abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
Přihlášení | Registrace
×
napište » Zprávičky
inzerujte » Pracovní nabídky
    Více než 600 Laravel aplikací je zranitelných vůči vzdálenému spuštění kódu
    dnes 13:33 | Bezpečnostní upozornění

    Více než 600 aplikací postavených na PHP frameworku Laravel je zranitelných vůči vzdálenému spuštění libovolného kódu. Útočníci mohou zneužít veřejně uniklé konfigurační klíče APP_KEY (např. z GitHubu). Z více než 260 000 APP_KEY získaných z GitHubu bylo ověřeno, že přes 600 aplikací je zranitelných. Zhruba 63 % úniků pochází z .env souborů, které často obsahují i další citlivé údaje (např. přístupové údaje k databázím nebo cloudovým službám).

    Ladislav Hagara | Komentářů: 0
    Helix 25.07
    dnes 00:11 | Nová verze

    Open source modální textový editor Helix, inspirovaný editory Vim, Neovim či Kakoune, byl vydán ve verzi 25.07. Přehled novinek se záznamy terminálových sezení v asciinema v oznámení na webu. Detailně v CHANGELOGu na GitHubu.

    Ladislav Hagara | Komentářů: 0
    Nvidia po souhlasu od Trumpovy vlády obnoví prodej čipů pro AI do Číny
    včera 20:44 | IT novinky

    Americký výrobce čipů Nvidia získal od vlády prezidenta Donalda Trumpa souhlas s prodejem svých pokročilých počítačových čipů používaných k vývoji umělé inteligence (AI) H20 do Číny. Prodej těchto čipů speciálně upravených pro čínský trh by tak mohl být brzy obnoven, uvedla firma na svém blogu. Americká vláda zakázala prodej v dubnu, v době eskalace obchodního sporu mezi oběma zeměmi. Tehdy to zdůvodnila obavami, že by čipy mohla využívat čínská armáda.

    Ladislav Hagara | Komentářů: 7
    Blender 4.5 LTS
    včera 17:22 | Nová verze

    3D software Blender byl vydán ve verzi 4.5 s prodlouženou podporou. Podrobnosti v poznámkách k vydání. Videopředstavení na YouTube.

    Ladislav Hagara | Komentářů: 0
    Open source webový aplikační framework Django slaví 20. narozeniny
    14.7. 22:22 | Komunita

    Open source webový aplikační framework Django slaví 20. narozeniny.

    Ladislav Hagara | Komentářů: 0
    DebConf25
    14.7. 16:11 | Komunita

    V Brestu dnes začala konference vývojářů a uživatelů linuxové distribuce Debian DebConf25. Na programu je řada zajímavých přednášek. Sledovat je lze online.

    Ladislav Hagara | Komentářů: 0
    Před 30 lety se začala používat přípona .mp3
    14.7. 11:33 | IT novinky

    Před 30 lety, tj. 14. července 1995, se začala používat přípona .mp3 pro soubory s hudbou komprimovanou pomocí MPEG-2 Audio Layer 3.

    Ladislav Hagara | Komentářů: 28
    Commodore 64 Ultimate
    14.7. 10:55 | IT novinky

    Výroba 8bitových domácích počítačů Commodore 64 byla ukončena v dubnu 1994. Po více než 30 letech byl představen nový oficiální Commodore 64 Ultimate (YouTube). S deskou postavenou na FPGA. Ve 3 edicích v ceně od 299 dolarů a plánovaným dodáním v říjnu a listopadu letošního roku.

    Ladislav Hagara | Komentářů: 23
    Reachy Mini, open source robot od Hugging Face
    13.7. 17:55 | Zajímavý projekt

    Společnost Hugging Face ve spolupráci se společností Pollen Robotics představila open source robota Reachy Mini (YouTube). Předobjednat lze lite verzi za 299 dolarů a wireless verzi s Raspberry Pi 5 za 449 dolarů.

    Ladislav Hagara | Komentářů: 17
    Počítačová hra DOGWALK
    11.7. 16:44 | Komunita

    Dnes v 17:30 bude oficiálně vydána open source počítačová hra DOGWALK vytvořena v 3D softwaru Blender a herním enginu Godot. Release party proběhne na YouTube od 17:00.

