>> похоже, скоро этот deforum.ru скоро сдохнет ;)

> Похоже скоро весь 310.ru хренакнут :(

ну если у них shared hosting, то может и быть, а так нормальным клиентам дают virtual server'a или dedicated.

> PS JB, хватит показывать свою необразованность.

в отличии от тебя, я отличаю пАрл от пЕрла :)

p.s: и сделай наконец emerge aspell-ru

Ну так компильните и хакните, а то только ля-ля и можете.

Краем уха слышал что Java есть достойная альтернатива PHP ... киньте ссылку как Java можно использовать для задачь которые решают с помощью php.

тоже самое что пытаться эсминцем рыбу глушить.

>Краем уха слышал что Java есть достойная альтернатива PHP ...
>киньте ссылку как Java можно использовать для задачь которые решают с >помощью php.
linux.org.ru - написан java ;-)
Обычно на java пишут порталы или сайты с больщой посещаемостью:
www.hp.com
www.sony.com
www.sun.com
www.oracle.com
www.adobe.com
...

у нас это
www.job.ru
www.21vek.ru
www.i2i.ru
www.ntv.ru
linux.org.ru
www.govoritmoskva.ru
...

Учебник http://java.sun.com/j2ee/1.4/docs/tutorial/doc/index.html

> Зависит от того, настолько ли админ недоумок, чтобы на хосте дать Apache доступ к шелу. У меня вот просто выключен в принципе. Ибо реально нужен очень нечасто.

Да ты сам недоумок как я посмотрю. У нормальных-то людей, на хостингах, скрипты работают от имени юзера, а не от имени apache или nobody, а иначе юзер вася будет к юзеру пете через apache в home как к себе домой ходить. Про suexec-то слыхал ?

>PHP - кал, особенно для server side. Java нужно использовать!!!

где написано что ошибка в PHP? мозги лечите. вылечите тогда ставьте Java на виртуальный хост. и ждете сколько минут он там проживетю после это затыкаетесь навсегда

asp

> просто в PHP есть чудная возможность выполнения команд в shell.
четыре мальеньких ЕСЛИЖ
1) если не включен режим safe_mode
2) если не опеределена директория откуда только разрешено пускать бинаринкии (инчае облом ;-)
3) не определена переменная opendir
4) не определена переменная docroot

если эти условия не выполняются - хоть за выполняйся!

просто админы которых phpbb хачат - ламеры.

>jb@ns1.stargate.shell-2~$ ./phpbb.pl >http://deforum.ru/forum/viewtopic.php?t=1 > ...

Ввожу id - нулевая реакция... Через 10 секунд опять приглашение "phpBB2.0.15>"! Что не так?

Возможность исполнения команд в шелле - нормальная взможность. В самом занюханном учебнике описано, как это сделать безопасным, при использовании стрингов юзера. А реализация конкретного форума к php имееттакое же отношение как и MS IE к си. В нем баго навалом, так что ж теперь всю систему на жабе переписывать?

> Ввожу id - нулевая реакция... Через 10 секунд опять приглашение

> "phpBB2.0.15>"! Что не так?

Значит уже пропатчили. Вот что не так.

Ты не поверишь, но Java принципиально не подвержена таким ошибкам.

>где написано что ошибка в PHP? мозги лечите. вылечите тогда ставьте Java на виртуальный хост. и ждете сколько минут он там проживетю после это затыкаетесь навсегда

вы, батенька - баран! :) Язык, который допускает написание программ с подобными дырами - ублюдочный, как то PHP, C, C++ и иже с ними. На Java _никаких_ подобных проблем не возникло бы _никогда_. Про хосхинги нипистите мне пашалуста!!! я сам ими занимаюсь и _прекрасно_ знаю, что ничего не дохнет. www.net.ru - прекрасно функционирует

--седайко стюмчик

>Значит уже пропатчили. Вот что не так.

А как искать НЕ пропатченые форумы? Интересно попробовать!

>Ты не поверишь, но Java принципиально не подвержена таким ошибкам.
Наверное потому, что там это невозможно сделать? И с какого хера, извините, вы называете возможность выполнение shell-команд ошибкой&!

И нефиг на phpBB срать.

> А как искать НЕ пропатченые форумы?

