Neue PHP-Versionen schließen Sicherheitslöcher
Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und veröffentlicht. Ein Problem mit der Speicherverwaltung können Angreifer ausnutzen, um eigenen Code einzuschleusen und auszuführen. Die Funktion strip_tags() zum Entfer
2004-07-16 00:00:00 2004-07-16 00:00:00 admin
Wenn PHP mit einer Grenze für den Speicherbedarf von Skripten läuft (memory_limit), kann ein Angreifer einen Abbruch eines Skripts an unsicheren Stellen provozieren. Das kann dazu führen, dass beliebiger Code auf dem PHP-System ausgeführt wird. Laut Esser sind alle Plattformen, auf denen PHP läuft, verwundbar, sofern sie nicht mit nichtausführbarem Stack/Heap arbeiten.
Um Cross-Site-Scripting-Angriffe zu verhindern, filtern viele Web-Entwickler Benutzereingaben mit der Funktion strip_tags(). Der Filter reagiert jedoch nicht auf Konstrukte wie <script>. Browser wie der Internet Explorer und Safari filtern dann das Zeichen '' aus dem Eingabestring und erzeugen damit ein gültiges Tag. Andere Browser wie Opera, Konqueror und Mozilla/Firefox zeigen kein solches Verhalten.
heise.de
Erfahrungen
Hier Kannst Du einen Kommentar verfassen
Verwandte Beiträge
PHP Summit – Spring
Vom 21 bis 23. März 2011 präsentiert das PHP Magazin und die Entwickler Akademie den nächsten PHP Summit ...
Autor :
admin
Kategorie:
Software & Web-Development
CIA befürchtet Angriffe aus dem Internet
Der US-Geheimdienst CIA befürchtet Cyber-Angriffe Russlands und Chinas auf die USA. Nach seinen Erkenntissen würden diese Staaten Software entwickeln, die der US-Ökonomie substantiell schaden könnte, erklärte Lawrence Gershwin, CIA-Verantwortlicher für di ...
Autor :
admin
Kategorie:
Software & Web-Development
phpMyAdmin 2.2.0rc2
Die Version von phpMyAdmin ist als Release Candidate 2 verfügbar. Optische sowie eine vereinfachte Bedinungen sind eininge der neuen Features. http://phpmyadmin.sourceforge.net/download.html ...
Autor :
admin
Kategorie:
Software & Web-Development
Microsoft gesteht Fehler in IIS5 ein
Microsoft gesteht wieder einen Fehler, den sie gemacht haben. Betroffen ist das Server-Programm Internet Information Server 5, das von Microsoft ausgeliefert wurde. Wenn die Software überlastet ist, dann öffnen sich die Sicherheitslücken und der Ha ...
Autor :
admin
Kategorie:
Software & Web-Development
Deutsche Version von Netscape 6.2.2 erhältlich
Vorerst nur Versionen für Windows und Linux verfügbar; keine MacOS-Fassung Ab sofort steht auch die deutschsprachige Version 6.2.2 von Netscape für die Plattformen Windows und Linux kostenlos zum Download bereit, nachdem die englische Version bere ...
Autor :
admin
Kategorie:
Software & Web-Development
PHP 4.3.2RC3 veröffentlicht
Dies ist das dritte und letzte Release und sollte keine kritischen Bugs und Probleme mit sich bringen. Download unter http://qa.php.net/ ...
Autor :
admin
Kategorie:
Software & Web-Development