Tag: php

  • pChart

    pChart è una libreria PHP per la creazione di grafici. Fino a qualche giorno fa quando dovevo fare dei grafici in PHP usavo JP Graph; volendo provare qualcosa di nuovo con un output che non ricordasse i grafici di Lotus 1-2-3 2.0, mi sono guardato in giro e ho provato alcune alternative. pChart si è rivelata…

  • Weevely

    È uscita la versione 1.0 di Weevely, un kit in Python per generare una shell remota in PHP. Questo è il tipico tool che si colloca nella zona grigia tra il reato e la legalità, ma tacere su queste cose non fa altro che aumentare l’ignoranza dei SysAdmin e, quindi, la sicurezza dei loro sistemi. È…

  • RoundCube 0.8

    È uscita la nuova versione 0.8 del client webmail RoundCube. Questa nuova versione presenta un’interfaccia grafica completamente ridisegnata (“Larry”) realizzata da Michael Krautwasser. Oltre a numerose correzioni di bachi esistenti, RoundCube, con l’eccezione dei plugin e delle skin, viene ora distribuito sotto la licenza GPL v3+. Questa versione è considerata stabile, tutti coloro i quali hanno…

  • Vulnerabilità di PHP CGI

    Le installazioni di PHP che utilizzano l’interprete in modalità CGI (ma non in modalità FastCGI) sono esposte ad una possibile vulnerabilità. Lo sfruttamento di questo baco è già in giro per Internet; se nei log http vi trovate qualcosa tipo GET /index.php?-s HTTP/1.1 POST /?-d+allow_url_include%3d1+-d+auto_prepend_file%3dphp://input HTTP/1.1 è qualche simpaticone che sta tentando di vedere se il…

  • Analisi di un tentativo di compromissione

    Analizzare i tentativi di attacco dei server è sempre un’esperienza istruttiva per il SysAdmin. Questa notte ho analizzato il tentativo di attacco, abortito per varie ragioni tra cui avere il sistema aggiornato, al server web di un cliente. L’attaccante ha sfruttato una vulnerabilità di un vecchio script dimenticato per caricare alcuni file, ma poi non…

  • Aggiornamenti di PHP per CentOS

    Sono stati rilasciati gli aggiornamenti dei pacchetti php e php53 di CentOS versione 6 e 5.x rispettivamente. Questo aggiornamento corregge due bachi di sicurezza dell’interprete, come indicato nella nota di quello che CenOS chiama l’upstream. Il primo baco corretto riguarda la funzione di hash degli array suscettibile di collisioni prevedibili. Se un HTTP POST contiene molti…

  • TCPDF

    TCPDF è una libreria per PHP scritta dall’italiano Nicola Asuni per creare documenti PDF. Uno dei punti di forza di TCPDF, oltre alla sua incredibile versatilità, è che non richiede nessun software installato sul server: il file PDF viene creato tutto all’interno della libreria. Servono solamente le librerie GD se si vogliono fare operazioni di elaborazione sulle immagini, come…

  • Esempio da evitare

    L’immagine a fianco mostra un tipico esempio di come non vada scritto il software di gestione di un sito. L’errore principale in questo caso è stato quello di realizzare un software che accetta un file come parametro passato via HTTP. Ipotizzando che la lettura di un file passato come parametro sia una necessità, è comunque…

  • Full path disclosure

    Full path disclosure (letteralmente divulgazione del percorso completo) è una vulnerabilità di un sito tale per cui, in particolari condizioni di errore, viene rivelato il percorso completo della directory del server in cui si trovano i file di un sito. Apparentemente potrebbe essere un problema minimale, ma è un dato che facilita molto la vita…