Статьи из рубрики «security» RSS

Безопасность, о которой все так много говорят

Заголовки HTTP для обеспечения безопасности сайта

сайта — это бесконечная битва между веб-мастерами и хакерами. В </xssed> зарегистрировано около 40,000 сайтов, подверженных атакам . -атаки позволяют злоумышленникам красть cookie, личную информацию, взламывать аккаунты и многие другие вещи.

Существует множество способов для защиты сайта, но ни один из них не может гарантировать абсолютную безопасность. Как следствие, нужно использовать многоуровневую эшелонную зашиту для обеспечения безопасности сайта.

В данной статье будет показан один из вариантов защиты — основанный на использовании заголовков HTTP. Далее »

Автор: , опубликовано в: Безопасность, комментариев: 2
3
Янв
2011

Не удивительно, что DreamHost ломают

Сегодня мне довелось поработать на одном из серверов . На сервер был shell, что приятно облегчило работу. В свете последних событий с массовым взломом серверов было интересно посмотреть, как у них обстоят дела с безопасностью. Далее »

Автор: , опубликовано в: Безопасность, комментариев: 6
7
Дек
2010

ICS Security Fixes: исправление уязвимостей в прошлых версиях WordPress

Многие блоггеры не торопятся с обновлением , особенно когда дело касается новых релизов : по традиции, каждый новый релиз потребляет больше памяти, чем предыдущий, создаёт бóльшую нагрузку на базу и содержит новые, мало кому нужные функции :-) А еще говорят, что нельзя обновляться до версии x.y.0, нужно обязательно ждать x.y.1 :-)

Что же, доля истины во всём этом есть, но есть и одно большое НО: все эти обновления, включая новые релизы, обычно содержат важные исправления безопасности, причём иногда разработчики об этом могут не догадываться.

К сожалению, разработчики не делают бэкпорты исправлений в старые ветки, и те, кто по тем или иным соображениям остаётся на старом WordPress, остаются уязвимыми. Далее »

Автор: , опубликовано в: Безопасность, Плагины WordPress, комментариев: 28
2
Дек
2010

Все лгут

Вчера наткнулся на недокументированные функции Loader, сегодня набрёл на давний пост на форуме ionCube, где Nick Lindridge (гендиректор ionCube Ltd или кто-то в этом духе) рассказывал интересующемуся пользователю, что функции _dyuweyrj4() и _dyuweyrj4r() при вызове возвращают «жемчужины мудрости». Далее »

Автор: , опубликовано в: Zend, Безопасность, комментариев: 2
28
Окт
2010

Интересно…

Как выяснилось, у Loader есть две недокументированных настройки в ini-файле: phpd.t и phpd. Что интересно, если значение phpd отлично от единицы или On, ionCube вылетает на зашифрованных файлах.

А еще у ionCube есть несколько недокументированных функций:

  • _dyuweyrj4() — при вызове без аргументов выдаёт «умные фразы» типа Do good, reap good; do evil, reap evil. или A rat who gnaws at a cat's tail invites destruction.
  • _dyuweyrj4r() — аналогично предыдущей;
  • ioncube_loader_iversion() — возвращает версию ionCube Loader в числовом виде: XYYZZ (например, 3.3.20 будет 30320);
  • ioncube_file_not_permissioned() — судя по всему, эта функция оставлена для обратной совместимости со старыми скриптами: выдаёт ошибку вида The file %s is not permissioned for this server.
  • _il_exec() — а это очень интересная функция: просто так её не вызвать. Но именно она ответственна за выполнение зашифрованного содержимого.

Далее »

Автор: , опубликовано в: Безопасность, комментариев: 1
27
Окт
2010

Борьба с ботами-взломщиками средствами rsyslogd

В предыдущих частях статей цикла «Скажи «Нет!» взломщику» со взломщиками мы боролись при помощи связки  + : swatch проводил анализ системного журнала сообщений, iptables использовался для блокировки непрошеных гостей.

Тем не менее, используя swatch на нескольких серверах, я не могу сказать, что я полностью им доволен: слишком уж он хрупок. Завершение дочернего tail приводит к тихой гибели самого swatch, в системе могут оставаться зомби и т.п.

Одна из альтернатив — использование . Далее »

Автор: , опубликовано в: Администрирование, Безопасность, комментариев: 7
21
Апр
2010

Серьёзная уязвимость в osCommerce 2.2 RC 2a

Сегодня один из моих клиентов пожаловался, что его online-магазин (на базе ) в очередной раз взломали и записали закодированный файл q_boot. в каталог images. Хотя с osCommerce я сталкивался только один раз в жизни (подчищал вирус наподобие этого), меня этот случай очень заинтересовал: , которая позволяет злоумышленнику залить на сервер произвольный файл — это очень серьёзно. Далее »

Автор: , опубликовано в: Безопасность, комментариев: 14
18
Дек
2009

Скажи «Нет!» взломщику: часть 2

Продолжение статьи Скажи «Нет!» взломщику.

Прошлый раз мы использовали swatch и iptables для защиты от нехороших ботов, пытающихся сделать наш компьютер частью ботнета. У приведённого способа был существенный недостаток: IP-адреса блокировались навсегда. Это плохо, так как IP-адреса можно подделывать.

Tamdiu discendum est, quamdiu vivas, поэтому сегодня рассмотрим вариант с блокированием атакующего на заданный промежуток времени. Далее »

Автор: , опубликовано в: Linux, Безопасность, комментариев: 2
8
Дек
2009

Безопасный логин в WordPress с использованием nginx

, начиная с версии 2.6, имеет улучшенную поддержку работы с .

У администратора есть две возможности:

  1. Использование HTTPS для работы в панели управления (wp-admin).
  2. Использование HTTPS только для входа в систему.

Первое достигается путём добавления строки

[-]
View Code PHP
define('FORCE_SSL_ADMIN', true);

в wp-config., второе — путём добавления строки

[-]
View Code PHP
define('FORCE_SSL_LOGIN', true);

Добавляем одну из этих двух строк в wp-config.php и проблема решена? Но в действительности всё не так, как на самом деле :-)
Далее »

Автор: , опубликовано в: nginx, WordPress, Безопасность, комментариев: 5
5
Дек
2009

Простой DoS для PHP

Копался сегодня во внутренностях , и обнаружил такую вещь: функция zend_hash_sort() (она вызывается из функций типа usort() и прочих) сортирует не сам массив (в терминах ), а массив (в терминах языка C) указателей на элементы массива (в терминах ), а потом по отсортированному C-массиву пересоздаёт PHP-массив. Далее »

Автор: , опубликовано в: PHP, Безопасность, комментариев: 3
19
Окт
2009
«
»