[es] - Sigurnost php skripti i php web aplikacija

Nemanja Avramović
PHP developer, Webinsane
Mladenovac, Srbija

Moderator
Član broj: 32202
Poruke: 3996
77.46.192.*

ICQ: 266136396
Sajt: www.avramovic.info

Profil

Re: Sigurnost php skripti i php web aplikacija

^{18.07.2008. u 18:23}

Uglavnom od iskustva programera i korišćenih serverskih aplikacija.

Što se samog PHP-a tiče (mada ne možeš posmatrati samo na osnovu PHP-a), ako koristiš novije verzije, onda su aplikacije prilično sigurne.

Moj sajt. Moj blog. Moj avatar. Moj grad. Moja frizura.

_{[NE PRUŽAM PODRŠKU ZA PHP PREKO PRIVATNIH PORUKA!]}

^{18.07.2008. u 18:23}

japan

Član broj: 34328
Poruke: 397
*.bvcom.net.

Profil

Re: Sigurnost php skripti i php web aplikacija

^{18.07.2008. u 18:29}

pitanje je toliko uopšteno da jednostavno ne možeš da očekuješ bilo kakav smisleniji odgovor... možda ne bi bilo loše da probaš da konkretizuješ. ovako, jedini odgovor može da bude da je sigurnost aplikacije obrnuto srazmerna broju sigurnosnih propusta u toj aplikaciji ;)

^{18.07.2008. u 18:29}

Nemanja Avramović
PHP developer, Webinsane
Mladenovac, Srbija

Moderator
Član broj: 32202
Poruke: 3996
77.46.192.*

ICQ: 266136396
Sajt: www.avramovic.info

Profil

Re: Sigurnost php skripti i php web aplikacija

^{18.07.2008. u 18:34}

Apsolutno se slažem.

Moj sajt. Moj blog. Moj avatar. Moj grad. Moja frizura.

_{[NE PRUŽAM PODRŠKU ZA PHP PREKO PRIVATNIH PORUKA!]}

^{18.07.2008. u 18:34}

MarkoBalkan

Član broj: 141124
Poruke: 844
78.134.136.*

Profil

Re: Sigurnost php skripti i php web aplikacija

^{18.07.2008. u 18:54}

sigurnost od napda hakera.

^{18.07.2008. u 18:54}

peromalosutra
Ivan Rajkovic
PHP/MySQL programmer, Ogosense
Banjaluka

Član broj: 54774
Poruke: 432
*.teol.net.

Jabber: peromalosutra@elitesecurity.org
Sajt: computer-stuff.freehostia..

Profil

Re: Sigurnost php skripti i php web aplikacija

^{18.07.2008. u 19:07}

A šta ti podrazumjevaš pod pojmom "haker". Neće svakako sekretarica u kancelariji da ti ubaci MySQL injection, ili odradi xss. Tako da kao da opet nisi ništa rekao.
Čini mi se da ti pitaš može li šta poći po zlu ako je sve odrađeno kako treba.
Jedina stvar koja mi trenutno pada na pamet u tom slučaju je da pukne php na serveru pa ti server ponudi file sa kodom na download. Ne znam kako se ovo rješava, mada to opet nije problem konkretnog php-a, vec cijele implementacije.

ivan@ivan-desktop:~$ ./encrypt.run
*** stack smashing detected ***: ./encrypt.run terminated
Aborted (core dumped)

^{18.07.2008. u 19:07}

MarkoBalkan

Član broj: 141124
Poruke: 844
78.134.136.*

Profil

Re: Sigurnost php skripti i php web aplikacija

^{18.07.2008. u 19:29}

recimo imam neku aplikaciju tipa web shop.

dali je moguće razbiti aplikaciju ili provaliti u bazu ili da hakeri s hakeriraju sajt itd...

^{18.07.2008. u 19:29}

Nemanja Avramović
PHP developer, Webinsane
Mladenovac, Srbija

Moderator
Član broj: 32202
Poruke: 3996
77.46.192.*

ICQ: 266136396
Sajt: www.avramovic.info

Profil

Re: Sigurnost php skripti i php web aplikacija

^{18.07.2008. u 19:43}

Sve to zavisi od mnogo faktora. Generalno - moguće je. Ako web aplikaciju pravi neko ko ume da ih pravi, i ako server podešava server administrator koji ume da podešava servere - šanse za to su manje. I to nema veze sa PHPom, tako ti je kod svih platformi.

Moj sajt. Moj blog. Moj avatar. Moj grad. Moja frizura.

_{[NE PRUŽAM PODRŠKU ZA PHP PREKO PRIVATNIH PORUKA!]}

^{18.07.2008. u 19:43}

Miroslav Ćurčić
ex mVeliki
Novi Sad

Član broj: 19034
Poruke: 744
*.adsl.beotel.net.

Profil

Re: Sigurnost php skripti i php web aplikacija

^{18.07.2008. u 22:35}

Kao i u životu, apsolutna bezbednost ne postoji.

Možeš se truditi oko "Sigurnost php skripti i php web aplikacija" koliko hoćeš,
ali uvek će se naći neki zaobilazni način.

Na primer, ako je deljen hosting, moguće je pronaći jednu slabo zaštićenu aplikaciju (nebitno jel php, asp, pajton) i kroz nju u nekim slučajevima dopreti do drugih deljenih hostinga ili baza.
Takođe ni Apač nije savršen, moguće je iskoristiti njegove slabosti da bi nekom sajtu došao "s leđa".
I slično, a sve su to stvari na koje ne možeš da utičeš.

