PHP Terminal — Консоль через WEB

[@nAggOHOK]

! УЖЕ ПОМОГЛО ! спасибо. Сижу на новой работе за проксей, а регулярно надо подмогнуть людям которые с ними занимаются.

[@pietrovich]

putty у меня отлично работал через прокси... хотя, конечно, многое зевисит от политик на проксе...

[@balvardo]

Я дико извиняюсь, если вас не затруднит, вы не могли бы дополнить топик описанием функционала? Вы как человек пользующийся... а то просто совсем труба с временем( А если это то, что я думаю - о боже, вот оно счастье)

[@try4tune]

Основное назначение приложения - выполнение системных команд без доступа по ssh, использую стандартные функции php для этих целей.

[@evilbloodydemon]

отличная вещь, только не развивается давно (2004-11-24 последний релиз)

[@try4tune]

Я бы сказал существующего функционала хватает.

[@Wer]

http://cb.vu/

[@superhabra]

Издеваетесь, такое на http вешать?
А может лучше сразу выйти на улицу и написать на асфальте логин/пароль к серверу?

[@try4tune]

Проблему решает защита .htaccess. Плюс сама софтина имеет встроенный механизм HTTP-авторизации.

[@romy4]

это тоже самое, что и передавать какую-то секретную информацию через посыльного не голосом, а с помощью свёрнутой бумажки :)

[@try4tune]

К тому же, это временная вещь - вешается для определенных нужд девелопера/админа, после использования сразу же убирается.

[@superhabra]

Если вы не понимаете сути проблемы, а пытаетесь заверить что проблема отсутствует, то я помочь не могу.

[@try4tune]

Что-то я Вас не очень понимаю. Объясните.

[@superhabra]

Объясняю - информация в протоколе http передаётся в открытом виде и доступна для прослушивания на всех узлах по пути следования пакетов и даже более.

[@try4tune]

А что там особенного передается? Там нет никаких деталей доступа к серверу, команды выполняются от имени пользователя php, программа после использования удаляется.
Повторяю - она нужна НЕ для постоянного использования, а полезна как единовременный инструмент для разработчика/админа для быстрого решения проблем.

[@superhabra]

Вот пока админ быстро решает проблему кто-то быстро порутит сервер - ничего серьёзного.

[@mntek]

Кто мешает использовать https?

[@alive]

О чем, я думаю, и речь.

[@superhabra]

А кто мешает использовать https?

[@try4tune]

Пароль придумываете сами, и прописываете в конфиге. Это тот пароль, который софтина сама спросит для HTTP-авторизации.

[@romy4]

вот скажите, зачем используют ssh подключение?

[@try4tune]

Например, удобно совершать какие-то действия, которые трудно/невозможно сделать по FTP, например:
- chmod большого колличества файлов
- архивация файлов для последующего скачивания/закачивания
- работа с БД
Это только небольшая часть.

[@romy4]

ясно, но почему тогда не соединяются обычным telnet соединением без всяких секьюрных надстроек?

[@try4tune]

Вы наверное немного меня не поняли. Эта программа не использует никаких ssh ни telnet. Она использует стандартные функции php (exec(), system() и т.п.) для работы с командной строкой сервера.
Программа полезна тогда, когда провайдер (хостер) не дает ssh/telnet доступ к серверу. Этот софт позволяет упростить работу в таких случаях. В остальных случаях ssh предостаточно.

[@romy4]

куда б не ставили этот скрипт, но если хостер не даёт https, то грош-цена всему.
механизм http-авторизации передаёт логин-пароль всё тем же открытым способом. и чтобы он каждый раз не гонял по сети: пароль или id сессии, он всё равно передаёт это открыто.

[@try4tune]

Вы немного не поняли суть программы. Или Вы немного не в теме. Давайте прекратим этот бессмысленный спор.
Те, кому нужно, знают как всем этим воспользоваться.

[@romy4]

суть скрипта я понял хорошо: простенькая эмуляция коммандной строки. просто секьюрность на грани фола.
и жаль, что в консольке нет обычной аутентификации (не HTTP, потому что у меня php работает через fcgi и он не поддерживает такой свособ)

[@romy4]

кхм, и ещё такой вопрос, в чём отличие ssh от telnet?

[@try4tune]

Читайте больше литературы.

[@romy4]

понимаете, я клоню к тому, что если уж утилитка настолько открыта для взлома, то хотя бы нужно было вести лог всех действий + всемя и IP клиента, дабы была надежда восстановить данные и наказать злоумышленника.

[@Tagire]

Хм, это немного не в тему, я думаю стоит отложить в сторону жезл Понтониум ^_^
Просто у человека еще никто не угонял пароль сниффером.

