書籍「気づけばプロ並みPHP」にリモートスクリプト実行の脆弱性
書籍「気づけばプロ並みPHP」のサンプルスクリプトにリモートスクリプト実行の脆弱性があるので報告します。 はじめに Yahoo!知恵袋の質問を読んでいたら、以下の質問がありました。 気づけばプロ並みPHP （著）谷藤賢一 （発行）リックテレコムP１１２の画像をアップロードする機能でエラーがでます。 http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q11119835496 より引用 質問に対しては回答が既についてクローズされていましたが、引用されているソースを見て任意のファイルを任意のファイル名で、Web公開ディレクトリにアップロードできることに気づきました（下記）。 <?php // 略 $pro_gazou=$_FILES['gazou']; // 略 if($pro_gazou['size']>0) { if ($pro_
PHP 5.5 でジェネレータが導入される
PHP 5.5 でジェネレータが導入されることになりました。 PHP においてジェネレータは Iterator インターフェイスを実装するクラスで次のメソッドが定義されています。 final class Generator implements Iterator { void rewind(); bool valid(); mixed current(); mixed key(); void next(); mixed send(mixed $value); } 関数やメソッド定義のなかの yield 文で指定した式は foreach ループで展開されます。これによって Iterator インターフェイスを実装するクラスを用意しなくても、上記のイテレータのメソッドを利用したり、AppendIterator や MultipleIterator を使って複数のジェネレータをまとめるなど、イテ
[連載]WordPressでWebサービスを作る方法（1:PHPとは） | Stocker.jp / diary
このブログでは何度も触れていますが、3月に フリー写真素材 :: Free.Stocker という無料写真素材サイトをオープンしました。 このサイトは、WordPress というブログ向けの CMS（コンテンツ管理システム）を使って作りました。 このサービスを作った際の手順をケーススタディとして「PHPやWordPressを全く知らない方でも、WordPressでWebサービスを作り、それをたくさんの方に利用して頂ける方法を分かりやすく学べる記事を書こう」と思い書き始めたのがこの記事ですが、「PHPとは」から「WordPressサイトにおける内部SEO」「ソーシャルメディアマーケティング」まで網羅する特大記事になり、1記事として一度に掲載することが難しくなったので、全10回の連載としてお送りします。 WordPressやPHP初心者の方はぜひ1ページ目からソースコードを書き写しながら、既に
![[連載]WordPressでWebサービスを作る方法（1:PHPとは） | Stocker.jp / diary](https://cdn-ak-scissors.b.st-hatena.com/image/square/947985bcd7f71a4e7f7feaf02c144a8017885e3c/height=288;version=1;width=512/https%3A%2F%2Fi0.wp.com%2Fstocker.jp%2Fdiary%2Fwp-content%2Fuploads%2F83-1.png%3Ffit%3D500%252C300%26ssl%3D1)
文字コードに起因する脆弱性を防ぐ「やや安全な」php.ini設定
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2010年9月27日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPカンファレンス2010にて「文字コードに起因する脆弱性とその対策」というタイトルで喋らせていただきました。プレゼンテーション資料をPDF形式とslideshare.netで公開しています。 文字コードのセキュリティというと、ややこしいイメージが強くて、スピーカーの前夜祭でも「聴衆の半分は置いてきぼりになるかもね」みたいな話をしていたのですが、意外にも「分かりやすかった」等の好意的な反応をtwitter等でいただき、驚くと共に喜んでいます。土曜にPHPカンファレンスに来られるような方は意識が高いというの
PHPコードをEXEに変換してスタンドアロンアプリにする方法:phpspot開発日誌
Bambalam PHP EXE Compiler/Embedder 1.0 - Free php to exe converter! Bambalam PHP EXE Compiler/Embedder is a free command line tool to convert PHP applications to standalone Windows .exe applications. PHPコードをEXEに変換してスタンドアロンアプリにするツール、Bambalam PHP Exe Compilerの紹介。 PHP4.4.2で動くPHPコードならEXEに変換できます(PHP5は将来対応予定)。 作成されたEXEはDLLが不要で、スタンドアロンアプリとして動作します。 コンパイルされるものは、Truck MMCacheを使ってソースコードをEncode & Optimizeしてるみ