Ono što ljudi načešće rade kod nas kad imaju web prodavnicu je da narudžbe preko sajta procesuiraju još jednom "ručno", tj. pregledaju narudžbenicu i sumu, pošalju email kupcu da potvrde narudžbu i broj računa i iznos koji treba da uplate, pa čekaju na uplatu da bi mu poslali robu.

_{"The quieter you become, the more you are able to hear."}

^{18.07.2008. u 22:35}

1r0nM4n
Nenad Vasić
Web Developer
Beograd

Član broj: 55970
Poruke: 438
*.artcommunication.co.yu.

ICQ: 303614173
Sajt: www.irondev.net

Profil

Re: Sigurnost php skripti i php web aplikacija

^{19.07.2008. u 01:10}

Citat:

Na primer, ako je deljen hosting, moguće je pronaći jednu slabo zaštićenu aplikaciju (nebitno jel php, asp, pajton) i kroz nju u nekim slučajevima dopreti do drugih deljenih hostinga ili baza.

PHP ima opciju open_basedir kojom se ova vrsta problema rešava.

Citat:

Nemanja Avramović:ako server podešava server administrator koji ume da podešava servere - šanse za to su manje. I to nema veze sa PHPom, tako ti je kod svih platformi.

Kao što Nemanja reče, ako je sve lepo podešeno, šanse za ovo...

Citat:

ali uvek će se naći neki zaobilazni način.

... Su mnogo, mnogo, manje...

Kursna Lista

^{19.07.2008. u 01:10}

NikolaVeber
NikolaVeber
neradnik na porodiljskom bolovanju
Karlsruhe

Član broj: 5115
Poruke: 1253
*.pools.arcor-ip.net.

Jabber: nikolaveber@jabber.org
ICQ: 121532865

Profil

Re: Sigurnost php skripti i php web aplikacija

^{19.07.2008. u 12:28}

Posmatraj analogiju sa automobilima:

Tvoje pitanje bi glasilo ovako nekako: "Koliko je sigurna voznja Juga"

Voznja zavisi od nekoliko faktora:
- sposobnost i iskustvo vozaca (programer)
- ispravnost i tehnicke karakteristike vozila (platforma)

Kao i kod automobila, postoje razlike kod platformi (posto pitanje kao da poziva na predlaganje alternativa ako PHP nije siguran). Neki automobili cine pravljenje greske laksim (nabudzeni jugo od 120 konja, ali sa istim kocnicama koje je imao i dok je imao 45 konja), dok neki drugi inherentno diktiraju drugaciji pristup voznji (recimo neki tromiji volvo, ili neka slicna "ladja").

Naravno, moguce je sasvim sigurno voziti juga, i divljati u volvou. Pritom, oprezna i savesna voznja jugom ne garantuje da te nece pokupiti neki sleper i pretvoriti u gomilu presovanog gvozdja (tehnologije od kojih tvoja aplikacija zavisi: apache, baza, frameworkovi..). Isto tako, nije iskljuceno da ti mladji brat nece drpiti kljuceve i slupati kola na nagovor loseg drustva (social engineering).

Toliko od mene.

Pop Servis "Paradise Tours"
Java User Group Karlsruhe
IT Dan - Srbija

Officer, I saw the driver who hit me - his name was Johnny Walker.

^{19.07.2008. u 12:28}

Ivan.Markovic

Član broj: 97763
Poruke: 188
212.200.200.*

Sajt: www.security-net.biz

Profil

Re: Sigurnost php skripti i php web aplikacija

^{21.07.2008. u 10:56}

Citat:

1r0nM4n:PHP ima opciju open_basedir kojom se ova vrsta problema rešava.

Ne bas uvek ;) http://www.frsirt.com/english/advisories/2005/1862

| Security Net Lab || Zastita.com |

^{21.07.2008. u 10:56}

Miroslav Ćurčić
ex mVeliki
Novi Sad

Član broj: 19034
Poruke: 744
*.adsl.beotel.net.

Profil

Re: Sigurnost php skripti i php web aplikacija

^{21.07.2008. u 12:41}

Citat:

PHP ima opciju open_basedir kojom se ova vrsta problema rešava.

Nisam mislio na taj, trivijalan pristup.
Mislio sam da napadač iskoristi loše napisan skript i sistemske bagove da bi sišao na nivo fajl sistema.

_{"The quieter you become, the more you are able to hear."}

^{21.07.2008. u 12:41}

MarkoBalkan

Član broj: 141124
Poruke: 844
78.134.142.*

Profil

Re: Sigurnost php skripti i php web aplikacija

^{22.07.2008. u 17:30}

a šta je s online kladionice?

^{22.07.2008. u 17:30}

Nemanja Avramović
PHP developer, Webinsane
Mladenovac, Srbija

Moderator
Član broj: 32202
Poruke: 3996
79.101.70.*

ICQ: 266136396
Sajt: www.avramovic.info

Profil

Re: Sigurnost php skripti i php web aplikacija

^{22.07.2008. u 17:46}

Šta sa njima?

Moj sajt. Moj blog. Moj avatar. Moj grad. Moja frizura.

_{[NE PRUŽAM PODRŠKU ZA PHP PREKO PRIVATNIH PORUKA!]}

^{22.07.2008. u 17:46}

dakipro
Dalibor Jovic
PHP Developer, SMDesign, Ciplex
Novi Sad

Moderator
Član broj: 31848
Poruke: 871
*.dynamic.sbb.rs.

Profil

Re: Sigurnost php skripti i php web aplikacija

^{22.07.2008. u 17:49}

A sta sa njima?
Jesi li ti uopste citao date odgovore do sada??
Znaj da treba postaviti smisleno pitanje da bi dobio smislene odgovore inace je ovakvo kuckanje besmisleno.

^{22.07.2008. u 17:49}