Websecurity - Веб безпека

Завершується Місяць багів в PHP, вчора відбувся останній день акції. І Стефан Ессер продовжив інформувати про діри в безпеці PHP.

Як повідомляється на офіційному сайті Month of PHP Bugs, учора, на тридцять перший день були упобліковані деталі про сім уразливостей в PHP! На останній день свого проекту MOPB, Стефан видав по максимуму нової інформації про баги в PHP. 7 дір в безпеці за один день - це найбільший показник за весь час проведення MOPB . На останок вирішив задати жару.

• PHP printf() Family 64 Bit Casting Vulnerabilities (деталі)
• PHP str_replace() Memory Allocation Integer Overflow Vulnerability (деталі)
• PHP imap_mail_compose() Boundary Stack Buffer Overflow Vulnerability (деталі)
• PHP 5 sqlite_udf_decode_binary() Buffer Overflow Vulnerability (деталі)
• PHP 5 php_stream_filter_create() Off By One Vulnerablity (деталі)
• PHP msg_receive() Memory Allocation Integer Overflow Vulnerabilty (деталі)
• PHP 5.2.0 Memory Manager Signed Comparision Vulnerability (деталі)

Тридцять перший день Місяця багів в PHP видався дуже спекотним і цікавим. Та й увесь Місяць багів в PHP вийшов доволі цікавим проектом, котрий став головною подією березня .

Всього в MOPB було опубліковано 44 баги (і чимало PoC/експлоітів для них). Сподіваюся, що рівень безпеки PHP серйозно покращеться після проведення даної акції.

З проектом Місяць багів в PHP ви вже знайомі - про нього я пишу цілий місяць , тому мусили чути про нього. Цей проект проходив у березні. А також могли чути про поредні місяці багів, такі як Month of Apple Bugs (у січні), а також минулорічні проекти Month of Kernel Bugs та Month of Browser Bugs.

Так от, деякий час тому, був анонсований новий проект - Місяць багів в MySpace. Як повідомляє RSnake в пості Month of MySpace Bugs. Цей проект запланований на квітень! Так що вже скоро - з завтрашнього дня почну публікувати інформацію про перебіг цього заходу.

Основна мета цього місяця багів, яку собі поставили його засновники Mondo Armando та Mustachio - це публікація щоденно, на протязі місяця, багів в відомому порталі MySpace. Можете ознайомитися з офіційним анонсом цього заходу - OFFICIAL ANNOUNCEMENT: April 2007 is the Month of Myspace Bugs, Yuss!. Квітень передбачається доволі спекотним.

До речі, я сам вже давно планую провести власний Місяць бігів. Над цим думаю з початку березня, тому очікуйте на нові й цікаві місяці багів . Враховуючи, що квітень вже зайнятий Місяцем бігів в MySpace, то буду планувати свій проект на травень. Очікуйте на офіційний анонс про цю подію.

Триває Місяць багів в PHP. І відомий експерт Стефан Ессер продовжує інформувати про діри в безпеці PHP.

Як повідомляється на офіційному сайті Month of PHP Bugs, учора, на тридцятий день були упобліковані деталі про одну уразливість в PHP.

• PHP iptcembed() Interruption Information Leak Vulnerability (деталі), експлоіт: MOPB-37-2007.php

Тридцятий день Місяця багів в PHP видався цікавим. Чекаємо на наступний день багів.

Триває Місяць багів в PHP. І Стефан Ессер продовжує інформувати про діри в безпеці PHP.

Як повідомляється на офіційному сайті Month of PHP Bugs, учора, на двадцять дев’ятий день були упобліковані деталі про одну уразливість в PHP.

• PHP session.save_path open_basedir Bypass Vulnerability (деталі)

Двадцять дев’ятий день Місяця багів в PHP видався цікавим. Чекаємо, що Стефан приготував нам на наступний день багів.

Триває Місяць багів в PHP. І Стефан Ессер продовжує інформувати про діри в безпеці PHP.

Як повідомляється на офіційному сайті Month of PHP Bugs, учора, на двадцять восьмий день були упобліковані деталі про одну уразливість в PHP.

• PHP 4 zip_entry_read() Integer Overflow Vulnerability (деталі), експлоіт: MOPB-35-2007.php, x.zip

Двадцять восьмий день Місяця багів в PHP видався цікавим і спекотним. Чекаємо на наступний день багів.

Пропоную вам подивитися один цікавий і корисний для хакерів і фахівців з безпеки відеролик про хакінг бездротової мережі за допомогою KisMac.

Hacking wireless networks with KisMac

В цьому ролику йдеться про взлом пароля в бездротовій мережі за допомогою програми KisMac під Mac OS (лише за біля 10 хвилин був взломаний WEP). І це є нагадування про те, що за безпекою потрібно слідкувати.

Триває Місяць багів в PHP. І Стефан Ессер продовжує інформувати про діри в безпеці PHP.

Як повідомляється на офіційному сайті Month of PHP Bugs, учора, на двадцять сьомий день були упобліковані деталі про одну уразливість в PHP.

• PHP mail() Header Injection Through Subject and To Parameters (деталі)

Двадцять сьомий день Місяця багів в PHP видався цікавим. Чекаємо, що Стефан приготував нам на наступний день багів.

Триває Місяць багів в PHP. І Стефан Ессер продовжує інформувати про діри в безпеці PHP.

Як повідомляється на офіційному сайті Month of PHP Bugs, учора, на двадцять шостий день були упобліковані деталі про одну уразливість в PHP.

• PHP mail() Message ASCIIZ Byte Truncation (деталі)

Двадцять шостий день Місяця багів в PHP видався цікавим. Чекаємо на наступний день багів.

Продовжуючи тему експлоітів для PHP, пропоную вам наступну добірку есплоітів.

Це також експлоіти для PHP, що не ввійшли до Місяця багів в PHP. Але вони як раз з’явилися в березні та їх автори намагаються таким чином зі своєї сторони приєднатися до MOPB і вплинути на підвищення рівня безпеки PHP.

• PHP 4.4.6 snmpget() object id Local Buffer Overflow Exploit PoC (деталі)
• PHP 4.4.6 cpdf_open() Local Source Code Discslosure PoC (деталі)
• PHP <= 4.4.6 ibase_connect() Local Buffer Overflow Exploit (деталі)

Триває Місяць багів в PHP. І Стефан Ессер продовжує інформувати про діри в безпеці PHP.

Як повідомляється на офіційному сайті Month of PHP Bugs, учора, на двадцять п’ятий день були упобліковані деталі про одну уразливість в PHP.

• PHP 4.4.5/4.4.6 session_decode() Double Free Vulnerability (деталі), експлоіт: MOPB-32-2007.php

Двадцять п’ятий день Місяця багів в PHP видався цікавим. Чекаємо, що Стефан приготував нам на сьогодні.