[@romy4]

я к этому и клоню. как-минимум консолька должна ограничивать работу только в docroot'e.

[@khim]

Снифером вы можете "угнать" временный пароль, который действует час. Да есть шанс что этот пароль отловят и в течении часа вас и заломают и вообще натворят всяких бед, но реально - это всё равно гораздо безопаснее чем telnet...

[@romy4]

человек, возспользовавшийся такой утилитой, вряд ли задумывается о безопасности и вряд ли даже догадается, что угнали его пароль.

[@romy4]

мне интересен был ответ автора топика

[@ESVSerge]

а ещё спросите, кто такие ламмеры..

[@mihailt]

ааа да нужная вещь... гы гы типа нашел sql-injection, зашел в админку, залил на хост и всё в порядке ))) поубивал бы.

[@try4tune]

Вы сами себя понимаете? :)

[@mihailt]

а что конкретно не понятно? такие вот творения идеальный инструмент для злоумышленников.
Почему?
возмём для примера такой код:

$page = $_GET['page'];
$query = "SELECT * FROM pages WHERE page_id = $page";

кто такой код пишет это другой вопрос, но такого кода достаточно много уж поверьте.
Используя некоректное значение для $page можно составить запрос который будет брать значение из другой таблицы. Например users :)

далее используя эти данные злоумышленник может получить доступ к сайту как существующий пользователь, в том числе и как администратор.

После чего злоумышленник обычно ищет возможность загрузки на сайт например через image-uploader в каком-нибудь wyswyg редакторе где не делается проверка на расширение файла и заливает он обычно не что-нибуль а именно подобные изделия, что это ему дает я думаю понятно и именно по причине того что людей которые пишут запросы так, как указанно выше очень много я категорически против таких поделок.

[@romy4]

мускль можно таким образом заставить выполнять коммандную строку или загрузить вредоносный скрипт на сервер.

[@mihailt]

так я к тому и клоню, что быдлокодер делает супер-сайт за 200 баксов, и начинается.
При помощи таких вот программок получается что от очередного куль-хацкера летит к черту не только сам супер-сайт, но и все остальное что лежит на этом серваке.
Соответственно нормальные люди такой софт использовать не будут, потому что осознают чем это грозит, а использовать его будут эти самые мега-супер-хацкеры.
И зачем спрашивается нужен такой софт??

[@romy4]

мне кажется, try4tune не понимает этого :(

[@superhabra]

Зато это не мешает ему спорить о том что "всё в шоколаде".

[@mihailt]

только вот минус не понятно за что влепили :(

[@superhabra]

Минусуют от зависти

[@quark]

Не вините "подобные изделия". system($_GET['cmd']); никто не отменял, так что даже "очередной куль-хацкер" наделает делов.

Я, вот, юзаю подобный софт, ибо не всегда хостер дает шелл доступ...

[@romy4]

таких хостеров избегать надо, потому что заведомо не заботятся о секьюрности хостящихся сайтов.

[@khim]

Ну это бабушка надвое сказала. Если у хостера сервер в chroot-jail и работает строго из-под пользователя php, то ещё отдельно настраивать туда ssh-доступ - непростое занятие.

Опять-таки представьте какую-нибудь вещь типа Amazon EC2 или Google Apps Engine. Там просто некуда делать ssh!

Если вы не сталкивались со сложными конфигурациями хостинга, когда ssh разрешать непрактично - то это ещё не значит что вы знаете как устроен мир...

[@romy4]

вы можете сколько угодно оправдывать хостера, но он элементарно не уважает клиентов, подставляя их своей дырявой безопасностью. Клиент, в свою очередь, подставляет хостера и других клиентов хостинга устанавливая вот такие утилиты.

но тот же Google Apps не даст вам залезть дальше положеного, ага.

[@informa]

я может что-то не понимаю а как же magic_quotes_gpc ?

[@superhabra]

Это костыль, и скоро он будет убран из PHP

[@informa]

до 6 ещe дожить надо, еще не все хостеры на 5 перешли ;(

[@mihailt]

ага и соответственно сейчас надо плодить софт с заренее известными костылями :)

[@informa]

я не ктому что надо так писать, я к тому что не считаю это ошибкой которая в данный момет приведт к взлому сайта.

[@mihailt]

считать можете как хотите, но количество взломанных сайтов через подобные вещи от этого меньше не становится :)

[@DEL]

Если по ssl и прикрыть .htaccess-ом, то почему бы и нет, хотя ssh есть почти всегда, там где позволено выполнять серьезные действия в командной строке.

[@agl666]

с хостером клиента, у которого до сих пор сейф мод с запрещёнными функциями выполнения внешних комманд, совершенно неюзабельным плеском даже этот скрипт не спасёт. приходится делать всё вручную, даже архив не распакуешь :(