Уязвимость сайта после вставки кода sape

[a112]

Ога, уязвимость не в сапе, а в самом двиге(или возможно в хостинге).

[DenB]

Не в движке уязвимость, а в ДНК у человека, настраивавшего хостинг. Если гет-запросом можно перебить переменную окружения веб сервера, то это однозначный говнохостинг и бежать с него нужно без оглядки!

[Shema]

Atomic, Ank, про то, что говнохостинг есть говнохостинг вопросов нет. То, что движок написан не пойми как, что требует разрешения глобальных переменных и более того позволяет повлиять на свою функциональность переопределением $_SERVER['DOCUMENT_ROOT'] тоже очень плохо. НО я только говорю, что если в такой говнодвижок на таком говнохостинге поставить sape, то через такой говносайт можно творить, что попало, например, рассылать спам или DoS'ить.

Изменив одну строчку в коде-вставке sape, появление такой уязвимости можно не допустить. Я ни в чём не обвиняю sape, просто говорю, как можно чуть улучшить безопасность. Даже если говнохостинг и говнодвижок достались 0.1% клиентов sape, это всё равно тысячи сайтов... почему бы чуть не облегчить им жизнь?

[Последний Герой]

Сообщение от Shema

Изменив одну строчку в коде-вставке sape, появление такой уязвимости можно не допустить.

найдется движок который из URI выполняет putenv, с ним как быть?

[drak]

Сообщение от Shema

dark, уходить с хостинга - вариант, переписать движок - тоже вариант (нормально написанный движок и нормально настроенный хостинг такой уязвимости не должны допустить), но если изменить в коде сапы одну строчку, то без потери функциональности проблемы можно избежать (кмк) на любом движке и на любом хостинге.

меня DraK зовут =)
хостер должен заботиться о регистер глобалс, это неоспоримо.

[aweksa]

Хостинг можете озвучить?

[Последний Герой]

Сообщение от drak

хостер должен заботиться о регистер глобалс, это неоспоримо.

программист не должен обращаться в коде к заведомо не проинициализированным переменным, подразумевая равными их нулю. он должен в самом начале кода присвоить всем переменным значения, в том числе, которые должны быть нулю. тогда и регистер глобалс не страшен.

[cataev]

гы.
да положите сапу в любую папку и делайте так
<?php
if (!defined('_SAPE_USER')){
define('_SAPE_USER', 'd56b17c1d94442b8874c6ad44aae3202');
}
require_once('путь/к/папке/куда/вы/положили/код/сапы/sape.php');
$sape = new SAPE_client();
?>
или напишите в .htaccess
php_value register_globals 0

и вообще, где вы нашли такой "прекрасный" хостинг?

Добавлено через 2 минуты
Shema, зачем облегчать жизнь идиотам?

[Ank]

Сообщение от Shema

сли в такой говнодвижок на таком говнохостинге поставить sape

да при чем тут сапа то? Именно она включает говно в мозгу хостинговладельца и двигоклепателя?
И писал уже я и cataev и еще помоему - ну не пользуйте $_SERVER['DOCUMENT_ROOT'].
Дыру это НЕ закроет. Сломать такой "хостинг" можно и БЕЗ сапы.

[bubblegum]

Авторитетно заявляю (с)
Такая уязвимость возникает при использовании в скрипте вызова фунции extract($_GET) или extract($_REQUEST). Это способ зарегистрировать глобалсы, если скрипт разработан для включенных глобалсов, а на сервере они отключены. При этом значение переменной $_SERVER['DOCUMENT_ROOT'] перекрывает значением извлеченным из $_GET. Безопасным способом использования extract является вызов с параметром extract_type = extr_skip
extract($_GET,extr_skip)