#PHP でもutf8_decodeは使ってはならない
(Last Updated On: 2009年9月22日)Twitterで書いた方が良いようなエントリですが、たまには良いでしょう。 #perl – utf8::decode()ではなくEncode::decode_utf8()を使うべき理由 という記事がありました。PHPにも似た関数、utf8_decodeがあります。PHPでも使ってはなりません。日本人というよりマルチバイト圏で使っている人はほとんどいないはずです。理由はコードを見れば一目瞭然です。 /* All the encoding functions are set to NULL right now, since all * the encoding is currently done internally by expat/xmltok. */ xml_encoding xml_encodings[] = { { "ISO-
PHP逆引きレシピは概ね良いが、SQLインジェクションに関しては残念なことに - ockeghem's blog
404方面でも絶賛されていたPHP逆引きレシピを購入した。本書はとても丁寧な仕事で素晴らしいと思ったが、セキュリティに関しては若干残念な思いをしたので、それを書こうと思う。 目次は以下のようになっている。 第1章 準備 第2章 PHPの基本構文 第3章 PHPの基本テクニック 第4章 ファイルとディレクトリ 第5章 PEARとSmarty 第6章 Webプログラミング 第7章 クラスとオブジェクト 第8章 セキュリティ 8.1 セキュリティ対策の基本 8.2 PHPの設定 8.3 セキュリティ対策 第9章 トラブルシューティング 第10章 アプリケーション編 PHP逆引きレシピ オフィシャルサポート 本書は、タイトルの示すように、コレコレしたいという目的ごとにPHPでの書き方が書かれている。よくある逆引き辞典タイプの本だが、類書に比べて丁寧に書かれている印象を受けた。私が感心したのは、PH
PhotoshopのPSDファイルをPHPで画像に変換してブラウザに出力してしまう方法:phpspot開発日誌
PHP: Display Adobe PSD files on a web page PhotoshopのPSDファイルをPHPで画像に変換してブラウザに出力してしまう方法。 これは本当に驚きました。PHP PSD Reader というライブラリをインクルードするのですが、複数レイヤーから構成されるPSDも難なく画像にしてくれます。 複数レイヤー。「レイヤー効果」も適用してみました。 難なく画像化に成功してしまいました＾＾； ドロップシャドウ、枠線などの「レイヤー効果」もバッチリ。 スクリプトは超簡単で、imagecreatefrompsd という関数の返り値を imagejpeg などの画像出力関数に渡すだけです。 <?php // ライブラリを読み込み include_once('classPhpPsdReader.php'); // 画像用HTTPヘッダ header("Conten
PHPでサービスをリリースする際の5つのの注意点(エラー処理) - localdisk
2009/5/28 2:00くらいからOpenpear :: Open PEAR Repository Channelが落ちています。 Warning: require_once(PEAR/Server2.php) [function.require-once]: failed to open stream: No such file or directory in …(ファイル名は省略) Openpear :: Open PEAR Repository Channel …しょんぼりしてしまいました。Openpear :: Open PEAR Repository Channelは素晴らしいサービスですし、僕もServices_Backlogをリリースした際お世話になりました。猿も木から落ちるというか弘法も筆の誤りというかこういったこともあるんですね。 なので自戒も兼ねてPHPでサービスを
PHPフレームワークはどのようにリクエストされたURLを取得しているか? - localdisk
自分でフレームワークを作ろうとか思うと、こういった素朴な疑問がでてきたり。昨今のフレームワークはRails以来、URLを解析してコントローラ及びメソッドをコールするというのが主流になってるんじゃないかと思う。そこで各フレームワークの実装を調べてみた。 調べたのは以下のフレームワーク Zend Framework 1.8.1 kohana 1.7.1 CakePHP 1.2.3.8166 Ztend Framework <?php // Zend_Controller_Request_Http#setRequestUri if ($requestUri === null) { if (isset($_SERVER['HTTP_X_REWRITE_URL'])) { // check this first so IIS will catch $requestUri = $_SERVER['HT
