10
votes

Quel type de vulnérabilités impliquent l'attaquant qui envoie "PHP: // entrée"?

Mon site n'était juste pas bombardé par un attaquant qui tente de passer "PHP: // Entrée" dans une variable GET / POST qu'ils pouvaient penser. Si cela tente de tirer parti d'une vulnérabilité, je ne suis pas au courant de cela. Que pourrait essayer cet utilisateur d'exploiter?

php security

2 commentaires

Je ne pensais pas que "PHP: //" était un protocole ... est-ce que légitime ou juste une corde à ordures étant poussée par l'attaquant?

@FrustratedwithFormsDesigner: php: // entrée est le flux d'entrée PHP. Voir ici .



                                    
                    3 Réponses :
                    
                                            
                            
                                
                                    3
 votes
                                
                            
                            
                                
                                     Peut-être que quiconque exécute un eval sur l'entrée PHP?  XXX  
 Je n'ai pas vu cela personnellement mais je parie que quelqu'un l'a fait à un moment donné que cela pourrait être sûr.  < / p>                                

                                                                    
                                    
                                    
                                        0 commentaires
                                        
                                                                                    
                                    
                                                            
                        
                        
                                            
                            
                                
                                    9
 votes
                                
                            
                            
                                
                                      http://www.owasp.org/index.php/top_10_2007-malicious_file_execution < / a> 
 php: // entrée lit les données de la demande entrante. Fondamentalement, l'attaquant pourra essayer de passer est de passer "PHP: // entrée" dans une directive PHP faible telle que:   xxx  
 Cela permettrait à l'attaquant d'envoyer le "Contenu" du fichier PHP à exécuter via la demande, ce qui lui permet d'exécuter du code PHP sur votre machine                                  


                                                                    
                                    
                                    
                                        1 commentaires
                                        
                                                                                            
                                                    C'est un peu ce que je pensais, dans le même sens que le compte Twitter de Stephen Fry a été piraté ( ENG.XAKEP .ru / link / 50643 ). Un moyen étrange d'aller à propos de l'attaque, mais je suppose que la forçage brute est moins chère que la puissance cérébrale.                                                
                                                
                                                                                    
                                    
                                                            
                        
                        
                                            
                            
                                
                                    1
 votes
                                
                            
                            
                                
                                     Ceci est probablement une tentative de forcer l'évaluation du code PHP passé à travers des données de demande brutes - semble un peu optimiste cependant.                                 

                                                                    
                                    
                                    
                                        0 commentaires


            
                
		    
                    Articles qui pourrait vous intéresser :
                                            
                            Pourquoi est-ce que j'obtiens une erreur laravel lors de la création d'un nouveau projet?                        
                        
                                            
                            Select2 ne s'affiche pas correctement dans le mode bootstrap                        
                        
                                            
                            Laravel Echo n'écoute pas                        
                        
                                            
                            La validation de la demande de formulaire ne fonctionne pas. Il charge juste la page d'accueil dans Postman