Size: a a a

2020 April 26

AP

Artyom "avp&quo... in NNLUG
Пока всё вышесказанное относится к 19.10.
источник

AP

Artyom "avp&quo... in NNLUG
Я просто до этого использовал версию php-ssh2, которая собрана из исходников.  Сейчас откатился на репозиторную версию.
источник

S

Sergey in NNLUG
ну ок
источник

S

Sergey in NNLUG
значит там пачтик наложен какой
источник

AP

Artyom "avp&quo... in NNLUG
Да нет же.  php-ssh2 является обёрткой для libssh2, и ошибка, про которую я говорил, зависит только от собранной версии libssh2.

Если в новой Ubuntu 20.04 libssh2 будет использоваться версии 1.9+, скомпилированный с OpenSSH, то тогда и модуль php-ssh2 будет работать.

Вот это проверю при возможности.
источник

VS

Vladimir S in NNLUG
почему нельзя просто exec использовать?
источник

i

ivdok in NNLUG
Vladimir S
почему нельзя просто exec использовать?
По той же причине, по которой за eval() бьют по пальцам
источник

i

ivdok in NNLUG
При подмене значения аргументов в функции происходит вызов нужной атакующему команды с правами службы, под которой он работает
источник

i

ivdok in NNLUG
Так просто прочитать /etc/shadow нельзя, но травёрс директорий, например, в большей части случаев не закрыт, и можно поискать лазейки для следующего этапа эскалации уязвимости
источник

VS

Vladimir S in NNLUG
так не надо процессам php давать доступ куда не следует
источник

i

ivdok in NNLUG
И использовать небезопасные функции - тоже
источник

i

ivdok in NNLUG
Эта как дженга - вытащишь один кирпичик, и за ним потянутся остальные, если знать как расшатать систему
источник

S

Sergey in NNLUG
Vladimir S
почему нельзя просто exec использовать?
Зачем вообще нужны любые API когда есть exec?
источник

S

Sergey in NNLUG
Сразу видно писателей на баше
источник

VS

Vladimir S in NNLUG
от задач зависит
источник

i

ivdok in NNLUG
Например, даже если не "давать доступ куда не следует", большинство PHP-приложений держат все свои параметры в одном файле с именем вроде configuration.php. Вытащим его методом, например, вызова cat configuration.php, и у нас на руках доступ к СУБД, или ещё похуже, если автор разработки дурик
источник

i

ivdok in NNLUG
Пример утрированный, но суть думаю ясна
источник

VS

Vladimir S in NNLUG
как будто "любые api" не юзают в конечном итоге exec или ему подобное...
источник

i

ivdok in NNLUG
Внезапно, нет
источник

VS

Vladimir S in NNLUG
а чего они юзают? заранее написанные прекопиленные куски на с/с++?
источник