PHPExcelとは？ [PHP - PHPExcel - 使い方 - Tips]
PHPExcelとは、PHPでExcelファイルの加工・出力を行うためのフリーコンポーネントです。 Excel97-2003にも対応はしていますが、Excel2007に力を入れたコンポーネントのようです。 フリーの割には高性能！日本語にも対応しています。 こんなことが実現可能です。 1. Excelファイル操作 ・Excelファイル新規生成して、カスタマイズして出力します。 ・Excelテンプレートファイルを読み込んで、カスタマイズして出力します。 2. PDFファイル操作 ・カスタマイズした内容を、PDFファイルとして出力します。 3. CSVファイル操作 ・カスタマイズした内容を、CSVファイルとして出力します。 4. HTMLファイル操作 ・カスタマイズした内容を、HTMLファイルとして出力します。
第25回 PHPのアキレス腱 ── セッション管理 | gihyo.jp
PHPにはHTTPセッション管理モジュールが標準で付いてきます。このセッションモジュールには非常に重大なセキュリティ上の脆弱性が修正されずに残っています。その脆弱性とはセッションアダプションです。 セッションアダプションとは、セッション固定化攻撃に利用される脆弱性です。PHPのセッション管理モジュールがセッションアダプションに脆弱であることは、かなり以前、何年も前から知られています。しかし、開発者の理解不足より脆弱性が放置されたままになっています。 セッションアダプションとは セッションアダプションとは、ブラウザ等から送信された未初期化セッションIDをそのまま利用してセッションを初期化してしまう脆弱性です。ユーザが送信してきたIDでも第三者に予想できない文字列であれば大丈夫なのでは？と考える方もいると思います。その通りで第三者に予想できなければ問題ないですし、仮に予想できてもログインする際
PHPアプリケーションからGoogle Calendarを利用しよう（前編）
本連載では、PHP上で動作するアプリケーションフレームワーク「Zend Framework」と、Googleの提供するサービスを扱うための関数の集合体である「Google Data API」との連携について紹介します。今回はGoogle Calendarを利用して簡単な会議室予約システムを作成してみましょう。前回のYouTube検索と違い、Google Dataのクライアント認証が必要となります。 はじめに 本連載では、PHP上で動作するアプリケーションフレームワーク「Zend Framework」と、Googleの提供するサービスを扱うための関数の集合体である「Google Data API」との連携について紹介します。Zend FrameworkのZend_Gdataというパッケージを使用することでGoogleカレンダーなどを利用したアプリケーションを開発することができます。 今回はG
UTF-8→SJIS/EUC-JPの重複文字をまとめてみた - hnwの日記
文字エンコーディングの変換を行うと、異なる2文字が同じ文字に変換されることがあります。このような文字を重複文字と呼ぶことにします。UTF-8→Shift_JISおよびUTF-8→EUC-JPについて、重複文字を自分用の資料としてまとめてみました。 MacOSX上のPHP5.2.9での実験結果ですが、プログラミング言語や環境によらず気をつけるべき文字一覧ということになると思います。 色のついている部分が重複している部分です。「-」となっているのは変換できなかった文字です。また、ヘッダのカッコ数字ごとに文字エンコーディング変換に利用した関数が異なります。詳細は下記の通りです。 (1) mb_convert_encoding($char, "Shift_JIS", "UTF-8") (2) mb_convert_encoding($char, "SJIS-win", "UTF-8") (3) i
PHPでTwitterのBotを作ってみる - yuyarinの日記
Twitterで自分のタイムラインに表示されたメッセージにキーワードを見つけたら、何か反応を投稿するボットを作ってみる。 仕様 /homeと/repliesからメッセージを１ページ取得する。 メッセージにキーワードがあれば対応するメッセージを投稿する。 repliesを優先してレスする。 実装 PEAR::HTTP_Clientを使う。コードは結構な量になってるので、要所だけ書く。 class TwitterBotとして実装。 require_once "HTTP/Client.php"; タイムラインの取得 Twitterはベーシック認証のみを正式サポートしているのでPEAR::HTTP_Clientでベーシック認証を行う。 $basic = array('Authorization'=>'Basic '.base64_encode($this->username.':'.$this->
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
not found
八角研究所 : 誰でも簡単にできる Twitter ボット作成入門
ファイルツリー構造を表示するためのJS「jQuery File Tree」:phpspot開発日誌
環境変数チェック
https://www.system-act.com/weblog/item_58.html