За последние 24 часа нас посетил 30471 программист и 1808 роботов. Сейчас ищут 779 программистов ...

Тестирование сайта на наличие багов и дыр

Тема в разделе "Прочие вопросы по PHP", создана пользователем Le][@, 17 окт 2006.

  1. Le][@

    Le][@ Активный пользователь

    С нами с:
    17 окт 2006
    Сообщения:
    5
    Симпатии:
    0
    Адрес:
    Тверь
    Уважаемый народ, подскажите пожайлуста "что и как" надо проверять в PHP скриптах, во избежании проблем с последующей возможностью взлома! Возможно есть какой-нибудь софт по этой теме. Буду очень благодарен за совет! :D

    P.S. web-сервер стоит на Win-платформе (windows 2003 server), если есть советы по настройке безопастности, БУДУ ТОЛЬКО РАД!

    Заранее всех благодарю!
     
  2. phpall

    phpall Активный пользователь

    С нами с:
    10 окт 2006
    Сообщения:
    45
    Симпатии:
    0
    Адрес:
    Тирасполь
    Зависит от направления скрипта, если используются SQL базы, то SQL-инъекции, если $_GET запросы то чтоб тэги не передавались и лишняя лабуда, если system() и exec(), то чтоб прав было поменьше.
     
  3. Le][@

    Le][@ Активный пользователь

    С нами с:
    17 окт 2006
    Сообщения:
    5
    Симпатии:
    0
    Адрес:
    Тверь
    Про SQL-инъекции уже исправляюсь, а вот про запросы учту, как то вылетило из головы, спасибо! Ну system() и exec() необходимости использовать не было :)

    Благодарю!
     
  4. antweb

    antweb Активный пользователь

    С нами с:
    1 сен 2006
    Сообщения:
    13
    Симпатии:
    0
    Адрес:
    Minsk
    Софт есть но он оч платный, думаю не потянешь платить по 1000$
     
  5. Le][@

    Le][@ Активный пользователь

    С нами с:
    17 окт 2006
    Сообщения:
    5
    Симпатии:
    0
    Адрес:
    Тверь
    :)

    Вообще до этого особо о безопастности скриптов как то не парился, но меня попроси (ну естественно вознаграждения пообещали) сделать сайтик, свою работу я сдела, но когда пришло время его размещать, стали возникать вопросы! У организации свой сервер, на базе W2003Server, поставили на нее Apach, MySQL 4, сайт загрузили все шуршит.....через 3 дня прихожу в эту контору, а у меня их админ интересуется, почему я не стал использовать уже готовый движок, а стал изобретать велосипед, ну объяснил (так интереснее, мол учусь, опыта нибираюсь), а он мне говорит, что проверил сайт (скрипты) на баги "через сайт уже легко можно папки сервера просматривать"...вот я и хочу узнать, что это могут быть за ошибки и возможно ли их исправить....энтузиазма просто все это на готовый движок переделывать нет....да и для жизни пригодится такая практика...а что у него какие то дорогие проги были я что-то сомневаюсь!
    Начал шерстить интернет.....успехов тоже не достиг!
     
  6. Mavir

    Mavir Guest

    Спроси у админа, раз он знает. Или хочешь узнать об ошибках у тех, кто эти скрипты ни разу в глаза не видел? ;)
     
  7. Davil

    Davil Guest

    Это если, например, указать неправильное имя скрипта. Но это правится через конфиг. Ошибки кодирования тут нет...
     
  8. Le][@

    Le][@ Активный пользователь

    С нами с:
    17 окт 2006
    Сообщения:
    5
    Симпатии:
    0
    Адрес:
    Тверь
    ???

    То есть ты хочешь сказать, что это надо безопасность сервера настраивать, а сам код здесь не причем?
     
