Neue PHP-Versionen schließen Sicherheitslöcher
Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und veröffentlicht. Ein Problem mit der Speicherverwaltung können Angreifer ausnutzen, um eigenen Code einzuschleusen und auszuführen. Die Funktion strip_tags() zum Entfer
2004-07-16 00:00:00 2004-07-16 00:00:00 admin
Wenn PHP mit einer Grenze für den Speicherbedarf von Skripten läuft (memory_limit), kann ein Angreifer einen Abbruch eines Skripts an unsicheren Stellen provozieren. Das kann dazu führen, dass beliebiger Code auf dem PHP-System ausgeführt wird. Laut Esser sind alle Plattformen, auf denen PHP läuft, verwundbar, sofern sie nicht mit nichtausführbarem Stack/Heap arbeiten.
Um Cross-Site-Scripting-Angriffe zu verhindern, filtern viele Web-Entwickler Benutzereingaben mit der Funktion strip_tags(). Der Filter reagiert jedoch nicht auf Konstrukte wie <script>. Browser wie der Internet Explorer und Safari filtern dann das Zeichen '' aus dem Eingabestring und erzeugen damit ein gültiges Tag. Andere Browser wie Opera, Konqueror und Mozilla/Firefox zeigen kein solches Verhalten.
heise.de
Say thank you!
You like the article and want to thank the author? Send him an amount of your choice.
Say thanks!
Ratings
Here you can write a comment
Related topics
Google kommt nach Deutschland
Verkaufsniederlassung in Hamburg eröffnet Die Suchmaschine Google eröffnet heute eine Verkaufsniederlassung in Hamburg, um Werbetreibenden aus Deutschland, Österreich und der Schweiz ihr zielgruppenspezifisches Anzeigenprogramm "Premium Sponsorships" a ...
Autor :
admin
Category:
Software & Web-Development
PHP 5.2.11 entfernt 75 Fehler
Die PHP Version 5.2.11 steht zum download bereit. Die aktuelle Version beseitigt Sicherheitslücken und einige Bugs. ...
Autor :
admin
Category:
Software & Web-Development
Wrox spricht deutsch - deutsche PHP-Mailinglisten bei P2P
P2P (http://p2p.wrox.com?mid0131), die Programmierer-Community von Wrox Press, bietet nun auch für deutschsprachige Anwender spezielle Listen an. P2P - Programmer to Programmer - ist ein List-Server mit einer Reihe von speziellen Mailinglisten, in dene ...
Autor :
admin
Category:
Software & Web-Development
KDE 2.2.2 fertig
Das KDE Team hat mit KDE 2.2.2 ein weiteres Minor-Update für KDE 2.2 veröffentlicht. Das neue Release enthält nur wenige neue Funktionen, sondern beschränkt sich auf Bugfixes und eine leicht gesteigerte Performance. Neue Funktionen wird erst KDE 3 wieder ...
Autor :
admin
Category:
Software & Web-Development
Veranstaltungsankündigung für 22.02.2007
Am Donnerstag, 22.02.2007, findet in der Lehmanns Fachbuchhandlung in Berlin-Charlottenburg ein Vortrag und eine Buchvorstellung des Bestseller-Autorenteams Matthias Kannengiesser und Caroline Kannengiesser zum Thema Durchstarten mit "Objektorientierter P ...
Autor :
admin
Category:
Software & Web-Development
Hacker nehmen X-Box auseinander
Einige Hacker probieren weltweit, Informationen über die X-Box herauszufinden, um Lücken bekanntzugeben und Verbesserungsvorschläge zu machen. So konnten zum Beispiel DVD-Laufwerk und Festplatte über das schnellere ATA-100 Kabel verbunden werden. Da ...
Autor :
admin
Category:
Software & Web-Development
