PHP मा असुरक्षा जसले तपाईंलाई php.ini मा सेट गरिएका प्रतिबन्धहरूलाई बाइपास गर्न अनुमति दिन्छ

php.ini मा disable_functions निर्देशन र अन्य सेटिङहरू प्रयोग गरेर निर्दिष्ट प्रतिबन्धहरू PHP अनुवादकमा बाइपास गर्न एक विधि प्रकाशित गरिएको छ। हामीलाई याद गरौं कि disable_functions निर्देशनले स्क्रिप्टहरूमा केही आन्तरिक प्रकार्यहरूको प्रयोगलाई निषेध गर्न सम्भव बनाउँछ, उदाहरणका लागि, तपाइँ "system, exec, passthru, popen, proc_open र shell_exec" लाई बाह्य कार्यक्रमहरूमा कलहरू रोक्न वा निषेध गर्न fopen गर्न सक्नुहुन्छ। फाइलहरू खोल्दै।

यो उल्लेखनीय छ कि प्रस्तावित शोषणले 10 वर्ष भन्दा पहिले PHP विकासकर्ताहरूलाई रिपोर्ट गरिएको कमजोरी प्रयोग गर्दछ, तर तिनीहरूले यसलाई कुनै सुरक्षा प्रभाव बिना सानो समस्या माने। प्रस्तावित आक्रमण विधि प्रक्रिया मेमोरीमा प्यारामिटरहरूको मानहरू परिवर्तन गर्नमा आधारित छ र PHP 7.0 बाट सुरु हुने सबै हालको PHP रिलीजहरूमा काम गर्दछ (PHP 5.x मा पनि आक्रमण सम्भव छ, तर यसका लागि शोषणमा परिवर्तनहरू आवश्यक छ)। । शोषण डेबियन, Ubuntu, CentOS र FreeBSD को विभिन्न कन्फिगरेसनहरूमा PHP सँग cli, fpm र apache2 को लागि मोड्युलको रूपमा परीक्षण गरिएको छ।

स्रोत: opennet.ru