 |
|
Модераторы: skyboy, MoLeX, Aliance, ksnk |
 
|
|
Исполнить php код из php 
| Zipo |
|
||||
|
Бывалый  Профиль Группа: Участник Сообщений: 151 Регистрация: 4.11.2003 Репутация: нет Всего: 0 |
ничего не понял. Можно конкретнее на примере? Но тут уже слишком много если... Если БД падает сразу произойдет die.
Приведи свою версию. Может она окажется действительно лучше. |
||||
|
|||||
Загрузка ...
| Secandr |
|
|||
 Связист Профиль Группа: Экс. модератор Сообщений: 4043 Регистрация: 3.8.2003 Где: Russia, Volgograd Репутация: 5 Всего: 39 |
Zipo Как ни странно все ети если совподают в час Х.
P.S. ПАраноя - не болезнь, а образ жизни. Причём так жить проще. |
|||
|
||||
| Zipo |
|
|||
|
Бывалый Профиль Группа: Участник Сообщений: 151 Регистрация: 4.11.2003 Репутация: нет Всего: 0 |
дело не в этом, я не могу понять, о какой ситуации идет речь, что виновником будет именно eval выражения типа: это плохо не используй может... для меня являются не больше чем суеверием. Нужны аргументы. |
|||
|
||||
| Master |
|
|||
 Эксперт Профиль Группа: Участник Клуба Сообщений: 1530 Регистрация: 13.5.2003 Где: Mother Russia Репутация: 8 Всего: 10 |
команда eval выполняет любой PHP код
если в выполнение каким бы то ни было образом попадет чужой код... тогда позно караул кричать и все аргументы появятся. -------------------- Вавилон, Вавилон Что ты построил, что разрушил? Вавилон, Вавилон Плавятся души дьявольским огнем. |
|||
|
||||
| Vaulter |
|
|||
 Эксперт Профиль Группа: Участник Клуба Сообщений: 1724 Регистрация: 30.12.2002 Где: бункер Репутация: 6 Всего: 22 |
Master
опять если ) а как он туда попадет, если его туда элементарно никто не пустит? ) --------------------   |
|||
|
||||
| Master |
|
|||
|
Эксперт Профиль Группа: Участник Клуба Сообщений: 1530 Регистрация: 13.5.2003 Где: Mother Russia Репутация: 8 Всего: 10 |
Vaulter а можно избежать этих объяснений одно из которых я уже привел как пример, если просто использовать альтернативу.
-------------------- Вавилон, Вавилон Что ты построил, что разрушил? Вавилон, Вавилон Плавятся души дьявольским огнем. |
|||
|
||||
| Zipo |
|
||||||
|
Бывалый Профиль Группа: Участник Сообщений: 151 Регистрация: 4.11.2003 Репутация: нет Всего: 0 |
именно поэтому она мне и нужна.
Как уже говорил Vaulter это не проблема eval'a. Тем более я даже представить не могу каким чудом из Гета и Поста php код может проникнуть в eval. Код будет извлекаться из БД. И только извлеченный код будет исполнятся в eval'e. Т.е. даже если пользователь движка в своем коде будет неумело пользоваться переменными из $_REQUEST, то они не смогут непосредственно попасть в исполнение на eval движка. Ты, что-то путаешь.
милости просим предлагай. Это сообщение отредактировал(а) Zipo - 21.1.2004, 17:40 |
||||||
|
|||||||
| Secandr |
|
|||
|
Связист Профиль Группа: Экс. модератор Сообщений: 4043 Регистрация: 3.8.2003 Где: Russia, Volgograd Репутация: 5 Всего: 39 |
Zipo Я бы не был таким самоувереным. Всегда существует вероятность ошибки.
Вот возможные причины появления вредоносного кода в евале: 1. Найдут уязвимость в веб-сервере или пхп и при её помощи вставят в переменую свой код (маловероятно) 2. Ошибка програмирования: просто где-то недопридумаешь защиту для этого eval (встречается сплошь и рядом) 3. Ошибка пользования. "Тупой" юзер, по дефолту все юзеры тупые, запишит что-то наподобии while (1==1){echo"Test";} - это самая безобидная ачепятка. (100% такое будет) Можно придумать и другие варианты. |
|||
|
||||
| Zipo |
|
||||||
|
Бывалый Профиль Группа: Участник Сообщений: 151 Регистрация: 4.11.2003 Репутация: нет Всего: 0 |
не путай теплое с мягким. Я могу аналогично высказаться на использование SQL запросов. В большинстве случаев начинающие программисты и не подозревают об опасностях связанных с их использованием. Но никто же не говорит "_не_ используйте их"
И причем тут eval ? Под словом пользователь я никак не имел ввиду именно тупого юзера. Это может быть программист, такой как я и ты. Проблему описанную тобой не избежать. Хотя в случае с eval'om гораздо больше шансов ее обойти.
