Уязвимость PHP в режиме CGI

[zapimir]

Хм, как раз есть один такой сайтик работающий через CGI. Протестил, но этот запрос не производит на сайт никакого впечатления. У кого-то воспроизводится?

[Alibobaevich]

да. открывал содержимое конфига вордпресса этим методом. смотрелось угрожающе, но на практике рандомным поиском по гуглу ни один из выбранных сайтов не был подвержен этой уязвимости

[FSA]

Поиграйтесь с сайтами на хостинге РБК. Правда тамошние админы знают и думаю за сутки должны уже были залатать.

[galaxy]

Это, конечно, просто поэзия, человек писал с вдохновением. Абзац про баг в багтрекере выдавил скупую мужскую слезу…

[diamant]

Ага, забавный баг (или бэкдор?), у нас как раз cgi на главной. К счастью, никаких паролей не видно. Помогает переключение на fastcgi.
Кстати, Фэйсбук показывает вакансию инженера по безопасности, если спросить у него -s.

[Zegaldis]

Прикольный момент :)

[lehha]

Большое количество сайтов запускают PHP или как модуль Apache через mod_php, или с помощью PHP-FPM под Nginx. Ни один из этих способов не уязвим к этом.

и тут же

Если вы используете Apache mod_cgi для запуска PHP, то вы можете быть уязвимы.

это что бы подлить масла в огонь?

[aivus]

mod_php vs mod_cgi

[HighQuality]

достаточно воспользоваться той классной зеленой штукой справа, правда.

[xRay]

А PHP FastCGI под IIS этим багом страдает?

[govorunov]

FastCGI не подвержен — там ключей не бывает.

[d0znpp]

Это удаленно выполнение команд, и это весело %)

[gaelpa]

Поддерживаете стиль изложение статьи?

[nikolaykhl]

На моем вордресном блоге на hc.ru появляется исходный код, вчера еще отписал им в суппорт.

Обратите внимание, что возможно использование и других команд, например -с или -d

[ivanko]

Причем -d — это ваще жесть — фактически remote exploit через auto_prepend_file.

[JustLuckyGuy]

А зачем использовать mod_cgi для пхп?

[martovsky]

за fastCGI можно не переживать?