PHP Hack / Инциденты

Карма блога:

↑41,13↓

Блог «Инциденты» (32)

PHP Hack

Прямо сейчас на портале phpbb.com висит вот это:

Правду о том, как это случилось и что вообще за WTF, написанную практически в виде статьи для журнала Ксакеп, можно узнать вот тут.

На самом деле ахтунг грандиозен, поскольку обнаружена бага в реализации "register_globals".

Проблема настолько серьезна, что например Мастерхост еще ночью устроил у себя аврал, разослав всем клиентам такие вот письма:

Уведомляем Вас, что в понедельник 9 февраля 2009 г. будет
изменена конфигурация серверов виртуального хостинга.
Директива PHP register_globals будет отключена, согласно
рекомендациям разработчиков PHP и специалистов по
безопасности. Изменение затронет следующие площадки и домены:

xxx, xxx, xxx

Если Ваши сайты используют последние версии популярных CMS
(таких как Joomla, Wordpress, Drupal, Bitrix и т.д.), то
изменение пройдет незаметно и не скажется на
работоспособности ресурсов. Рекомендуем при возможности
произвести обновление Ваших скриптов. Если это сделать
невозможно или у Вас возникают любого рода сомнения, то Вы
можете обезопасить себя и включить register_globals для
сайта, добавив в директорию www файл .htaccess со следующей
директивой:

php_flag register_globals on

Информация о директиве register_globals на сайте
разработчиков PHP:

http://ru.php.net/manual/ru/ini.core.php#ini.register-globals

В общем, остается только предсказать надвигающийся очередной БКХ (Большой Китайский Хак) — в ближайшие дни и недели публичная и скрытая порка произойдет для массы ресурсов в Сети, а ботнетики вырастут в объемах. Тем более, что 14 февраля на подходе, золотое время ...

php, vulnerability, the end, forecast

Aleks (05.02.2009 08:49)

напечатать

5 баллов

igosha 05.02.2009 11:04# +4

Саня, бага в самом языке PHP, в наличии этого самого "register globals".
Подчеркиваю, не в конкретной реализации, а вообще в том, что эта фича в PHP реализована.
Это огромная дыра, которая проявляется в любой пэхапэшке, которая хоть немного плюёт на безопасность. Ошибка в ДНК, так сказать, в экстремальном варианте.

http://ru.php.net/manual/ru/security.globals.php