Согласен, но использование eval'a здесь абсолютно не причем. Есть вероятность, что эту ошибку допустишь на ровном месте... |
||||||
|
|||||||
| Secandr |
|
|||
|
Связист Профиль Группа: Экс. модератор Сообщений: 4043 Регистрация: 3.8.2003 Где: Russia, Volgograd Репутация: 5 Всего: 39 |
Zipo Эти три пункта не ведут напрямую к уязвимости, они лишь увеличивают вероятность сбоя.
Скажим так: если ты делаешь малоответственую систему - eval допустим. Если тебе нужна система которой будет пользоваться широкий круг людей и при этом нужна хорошая отказоустойчивость - eval недопустим. Eval - вещь сколь привлекательная, столь же и опасная. И нужно десять раз подумать, а только потом применять её ИМХО. |
|||
|
||||
| Zipo |
|
|||
|
Бывалый Профиль Группа: Участник Сообщений: 151 Регистрация: 4.11.2003 Репутация: нет Всего: 0 |
Secandr, я всего лишь выслушиваю ваши мнения. И в некоторых случаях с ними не соглашаюсь. Я не вставал на позицию безоговорочного использования eval'a. Я хочу найти оптимальный вариант. Для этого мне нужны аргументы, а не громкие фразы.
Мое ИМХО: если человек утверждает, значит, он может это подтвердить. Или предложить альтернативу. Я никого здесь не пытаюсь осудить. Натура у меня такая - верю только фактам. |
|||
|
||||
| Secandr |
|
|||
|
Связист Профиль Группа: Экс. модератор Сообщений: 4043 Регистрация: 3.8.2003 Где: Russia, Volgograd Репутация: 5 Всего: 39 |
Zipo Я привёл наиболее явные пути понижения отказоустойчивости в случае использования eval`а.
Если ты делаешь проект для себя и ещё пары продвинутых програмистов. То eval - нетак страшен. Всё упирается в человеческий фактор. Будь то ошибка программиста, ошибка пользователя твоей системы, беспечность пользователя (Кто-то может просто остаить пароль злоумышленику, который свалит сервер). Могу привести конкретные схемы развития ситуации. Ещё раз хочу подчеркнуть использование евал не ведёт к апокалипсису, а только повышает вероятность его проявления и может повысить его мощность. |
|||
|
||||
| Master |
|
|||
|
Эксперт Профиль Группа: Участник Клуба Сообщений: 1530 Регистрация: 13.5.2003 Где: Mother Russia Репутация: 8 Всего: 10 |
http://forums.webscript.ru/forumdisplay.php?forumid=16
вот тебе факты. если зайдеш как можно быстрее, увидеш что такое глюки на сервере. -------------------- Вавилон, Вавилон Что ты построил, что разрушил? Вавилон, Вавилон Плавятся души дьявольским огнем. |
|||
|
||||
| lifer |
|
|||
|
Шустрый Профиль Группа: Участник Сообщений: 52 Регистрация: 17.1.2004 Где: Kiev, Ukraine Репутация: нет Всего: нет |
Там уже ничего нету
 Глюки исчезли |
|||
|
||||
| Secandr |
|
|||
|
Связист Профиль Группа: Экс. модератор Сообщений: 4043 Регистрация: 3.8.2003 Где: Russia, Volgograd Репутация: 5 Всего: 39 |
lifer У меня скриншот остался
 |
|||
|
||||
|
|
| Правила форума "PHP" | |
|
|
Новичкам:
Важно:
Внимание:
Если Вам понравилась атмосфера форума, заходите к нам чаще! С уважением, IZ@TOP, skyboy, SamDark, MoLeX, awers. |
| 0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей) | |
| 0 Пользователей: | |
| « Предыдущая тема | PHP: Общие вопросы | Следующая тема » |
[ Время генерации скрипта: 0.0568 ] [ Использовано запросов: 22 ] [ GZIP включён ]
Реклама на сайте Информационное спонсорство
|
|
По вопросам размещения рекламы пишите на vladimir(sobaka)vingrad.ru
Отказ от ответственности Powered by Invision Power Board(R) 1.3 © 2003 IPS, Inc. |