    Ladislav Hagara | Komentářů: 3
    Centrum | Napsat | Starší
    navrhněte » Anketa
    Jaký je váš oblíbený skriptovací jazyk?
     (59%)
     (26%)
     (7%)
     (3%)
     (1%)
     (1%)
     (4%)
    Celkem 399 hlasů
     Komentářů: 16, poslední 8.6. 21:05
    Rozcestník
    AbcLinuxu
    HDmag.cz

    Administrace komentářů

    Jste na stránce určené pro řešení chyb a problémů týkajících se diskusí a komentářů. Můžete zde našim administrátorům reportovat špatně zařazenou či duplicitní diskusi, vulgární či osočující příspěvek a podobně. Děkujeme vám za vaši pomoc, více očí více vidí, společně můžeme udržet vysokou kvalitu AbcLinuxu.cz.

    Příspěvek
    11.1.2010 09:26 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Zabezpecenie intranetu (Apache + PHP + MySQL)
    Aha, takže webserver zpracuje příchozí požadavek, vytáhne si z něj přihlašovací údaje, ty nechá ověřit databázi, pak se na základě nich přepne (su) na daného systémového uživatele (tj. uživatel e-shopu je zároveň uživatel v databázi i systémový uživatel). A to všechno s PHP a MySQL.

    Zhruba tak nějak.
    Opravdu? Jste si jist, že když může útočník spustit kód v rámci aplikačního serveru, nemůže třeba číst a zapisovat na libovolné místo paměti daného procesu, nebo dokonce všech procesů patřících uživateli? A pokud může, jak mu zabráníte, aby ukradl spojení jiného uživatele do databáze?

    Dá se to tak nastavit, a i kdyby to tak nastaveno nebylo, tak musíte počkat, až se ten druhý přihlásí, což je dost jiná situace, než když do půl hodiny stáhnete obsah db a konec. (Už jsme to probírali výše.)
    Stavíte zabezpečení úplně na hlavu.
    Jistě.
    Samozřejmě je nesrovnatelně jednodušší zabezpečit webovou aplikaci na straně ke klientovi, než pustit útočníka na server a pak se snažit něco dělat s tím, když může útočník na aplikačním serveru spouštět libovolný kód. Zkuste si aspoň porovnat četnost bezpečnostních problémů, kdy lze roota získat vzdáleně, a kdy to lze udělat lokálně.

    Na útoky tohoto typu nepotřebujete roota. A že je něco složitější a něco jednodušší neznamená že se na jedno z toho musíme vykašlat. Jak jsem říkal, správná aplikace je zabezpečena odzhora dolů. Není to tak, že když mám bezpečný back-end tak na webovém serveru rozdávám privilegované účty kolemjdoucím.
    Protože to je aplikační logika chráněná přístupovými právy. Nebo snad zákazník e-shopu má mít právo posílat e-maily komukoli?
    E-maily a jejich bezpečnost snad řeší e-mailový server?
    Na aplikačním serveru je normálně aplikační (a bezpečnostní) logika. Vy to chcete přesunout do databáze, takže vám na aplikačním serveru nezbyde nic.

    Jediné co chci, je posunout kontrolu přístupových práv o úroveň níž.

    Kód typu 
    if (muze_odeslat_objednavku(current_user)) {
    try {
        odesli_objednavku;
    } catch chyba {
        vypis_chybu(chyba);
    }
} else {
    vypis_chybu("nedostatecna opravneni");
}
    se změní na 
    try {
    odesli_objednavku;
} catch chyba {
    vypis_chybu(chyba);
}
    Zbytek "aplikační logiky" zůstane tak jak je.
    In Ada the typical infinite loop would normally be terminated by detonation.

    V tomto formuláři můžete formulovat svou stížnost ohledně příspěvku. Nejprve vyberte typ akce, kterou navrhujete provést s diskusí či příspěvkem. Potom do textového pole napište důvody, proč by měli admini provést vaši žádost, problém nemusí být patrný na první pohled. Odkaz na příspěvek bude přidán automaticky.

    Vaše jméno
    Váš email
    Typ požadavku
    Slovní popis
    Píšeme jinde
    ISSN 1214-1267   www.czech-server.cz
    Redakce | Inzerce | Podmínky použití | Osobní údaje
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.