гуглом

Описание уязвимости: http://lists.grok.org.uk/pipermail/full-disclosure/2005-June/034745.html

На самом деле там бага в использовании \e модификатора в PCRE preg_replace() ф-ции.

"\e - If this modifier is set, preg_replace() does normal substitution of backreferences in the replacement string, __evaluates it as PHP code__, and uses the result for replacing the search string."

Вообще это можно сравнить с использованием eval() без фильтрации параметров. Ждем нового червячка ?

//insa

>> А как искать НЕ пропатченые форумы?

>гуглом

А что в гугле набрать? В яндексе нашел уже с десяток форумов phpBB 2.0.15 и НИ на одном НЕ заработало!

> гуглом Гугл ругается и не обрабатывает запросы вроде "powered by phpbb". Пишет, что комп инфицирован и советует провериться на вирусы :-)

> гуглом Гугл ругается и не обрабатывает запросы вроде "powered by phpbb". Пишет, что комп инфицирован и советует провериться на вирусы :-)

Забавно!!!!!!!!!!!! :)))))))))

Выдумки. Только что проверил -- ничего подобного Гугл не пишет, а выдаёт результаты запроса.

А какого хрена ты сюда припахал C и C++??? Твоей яве срать и срать до этих языков.

>Твоей яве срать и срать до этих языков.

Действительно, нужно _сильно_ изгадить Java, чтобы вышло что-нибудь похожее на C++ :)

--седайко стюмчик

Наверное Java на Java написана, раз она такая хорошая, а не на C++ ;). И вааще - флейм разводить - для лохов.

K48, ещё раз будешь делать с линуксаксовцами? :)

йомайо, а я-то дурак, думал, что пхпбб уже давным давно никто не использует... ужас какой. Ф топку.

Можно очередной вирь накатать, который сам форумы ломать будет :) Не понятно на чем основано утверждение, что гугл не ищет фразу "powered by phpbb", т.к. сейчас работает, но недавний вирус, который ломал форумы, искал жертвы через гугл :))

их форум на fastbb.ru переехал

>ну везде есть ошибки. ВЕЗДЕ!

Dan Bernstein, по моему, всем доказал, что это - ЛОЖЬ! Просто таким образом большинство программастов оправдывают свое неумение писать безопасные и безглючные программы.

Ради эсксперимента попробовал поискать в гуглях дырявые форумы. Болше половины как я понял подвергнуты rm -rf. Но я все таки нашел на агаве один форум :) . ща сижу издеваюсь. Пакостить не буду, так ради интереса. Пароль еще у админа увел :). Вообщем весело :)

>Да ты сам недоумок как я посмотрю. У нормальных-то людей, на хостингах,

>скрипты работают от имени юзера, а не от имени apache или nobody, а

>иначе юзер вася будет к юзеру пете через apache в home как к себе домой

Пальцы загни обратно. 8)

На нормальных хостингах -- да, а на тех, с коими мне дело иметь приходится -- нет. Ибо 90% клиентов есть жертвы студентоадминов, которым я человеческие системы налаживаю (потом и на хостинг нормальный переношу, но они ж минимум на год к существующему хостекру подписаны). А хуле делать... Бизнес, и надо сказать, молюсь на скрипкиддисов, чем их бобьше, тем мне бабла потом больше отдадут ;-)

>четыре мальеньких ЕСЛИЖ

Я там выше сказал... Ты понимаешь, да... Согласен абсолютно. 8)

> их форум на fastbb.ru переехал

Ждем еб^H^Hновых дырок?

можно подробней? интересно кто это?

Стыдно не знать Берштейна. :-)

> Ты не поверишь, но Java принципиально не подвержена таким ошибкам.

Ага, как миф о том, что только C подвержен переполнению буфера... Скажу так - или нет абилки, или есть. А в кривых руках и не такое бывает...

>Про хосхинги нипистите мне пашалуста!!! я сам ими занимаюсь и _прекрасно_ знаю, что ничего не дохнет. www.net.ru - прекрасно функционирует

-седайко стюмчик

не напишу хоть и знаю/ не надо рекламировать хостинги. я знаю какие качественнее и позволяют реально нагружать сайт/ вам уже написали что php тут не причем. но у вас ума не хватит понять.

