учиться правильному программированию. А почему?
    Да потому что очень мало людей способных научить других программированию. А знаете как в универах сейчас учат? Дают подборку литературы и все. Крутись как хочешь... Умным дядям некогда заниматься обучением новичков. А те преподы, что учат, от программирования, как правило, очень далеки. Спросите их что-нибудь об отличии объектно-ориентированного подхода от структурного и по существу толкового ничего не получите. Я когда начинал писать на ПХП, код был далек от совершенства так, что сейчас я ужасаюсь, что выкладывал его на сервер.
    Просто до обучения людей программированию, их надо учить алгоритмизации. И только после этого давать синтаксис. А сейчас, кроме примитивного синтаксиса на банальных примерах без подводных камней, ничего не дают. Вот и пишутся дырявые скрипты на ПХП, потому что другие языки гораздо более сложны и пишется на них тяжелее.
     
  • 1.10, Ужасный Ден (?), 21:18, 18/05/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >А сейчас, кроме примитивного синтаксиса на банальных примерах без подводных камней, ничего не дают. Вот и пишутся дырявые скрипты на ПХП, потому что другие языки гораздо более сложны и пишется на них тяжелее.

    как ни печально но правда...

     
  • 1.12, trinix (?), 08:24, 19/05/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Согласен, с предпоследним автором.
     
  • 1.13, skoval (?), 10:43, 19/05/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Подскажите пожалуйста чем плохо использование
    <form action="<?php echo $_SERVER['PHP_SELF'];?>...
    И кстати вывод этой переменной - это вообще плохо или только в формах?
     
     
  • 2.14, Ali (??), 14:04, 19/05/2007 [^] [^^] [^^^] [ответить]  
  • +/
    Необрабатываемая переменная, которую можно подменить.
    Глянь например тут http://blog.phpdoc.info/archives/13-XSS-Woes.html
     
     
  • 3.15, oles (?), 02:20, 20/05/2007 [^] [^^] [^^^] [ответить]  
  • +/
    Ну дык её можно подправить ;) Убрать <>'"
    Или даже по наличию такого в ней выдать надпись Hello hackers victim!
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру