Hijacking Apache https через mod_php

щас будем хвалить php :)

You should see the "You're owned" message.

This was tested on a fully up2date Red Hat 8.0 & 9 system.

Ну и кто этот apache2 использует ?

kernel.org например

Про апач:
Второй апач нет резона пользовать только в двух случаях: или сервер отдаёт пару простеньких страничек на однопроцессорной машине, или админ двинулся на консерватизме (второй случай клинический, обсуждать ни к чему, изолировать его надо, заняв любовной пересборкой ядра 2.0.х).

На серверах с большим количеством контента, особенно многопроцессорных apache2 рулит. Успешно.

Про експлоит:
Сначала долго собирап небрежно написанный код, собрал, поставил, ничего не увидел.
Видать хреново апач или РНР собрал :)

З.Ы.: Система давненько не апдейтилась :)
З.З.Ы: О! Займусь-ка...

Про апач: Второй апач нет резона пользовать только в двух случаях: или сервер отдаёт пару простеньких страничек на однопроцессорной машине, или админ двинулся на консерватизме (второй случай клинический, обсуждать ни к чему, изолировать его надо, заняв любовной пересборкой ядра 2.0.х).

На серверах с большим количеством контента, особенно многопроцессорных apache2 рулит. Успешно.

Про експлоит: Сначала долго собирап небрежно написанный код, собрал, поставил, ничего не увидел. Видать хреново апач или РНР собрал :)

З.Ы.: Система давненько не апдейтилась :) З.З.Ы: О! Займусь-ка...

а что? второй апач уже через xinetd умеет запускаться???

А почему никто не сказал, что использование mod_php с apache2 - еще в экспериментальной стадии, согласно словам разработчиков?

А вообще у меня php-скрипты запускаются Апачем 2.0.47 как CGI через binfmt_misc (дополнительное преимущество: с ними работает suexec). Так что еще непонятно, касается ли уязвимость меня.

> щас будем хвалить php :)

на*** его хвалить? юзай cgi!

P.S. Удоды, которые юзают php в связке с Apache 2.0 достойны сожаления...

Всему своё место. :-))

Саныч, ты откуда новости по секурити черпаешь?

Месье знает толк в извращениях :-))

Dimez===Crazy@phpclub.net?

Из ящика :)

Еще один сюрпрайз

php-ping: Executing arbritary commands

Security-Risk: high - very high

Remote-Exploit: Yes

Вызов system() без фильтрации

http://www.securityfocus.com/archive/1/348451/2003-12-27/2004-01-02/0

Для месье анонимоуса существование списка рассылки BUGTRAQ является
божественным откровением? ;)

> anonymous (*) (30.12.2003 10:38:59) > P.S. Удоды, которые юзают php в связке с Apache 2.0 достойны сожаления...

У меня есть опыт. Несколько сайтов. Около 3000 посещений в день на самом серьёзном.

А у Вас опыт есть? Или одни амбиции? Или 8======D ?

> Re: Re: Re: Hijacking Apache https через mod_php
>
> > anonymous (*) (30.12.2003 10:38:59) > P.S. Удоды, которые юзают
> php в связке с Apache 2.0 достойны сожаления... 
>
> У меня есть опыт. Несколько сайтов. Около 3000 посещений в день на > > самом серьёзном. 
>
>
> А у Вас опыт есть? Или одни амбиции? Или 8======D ?

3000 посещений в день это как мне кажется совсем не много.
Я надеюсь, что вы не считаете что ваш пример показателен?
И подойдет скажем при 45k в день?

Люди не делают простых логических ошибок в простых же ситуация.
Если кто-то поступает не так как вы, то только потому что его видение
ситуации в целом сильно отличается от вашего.

Эээх, молодёжь! :))) Хоть бы перед НГ не ссорились. На пустом месте сами же себе созлдаёте проблемы. С наступающим НГ вас всех, коллеги! Дльнейшего вам всем профессионального роста!

> Если кто-то поступает не так как вы, то только потому что его видение > ситуации в целом сильно отличается от вашего.

Безусловно.

Поэтому пост ананизмуса со словами "Удоды, которые юзают php в связке с Apache 2.0 достойны сожаления" и вызвал во мне негативные эмоции.

Я не считаю, что 3k посещений это много, но и убеждён, что смогу обеспечить эффективность связки apache2+php4 и при 100k посещений. Было бы "железо" соответствующее.

С наступающим! :-)

Apache2 рулит, конечно переходить 1.3 ветки было мучительно, но наверное оно того стоило, побольше удобств нашлось (типа приблуд к нему поменьше качать пришлось, к примеру mod_ssl)