Neue PHP-Versionen schließen Sicherheitslöcher
Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und veröffentlicht. Ein Problem mit der Speicherverwaltung können Angreifer ausnutzen, um eigenen Code einzuschleusen und auszuführen. Die Funktion strip_tags() zum Entfer
2004-07-16 00:00:00 2004-07-16 00:00:00 admin
Wenn PHP mit einer Grenze für den Speicherbedarf von Skripten läuft (memory_limit), kann ein Angreifer einen Abbruch eines Skripts an unsicheren Stellen provozieren. Das kann dazu führen, dass beliebiger Code auf dem PHP-System ausgeführt wird. Laut Esser sind alle Plattformen, auf denen PHP läuft, verwundbar, sofern sie nicht mit nichtausführbarem Stack/Heap arbeiten.
Um Cross-Site-Scripting-Angriffe zu verhindern, filtern viele Web-Entwickler Benutzereingaben mit der Funktion strip_tags(). Der Filter reagiert jedoch nicht auf Konstrukte wie <script>. Browser wie der Internet Explorer und Safari filtern dann das Zeichen '' aus dem Eingabestring und erzeugen damit ein gültiges Tag. Andere Browser wie Opera, Konqueror und Mozilla/Firefox zeigen kein solches Verhalten.
heise.de
Say thank you!
You like the article and want to thank the author? Send him an amount of your choice.
Say thanks!
Ratings
Here you can write a comment
Related topics
Unix-Mailserver Qmail als Public Domain freigegeben
Qmail wurde von Dan Bernstein entwickelt, um einen sicheren Mail Transfer Agent zu bekommen. Qmail darf nun also auch in veränderter Form verbreitet werden, allerdings bittet Bernstein darum, dass vorhandene Schnittstellen auch in modifizierten Fassungen ...
Autor :
admin
Category:
Software & Web-Development
Netscape 6.1 ist da
Windows-Version bereits in deutsch verfügbar Nachdem seit Mitte Juni eine Preview-Version von Netscape 6.1 erhältlich ist, steht jetzt die fertige Fassung des Browsers zum Download bereit. http://home.netscape.com/browsers/6/index.html?cp=dow ...
Autor :
admin
Category:
Software & Web-Development
DENIC beschränkt Registrierung von Domains
Vorerst keine .de-Domains mit Bindestrichen an dritter und vierter Stelle mehr Domainnamen, die mit einer Zeichenfolge beginnen, die zukünftig zur Kennzeichnung einer Domain mit Sonderzeichen (so genannte Internationalisierte Domainnamen, IDN) die ...
Autor :
admin
Category:
Software & Web-Development
US-Senator kritisiert
Der republikanische US-Senator Chuck Grassley hat sich gegen das Programm Total Information Awareness ausgesprochen. Er befürchtet, die Privatsphäre der US-Amerikaner könne dem FBI nach und nach offenbart werden, wenn Daten über Kontobewegungen, Telefonge ...
Autor :
admin
Category:
Software & Web-Development
PC-Hersteller Nr. 1 sagt sich teilweise von Linux los: "Linux gänzlich ungeeignet"
Die Nummer eins der PC-Hersteller macht einen Rückzieher und hält das Open Source-Betriebssystem nun nicht mehr für massenkompatibel ...
Autor :
admin
Category:
Software & Web-Development
Internet Explorer setzt sich bei deutschsprachigen Surfern durch
Rund 90,8 Prozent der deutschen Web-Surfer nutzen den Internet Explorer von Microsoft. Dies hat die Unternehmensberatung Fittkau & Maaß während ihrer WWW-Benutzeranalyse W3B herausgefunden, an der 99.000 Internetnutzer teilnahmen. 7,7 Prozent der Surf ...
Autor :
admin
Category:
Software & Web-Development
