взлом с помощью register_globals

[akira]

Ну если хватило ума залезть в php.ini, то должно хватить ума не делать include_once($_SERVER['DOCUMENT_ROOT'].«file.php»).

[medvoodoo]

вы понимаете, я не раз сталкивался с другим случаем: есть старые скрипты, неизвестно когда и кем написанные, которые проще оставить с регистр глобалс чем везде все менять, и есть новые скрипты, которые уже с правильными конфигами и правильным подключением. И как всегда стыковка старого и нового пораждает кучу уязвимостей.

Заметка написана чтобы пропалить тему действующего сейчас ботнета и немного усложнить им автоматическую жизнь :)

[akira]

По-умолчанию они выключены.

[medvoodoo]

ну, в примере лог с одного из сайтов мастерхоста :)

[achurkin]

Да вроде бы директива register_globals уже отжила себя.
Хотя, я думаю, до сих пор найдутся товарищи, которые так программируют.

[medvoodoo]

если вам не приходилось перебирать старье на предмет использования глобалсов то вам однозначно повезло

[nooze]

Часто вижу, что к серверным переменным доверие практически абсолютное. А зря

[Becoming_Insane]

ну-ка? как можно фэйкнуть енвайренмент апача кроме этого способа?

[nooze]

а я именно про этот способ. Разработчики слепо верят что все что вписано в серверные переменные это абсолютная истина, а потом их скрипты ставят на globals on и получается дуршлак

[coldFlame]

не только register_globals, а еще и allow_url_include — кому вообще взбредет в голову/понадобится включать последнее?

[medvoodoo]

masterhost

[Smartfon]

allow_url_fopen

[coldFlame]

и allow_url_fopen тоже

ua.php.net/manual/en/filesystem.configuration.php#ini.allow-url-fopen

ua.php.net/manual/en/filesystem.configuration.php#ini.allow-url-include

[brainfucker]

Можно написать бота который будет гулять по нету и искать сайты возвращающие ошибку при обращении с таким заголовком…

[achurkin]

А смысл?
Помнится давно встречал встречал примеры запросов в гугле, да и самому можно их написать, которые находят всякие там *.inc, *.conf файлы на сайтах с криво настроенным апачем. Единственное позитивное в этом, если вы понимаете, что так не надо делать, то значит вы лучше чем 80 процентов php — кодеров (= А значит работу вы всегда найдете.

[medvoodoo]

повторюсь, бот уже вовсю работает, в заметке кусочек из реального лога, с ральными ссылками на сайт паразит, судя по реакции мастерхоста, бот достаточно успешно действует :)

[odessky]

В PHP 6 их глобальные регистры запиля. Слава тебе яйца!

[Varnak]

а еще есть sql инекции, тайваньский(или китайский не помню) символ пробивающий стрипслешес, подбор md5 хеша(если не солить), анализ ошибок выводимых пользователю и много чего еще.
учить матчасть, думать головой(быть параноиком) и если пользуешь чужие скрипты, знать что там все чисто или переписывать нах… ибо потом может оказаться дороже.
а боты которые реагируюит на самые простые лажи, это уже давно боян

[Nc_Soft]

а можно про символ поподробнее?
он mysql_real_escape_string не пробивает надеюсь?

[Varnak]

shiflett.org/blog/2006/jan/addslashes-versus-mysql-real-escape-string
ilia.ws/archives/103-mysql_real_escape_string-versus-Prepared-Statements.html

[KonstRuctor]

Да, интересно было почитать про символ :-)