Websecurity - Веб безпека

Веб девелоперів може зацікавити іструмент Selenium, призначений для тестування веб додатків (test tool for web applications). Тестування виконується в браузері, як це роблять живі люди. Даний іструмент працює в Internet Explorer, Mozilla та Firefox (а також в Opera, Safari та інших браузерах) на Windows, Linux та Mac OS X.

Дана система тестування складається з Selenium IDE, Selenium Core та Selenium Remote Control. І призначена для тестування сумісності сайта для різних браузерів (browser compatibility testing) та тестування функціонування сайта (system functional testing). Також його можна використати для проведення деяких тестів під час аудиту безпеки сайта.

Selenium підтримує велику кількість платформ - як різних браузерів, так і різних серверних мов. Зараз підтримується написання тестів на Java, .NET, Perl, Python та Ruby.

Вчора, 08.09.2007, вийшла нова версія WordPress 2.2.3 - оновлення для гілки WP 2.2.x.

WordPress 2.2.3 це секюріті та багфікс випуск для 2.2 серії. В даній версії було виправлено декілька багів та уразливостей. Зокрема була виправлена XSS уразливість (Users without unfiltered_html capability can post arbitrary html).

Усім користувачам Вордпреса (передусім гілки 2.2.x) рекомендується оновити движок до останньої версії.

Деякий час тому вийшов Invision Power Board v2.3.1, тому всім хто користується движком IPB, раджу звернути увагу на нову версію.

• Русская версия Invision Power Board 2.3.1 (деталі)

Компанія IBResource офіційно повідомляє про випуск російської версії форуму Invision Power Board v2.3.1. Ця версія містить у собі структурні зміни у вихідному коді файлів, що дозволили підвищити швидкодію системи на великих форумах.

Виправлено близько 20 помилок, а також для зменшення часу завантаження сторінки перероблений процес завантаження профілю-анкети користувача. Змінено стиль головної сторінки адмінцентра. Тепер доступ до більшості функцій і налаштувань можна одержати з першої сторінки. З’явилася інтерактивна допомога для адміністратора. Додана можливість перепризначення стилів, завдяки якій їх можна використовувати незалежно від URL що переглядається.

На днях, 30.08.2007, вийшов PHP 5.2.4, у якому виправлено більш 120 помилок, усунуто 12 проблем пов’язаних з безпекою (точніше 14, з урахуванням двох виправлень попередніх виправлень):

• Помилка виконання операції з плаваючою крапкою у функції wordwrap();
• Цілочислене переповнення в GD розширенні;
• Помилка обчислення розміру у функції chunk_split();
• Цілочислене переповнення у функціях str[c]spn();
• Помилка обробки операторів %i та %n у функції money_format();
• Проблеми з встановленням обмежень memory_limit у zend_alter_ini_entry();
• Проблеми з роботою опцій INFILE LOCAL у випадку використання розширення MySQL і включених обмежень open_basedir чи safe_mode.
• Помилка перевірки параметрів у session.save_path і error_log на предмет подпадания під ліміти open_basedir і safe_mode;
• Проблеми читання даних у функції glob() на win32 платформі;
• Переповнення буфера в php_openssl_make_REQ;
• Обхід обмежень open_basedir усередині функції glob();
• Обхід обмежень open_basedir у розширенні організуючому роботу користувацьких сесій, у випадку коли файл сесії є сімлінком.
• А також покращений фікс для MOPB-03-2007.
• Та виправлений фікс для CVE-2007-2872.

Крім того, інтегрована бібліотека PCRE обновлена до версії 7.2, у модуль pdo_pgsql додані засоби для спостереження за станом постійного (persistent) з’єднання до СУБД.

Всім користувачам рекомендується встановити останню версію PHP.

По матеріалам http://www.php.net та http://www.opennet.ru.

Вчора вийшла нова версія програми Perl Pas Interpreter v.1.3.2. В новій версії:

• Додана підтримка функцій в циклах (for).
• Додана підтримка вкладених циклів в циклах (for). До будь-якого рівня вкладеності.
• Виправлена робота оператора div.
• Покращена робота функцій arctan2 та abs з масивами (з індексом-змінною).

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Вчора, 05.08.2007, вийшли нові версії WordPress: 2.2.2 та 2.0.11 (відповідно для гілок WP 2.2.x та 2.0.x).

Дані версії є секюріті та багфікс оновленнями для гілок 2.2 та 2.0 WordPress. І вони рекомендовані для всіх користувачів Вордпреса.

В цих релізах виправлено декілька уразливостей (XSS і SQL Injection) та деякі баги. Зокрема виправлені наступні уразливості:

• Unescaped attribute (REQUEST_URI) в стандартній темі движка (для 2.0.11).
• Wordpress link-import.php Cross-Site Scripting (XSS) Vulnerability.
• Wordpress options.php SQL Injection Vulnerability.
• Sql injection blind fishing exploit.
• Wordpress uploads.php Cross-Site Scripting Vulnerability.

Вчора вийшла нова версія програми Perl Pas Interpreter v.1.3.1. В новій версії:

• Додана підтримка константи pi в операторі присвоєння.
• Додана підтримка константи pi в функціях.
• Покращена робота оператора for.
• Покращена робота функцій tan та cotan з масивами (з індексом-змінною).

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

В минулому місяці, 21.06.2007, вийшла нова версія WordPress 2.2.1 - оновлення для гілки WP 2.2.x. Раніше про це не було часу написати, зокрема тому, що в червні був зайнятий проведенням Місяця багів в Пошукових Системах.

WordPress 2.2.1 це багфікс випуск для 2.2 серії. В даній версії було виправлено чимало багів.

Головні виправлення:

• Виправлена валідація Atom стрічки.
• Виправлений XML-RPC.
• Покращена зворотня сумісність Widget.
• Виправлений макет Віджетів для IE7.
• Покращені Page та Text Widget.

Також в WP 2.2.1 виправлені наступні уразливості:

• Remote shell injection в PHPMailer.
• Remote SQL injection в XML-RPC.
• Unescaped attribute в стандартній темі движка.

Вчора вийшла нова версія програми Perl Pas Interpreter v.1.3. В новій версії:

• Додана підтримка циклів.
• Підтримується цикл for.
• Для for підтримується зростаючий (to) та спадаючий (downto) цикли.
• В операторі for підтримуються арифметичні вирази.
• Обмеження ($loop) дійсне для циклів for так само як для міток.

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Десять днів тому, 16.05.2007, вийшла нова версія WordPress 2.2 - перша версія нової гілки WP 2.2.x.

В цій версії додано безліч нових функцій (зокрема інтеграція Віджетів) та більше двох сотень виправлень багів.

Нові фішки:

• WordPress Widgets для налаштування вашого блогу (з можливістю drag-and-drop).
• Повна підтримка Atom.
• Новий імпортер Blogger.
• Нескінченний потік коментів (з використанням AJAX).
• Захист від активації плагінів чи редагування файлів, що можуть пошкодити блог.
• Оптимізована швидкість основних плагінів та фільтрів.
• Хук для підтрики WYSIWYG для наступних версій Safari.
• Та безліч інших покращень.

Нові можливості для розробників:

• Нові Вордпресовські XML-RPC APIs.
• Використання jQuery для внутрішніх функцій.
• Фіди коментарів підтримують нові формати, в тому числі Atom.
• Функція роботи з емайлом тепер використовує phpMailer (котрий підтримує SMTP).
• Налаштування collation та character set для БД у файлі конфігурації.
• Також у файлі конфігурації можна задати налаштування адреси вашого сайта та WP.
• Збільшена контекстна документація багатьох функцій движка.