  9. simpson

    simpson Активный пользователь

    С нами с:
    11 фев 2006
    Сообщения:
    1.650
    Симпатии:
    0
    Адрес:
    Санкт-Петербург
    Le][@
    Davil глупость сказал. не стал бы админ из-за такого называть код дырявым.
     
  10. Anonymous

    Anonymous Guest

    На самом деле, ты прав, готовый движок - не показатель качества. Собственные скрипты, к сожалению, тоже.
    <offtopic>На днях посмотрел пресловутый "Битрикс" - в принципе, неплохо... но имхо, не стоит своей цены. </offtopic>
    Зависит от метода подключения скриптов(Include-injection), методов работы с БД(SQL-injection), реализации дополнительных фенечек(XSS-атаки).
    При этом, естественно остается и опасность со стороны сервера ((Distributed)DenialOfService - (D)DoS-атаки). Это все надо учитывать. Как хорошо было написано у Геркена и Ратшиллера в книге - "В коллективе должны быть специалисты по безопасности" (с)
    Максимум, что я могу тебе посоветовать, это дать ссылку на сам сайт или исходники для просмотра. Некоторым здесь будет полезно поучится на чужих ошибках. Мы же можем попробовать найти явные уязвимости. ;)
     
  11. Davil

    Davil Guest

    Ну код я не видел. Говорить такого не буду...
    1. С тем админом ты не знаком.
    2. Я сказал то, что можно посоветовать в рассчете на нормальный код. Глупость - не глупость, а все таки я сказал истину...
     
  12. Le][@

    Le][@ Активный пользователь

    С нами с:
    17 окт 2006
    Сообщения:
    5
    Симпатии:
    0
    Адрес:
    Тверь
    !!!

    С админом не знаком, так в процессе установки общались пару раз.....вообще Apach я настраивал, честно скажу, настроил лиж бы показывал, ни времени ни желания не было, но админ сказал, что сам, если что поднастроит! Свои коды выгораживать тоже не буду, так как опыта по этому вопросу никакого!

    Про специалиста по безопасности полностью согласен, в порядочных учреждениях такие имеются.....и получают за свою работу достойно!

    Кто может помочь исходники пришлю по почте, оставте адрес.
     
  13. Anonymous

    Anonymous Guest

    эх... можешь слать на admin@creogen.org - в теме напиши, что с форума =)
    код воровать не буду, обещаю, если у тебя там не супер-технологий опередивших время на пару геологических периодов...
     
  14. Ti

    Ti Активный пользователь

    С нами с:
    3 июл 2006
    Сообщения:
    2.378
    Симпатии:
    1
    Адрес:
    d1.ru, Екатеринбург
    видимо, дафалтная индексация папок апачем
    обычно, на прямую, безопасности не вредит.
     
  15. Интересно, почему групповая фантазия остановилась исключительно на options indexes. которая, кстати, ни разу не дефолтная. то есть, её ещё надо догадаться специально включить.
    И никто не предположил гораздо более вероятного варианта, которым грешат все поголовно начинающие писатели на пхп - include
     
  16. Ti

    Ti Активный пользователь

    С нами с:
    3 июл 2006
    Сообщения:
    2.378
    Симпатии:
    1
    Адрес:
    d1.ru, Екатеринбург
    Чебурген
    мое имхо это не
    предположения о Include-injection уже промелькнули в топике не раз.
    а вот про options indexes не сказано, хотя по описанию подходит

    на apache под win по-умолчанию стоит эта опция
    туда по первой и размещают сайт
     
  17. Может, мы разные топики читаем?
    про инклюд лично я не видел, а про индексацию папок писали Davil и
    Ti

    В любом случае, очевидно, что единственный, кто автору поможет - это Горбунов Олег
    Поскольку в коде начинающих программистов обычно имеется столько дыр, что только скрупулёзный аудит всего кода опытным специалистом и сможет помочь. А никакие отдельные советы проблемы не решат.
     
  18. Anonymous

    Anonymous Guest

    я писал и про инклюд-иньекции. на первой странице.