Verschlagwortet: PHP

(Unbekannte) WordPress-Schwachstellen absichern

(Unbekannte) WordPress-Schwachstellen absichern

Diese WordPress-Installation verwendet die sseq-lib Sicherheitsbibliothek zur Validierung von Eingangsvariablen im Vorfeld der Verarbeitung durch den WordPress-Kern oder angeschlossene Pugins. Ist die Protokollierung eingeschaltet, werden damit solche Angriffsversuche fest gehalten: [_GET], cat: INT param not INT, 11 //index.php?str=http://www.********.**/components/id.txt????, GET, /index.php,...

Cross Site Scripting trotz htmlentities() [UPDATE]

Cross Site Scripting trotz htmlentities() [UPDATE]

Die PHP-Funktion htmlentities() soll vor Cross Site Scripting Angriffen schützen, denn sie kodiert Zeichen wie „„, sowie auch doppelte und einfache Anführungszeichen in deren HTML-Code-Entsprechung um. Dass allerdings die Kodierung der Anführungszeichen explizit eingeschaltet werden muss kann wohl als Designschwäche...

Wie sichere ich eine fremde Webanwendung ab?

Wie sichere ich eine fremde Webanwendung ab?

Verwendet man für die eigenen Projekte oder für seine Kunden fremde Open- oder Closed-Source – PHP-Websoftware, so wird man irgendwann mit Sicherheitsmeldungen konfrontiert werden, die diese eingesetzte Software betreffen. Jetzt können folgende Szenarien eintreten: Doppelt Glück: der Entdecker der Schwachstelle...

Session-Angriffe – eine Analyse an PHP

Session-Angriffe – eine Analyse an PHP

Den vollständigen 1. Teil des Dokumentes unter Creative Common-Lizenz als PDF-Datei herunterladen: Analyse und Maßnahmen gegen Sicherheitsschwachstellen bei der Implementierung von Webanwendungen in PHP/MySQL (Teil 1) Eine „Session“ ist eine Arbeitssitzung mit einer Software. Webanwendungen basieren auf dem HTTP-Protokoll, welches...

Wir brauchen „Free Security Audit“!

Wir brauchen „Free Security Audit“!

Stefan Esser, dessen Arbeit ich mit Interesse verfolge, hilft, Sicherheitsschwachstellen in PHP zu entdecken und zu beheben. Darüberhinaus entwickelt er einen PHP-Patch mit Namen Suhosin, der den PHP-Code selbst von bekannten Schwachstellen befreien soll. Stefan kommentiert in seinem Blog die...