Через что дефэйсят сайты ?

основной причиной являются кривые руки администраторов

поподробнее пожалуйста ... в каком месте эти руки кривы ? в месте апдейтов софта ?

Поправочка: пхп-кодеров.

Поправочка: пхп-кодеров и криворуких админов.

XSS

примеры из личного опыта приведите кто-нибудь ...

wtf ?

Cross-Site-Scripting

спасибо, почитаем ...

Было дело, когда mnogosearch.org через дыру в CVS "подрихтовали".

неее ребята XSS да, очень большая проблемма, но сайты дефейсят в основном изза PHP-Injection; SQL-Injection; или ***кого админа который не знает что нада дефаултные пароли менять, хотя нет через XSS (он же CSS) можно тоже добится больших успехов (тут всё зависет от админа).

Для CSS требуются исходники системы (популярные opensource-системы типа phpbb, phpnuke и прочая), а для иньекций - не обязательно. Вот и всё отличие, если не ошибаюсь...

и не то ,да и не другое, конечно лудше когда есть исходники под рукой, но часто какраз они находятся методом тыка, так же и пхп-инклуд.

Сайты дефейсят через фотошоп. Рисуют в нём задницу и дефейсят.

нло нет,есть фотожаба =)

мдя, XSS, межсайтовый скриптинг упомянули... а как же SQL-Injection? или я пропустил и упоминалось уже? так вот, имхо основная причина таки - кривизна рук даже не админов, а разработчиков cgi- и php- скриптов, позволяющих этот самый SQL Injection.

http://www.linux.org.ru/profile/djung/view-message.jsp?msgid=1586417#1586653

всё было упомянуто =)

Мсье всё напутал. Описаным им способом не дефэйсят а дефлорируют.

>Сайты дефейсят через фотошоп. Рисуют в нём задницу и дефейсят.

гы , этот метод назовём Фотожоп-Констрашн.

профтыкал :)

еще есть "админы", которые после установки готового движка, того же РНРВВ, забывают удалить инстал-файл :) тут уже вины рнр-кодеров нет как не крути :)

Есть мнение, что сам вот этот инсталл-файл мог придумать только человек без малейших, даже зачаточных представлений о безопасности. Хотя да, README читать некоторым не помешало бы при установке. Но я лично чаще наблюдаю банальную кривизну скриптов (полное доверие к юзерскому вводу и так далее).

и главное, что в том же пыхпыхе есть куча функций для безопасности... те же strip_tags, strip_slashes, etc...

Ну, извините меня, всё же слова "PHP" и "безопасность" мне как-то странно видеть вместе. :)

>еще есть "админы", которые после установки готового движка, того же РНРВВ, забывают удалить инстал-файл :)

Странно, но почему-то после установки того же YaBB, даже если ты и не удалишь инсталл-файл, работать он уже не будет. Если оно не так в PhpBB, может, быдло-php-кодеры тоже виноваты? Если делаешь софту, частью потребителей которой являются идиоты, будь добр присобачить защиту от этих самых идиотов...

> и главное, что в том же пыхпыхе есть куча функций для безопасности... те же strip_tags, strip_slashes, etc...

Решение через жопу.

если руки не из /dev/ass то с PHP можно очень хороший ,а также безопасный движок зделать.безопасный толЭко со стороны ПХП , а не с быдло админами и юзерами.

В самом по себе PHP слишком часто находят critical дыры, собственно каждая новая версия затыкает как минимум одну в предыдущей. Пусть у тебя всё написано просто идеально, о какой безопасности может идти речь?

А грамотный php-код видел, да. Удивился. Подтверждаю, оно встречается в природе. :) Только это ничего не меняет.

если вам не будет трудно, тыкните пальцем мне на одну из тех уязвимостей, с помощью которой я смогу получить роота или хотябы вебшелл на машине, без пхпинкудов и прочего, я такого не видел.

как уже сказал если код грамотен, то повысить какимлибо образом свой права имхо нереально трудно иммено через ПыхПых

Если ты грамотен, то и на асме можно неплохой CGI скрипт забубенить. Всё-таки массовый продукт должен допускать намного меньше возможностей для проявления безграмотности. Вон, ucw, как не настраивай, всё равно либо конфетка либо вообще не пашет. И это правильно.

>классифицируйте тип php ошибки который приводит к уязвимости

Основной ошибкой в php скриптах, является использование php в качестве языка программирование

если посмотреть то sql инъекция встречается как и в асп или перл и етц.

может вспомним старую багу CGI? нульбайт? вот это уже и вправду ЖЕСТЬ, а вот что касается пхп такого ,что то не припомню!

>если посмотреть то sql инъекция встречается как и в асп или перл и етц.

plain text c оператором который переписывает контент по запросу пользователя наше всио

Простейший и тупейший способ:

http://miguel-0.narod.ru/urody/

прикол понял, но лучше бы ты эту паыосную беспредметную перепалку убрал и оставил только технический аспект.

ЗЫ кто нибудь знает жаба библиотеки которые чистят (x)html от скриптов ?