Todos os posts tagados php

PHP corrigiu várias vulnerabilidades que permitiam code execution

PHP

A equipa responsável pela gestão do PHP lançou uma nova versão que corrige três falhas, uma delas considerada critica que permite remote code execution.

A vulnerabilidade identificada como “CVE-2014-3669” só funciona em sistemas de 32 bits e podia causar o que se apelida de integer overflow quando se tratava dados serializados especialmente criados com unserialize().

Foram também corrigidos outros bugs associados à introdução do ‘null byte‘ na biblioteca do cURL.

Estas vulnerabilidades foram descobertas pela High-Tech Bridge, as versões 5.6.2, 5.5.18 e 5.4.34 corrigem estes problemas

Falha Hash Collision debatida em Podcast

Falha Hash Collision debatida em Podcast

A famosa Hash Collision, vulnerabilidade que afecta milhões de servidores em todo o mundo, foi debatida por Manuel Lemos e Ernani Joppert na primeira versão do PHPCast – um podcast em português dedicada à linguagem de programação PHP.
De referir que a nova versão do PHP 5.3.9 já vem com um patch de segurança corrigir esta vulnerabilidade.

Uma excelente iniciativa e essencial a todos os programadores PHP.

Crackers invadem mais de 14 mil sites e deixam seus dados expostos

O Ronaldo Lima publicou um artigo bastante curioso, onde demonstra um possível lapso por parte dos utilizadores maliciosos em comprometer vários sites.
Segundo o Ronaldo:

Outros trechos que não contêm as tags do PHP também exibem informações dos crackers. Nesse caso imagino que foi falha da ferramenta ou o método que utilizaram, devem ter redirecionado a saída de algum comando para a página ao invés de outro arquivo de log por exemplo.

Podem ver o número de sites indexados com esta situação, bastando pesquisar pela string:

“python pyFTP.py -i Ftp.txt”

… no Google.
No entanto, não é aconselhável a visita destes sites. Podem utilizar o ScanPW para verificar o código-fonte.

Shell PHP com código não alfanumérico

Já tinha twitado a referência a uma minúscula shell em PHP, mas Gareth Hayes aumentou a fasquia para um código onde apenas utiliza caracteres não alfanuméricos.

Para executar a shell basta: ?_=shell_exec&__=whoami
Realmente um excelente trabalho que fica registado para as próximas análises de código de aplicações web.

PuzlBox 1.0.2.2 disponível para download

Saiu a nova versão do fuzzer PuzlBox.

Podem descarregar aqui.