> Выдумки. Только что проверил -- ничего подобного Гугл не пишет, а выдаёт результаты запроса.

А ты попробуй зайти на 10 страницу результатов, к примеру:

http://www.google.com/search?q=%22powered+by+phpbb%22+%D0%B8%D0%B7%D0%BD%D0%B...

Цитата:

> Google > Error

> We're sorry...

> ... but we can't process your request right now. A computer virus or spyware application is sending us automated requests, and it appears that your computer or network has been infected.

> We'll restore your access as quickly as possible, so try again soon. In the meantime, you might want to run a virus checker or spyware remover to make sure that your computer is free of viruses and other spurious software.

> We apologize for the inconvenience, and hope we'll see you again on Google.

Эй, бобики, Е и А находятся рядом.
Так что не пАрл там написано, а перл.

Слив защитан.

> PHPbb писали абсолютные недоучки. Мало того, что код сам по себе
> кривой и тормознутый, да вдобавок еще и бажный до последней
> невозможности.

вперёд . напиши лучше .
Xwine

> Вот вот. А теперь можно делать echo "рутовый эксплойт для 2.6.9" > exploit.c gcc exploit.c

> и вот ты рут... Так вот локальные уязвимости становятся ремотными.

Не нужно ставить компилятор на машину, на которой он не нужен.

>вперёд . напиши лучше .

Не проблема; только учти, что мое рабочее время оценивается от $1900 за месяц разработки. За "просто так" пусть пишут красноглазые.

>Блин, ну ты хоть строчку для open source написал? ну везде есть ошибки. ВЕЗДЕ! Как булто и не программировал вовсе... в хелловорд! только ошибку трудно сделать. как надоела болтовня таких вот действительно **болов как ты! языком чесать горазды

Вне зависимости от количества написанных дл open source строк, phpBB является продуктом очень низкого качества. Дело не в php, дело в разработчиках. На том же самом php написан, например, Drupal. Судя по всему, написан неплохо, намного лучше, чем phpBB.

Впрочем, от горе-пользователей, которым на vB жалко денег (хотя vB тоже порой очень радует) или которые забывают вовремя апдейтить свои phpBB, очень хорошо спасает mod_sec. Рекомендую как последнее средство защиты от таких лентяев.

Никто не мешает откомпилировать локально и потом переслать на удалённую машину. Можно придумать массу способов переслать бинарник.

Когда они наконец перестанут system() использовать?

самое простое - это врубить Safe Mode и все. Никакой system(), passtru(), cmd() и т.п. не пройдет.

1 - на многих хостингах запрещено выполнение некоторых комманд - делается элементарно - в пхп.ини пишется ==== disable_functions = dl,shell_exec,exec,system,passthru,popen,proc_open,proc_nice,proc_get_status,pro c_close,proc_terminate,posix_mkfifo, set_time_limit ==== и уязвимости глючного форума нет

2 - я считаю что дело именно в самом пхпББ, ибо такие проекты как phpMyAdmin например - тоже открытые, динамично развивающиеся, на пхп написаны, но там таких дыр нет. Поэтому если выкинуть из топика флэйм, сравнить пхпББ с другими продуктами, то получится что пхп тут не причем и лишь наличие пхп в самом названии форума вносит некую предвзятость отдельных людей

> Ты не поверишь, но Java принципиально не подвержена таким ошибкам.

Я - не поверю. Я вообще сказкам давно не верю. И рекламе. Просьба
аргументированно объяснить и показать на примере кода, почему в java
такое невозможно даже теоретически. Я утверждаю, что возможно. Не
эксплуатируется лишь потому, что java-приложений для веба ничтожно мало.
Сайты hp, sun - это хорошо, но слишком бледно на общем фоне. LOR -
глючное и тормозное пионерское поделие, и вообще в расчёт не
принимается. По качеству ничем не лучше phpBB. С таким же успехом его
можно было написать на бэйсике или на баше. Итак, кто может грамотно
доказать невозможность подобных эксплойтов в java?

> Обычно на java пишут порталы или сайты с больщой посещаемостью:

Да, типа для того, чтобы ещё больше тормозило. Назад в первый класс.
Их пишут на java вовсе не поэтому. Большая посещаемость - это наоборот,
- их головная боль.