Neue PHP-Versionen schließen Sicherheitslöcher
Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und veröffentlicht. Ein Problem mit der Speicherverwaltung können Angreifer ausnutzen, um eigenen Code einzuschleusen und auszuführen. Die Funktion strip_tags() zum Entfer
2004-07-16 00:00:00 2004-07-16 00:00:00 admin
Wenn PHP mit einer Grenze für den Speicherbedarf von Skripten läuft (memory_limit), kann ein Angreifer einen Abbruch eines Skripts an unsicheren Stellen provozieren. Das kann dazu führen, dass beliebiger Code auf dem PHP-System ausgeführt wird. Laut Esser sind alle Plattformen, auf denen PHP läuft, verwundbar, sofern sie nicht mit nichtausführbarem Stack/Heap arbeiten.
Um Cross-Site-Scripting-Angriffe zu verhindern, filtern viele Web-Entwickler Benutzereingaben mit der Funktion strip_tags(). Der Filter reagiert jedoch nicht auf Konstrukte wie <script>. Browser wie der Internet Explorer und Safari filtern dann das Zeichen '' aus dem Eingabestring und erzeugen damit ein gültiges Tag. Andere Browser wie Opera, Konqueror und Mozilla/Firefox zeigen kein solches Verhalten.
heise.de
Say thank you!
You like the article and want to thank the author? Send him an amount of your choice.
Say thanks!
Ratings
Here you can write a comment
Related topics
Linux: Das Eine-Milliarde- Sekunden-Problem
Nach dem - weitgehend ausgebliebenen - Jahr-2000-Problem droht Benutzern von Linux- und Unix-Systemen mal wieder Ärger: Am 9. September sind seit dem Start der Unix-Zeitrechnung eine Milliarde Sekunden vergangen. ...
Autor :
admin
Category:
Software & Web-Development
Webbrowser Netscape 7.02 freigegeben
Die AOL-Tochter hat die neue Version 7.02 ihres Browsers bereitgestellt. Laut den Release Notes bringt Netscape 7.02 neben neuen Flash- und Java-Plug-ins nur "verbesserte Sicherheit und Stabilität" -- neue Funktionen sind Mangelware. Ein Download steht ...
Autor :
admin
Category:
Software & Web-Development
SSH-Client PuTTY 0.61 ist da
Nach fast 4 Jahren ist PuTTY ist in der Version 0.61 erschienen. ...
Autor :
admin
Category:
Miscellaneous
MySQL-Front Version 2.2 available
-------------------------------------- Changes to the last version: -------------------------------------- New features: - Database-Tree: Fields are now displayed beyond the tables - MySQL-Errors now are displayed with a help-button, which links to ...
Autor :
admin
Category:
Software & Web-Development
Technical SEO remains relevant
Technical SEO - What is it anyway? Technical SEO refers to the optimization of the technical aspects of your website. The goal is clear! ...
Autor :
admin
Category:
SEO & Online-Marketing
Pentium 4 mit 2 GHz
Intel stellt heute offiziell den Pentium-4-Prozessor mit 2 GHz sowie den neuen Chipsatz i845 vor, der den günstigen SDRAM-Speicher unterstützt. Letzterer ermöglicht es dem Handel bereits jetzt, Pentium-4-Systeme für unter 2.000,- DM anzubieten. ...
Autor :
admin
Category:
Software & Web-Development
