PHP-Sicherheit

Von Pelle Boese kommt die erste Rezension zur Zweiten Auflage unseres Buches - vielen Dank für die freundlichen Worte!

Die aktualisierte zweite Auflage des Buches von Christopher Kunz und Peter Prochaska, die über 50 Seiten mehr als die erste Auflage bietet, ist eine lohnende - in meinen Augen sogar dringend notwendige - Anschaffung für PHP Entwickler und Systemadministratoren, aber auch für Entwickler die mit anderen Sprachen im Web-Bereich arbeiten. Besonders die Kapitel über Parametermanipulation, Cross-Site-Scripting und SQL-Injections sind, bis auf die Beispiele in PHP, sprachübergreifend. [...] Meiner Meinung nach ist dieses Buch die Referenz im PHP-Security-Bereich. Die vollständige Übersicht über mögliche Attacken und Präventionsmöglichkeiten gibt es - meines Erachtens nach - nirgends sonst in einem Buch vereint. Ein Must-Have, auch für stolze Besitzer der ersten Auflage.

Die vollständige Rezension können Sie auf amazon.de nachlesen.

Die zweite Auflage unseres Buches "PHP-Sicherheit. PHP/MySQL-Webanwendungen sicher programmieren" ist nun im Druck. Neu dazugekommen ist Stefan "MOPB" Esser als Co-Autor und eine Menge Content:

• PHP5-Features und -Einstellungen
• Komplett überarbeitetes Kapitel zum Hardening- bzw. Suhosin-Patch
• Neue XSSe, Attack API, neue XSS-Filter, ein wenig "Web 2.0"
• Ein neues Kapitel über ext/filter
• mod_security 2.0 - Änderungen und Probleme
• mod_parmguard als Whitelisting-Modul für Apache
• Diverse Korrekturen und Errata
• Ganz neu: Blaues Cover!

Insgesamt 320 Seiten (vorher 277) und damit ein ganzes Stück voluminöser als die erste Auflage. Vorbestellbar unter Anderem bei Amazon.

In aller Kürze: Meine Slides zur SLAC finden Sie ab sofort hier: Slides zum Konferenzvortrag "PHP-/Webserversicherheit".

Für alle Interessenten: die Sessionslides zu meinem ganztägigen Vortrag "PHP-Sicherheit" können jetzt heruntergeladen werden.Sessionslides im PDF-Format

Just as a quick hint for the answers, I decided to blog about which answer is right - and why. 1. The third answer is correct, apart from the fact that the regexp is lacking a delimiter. Were it a correct regexp (which we assume is only due to a typo), it would strip all NON-WORD characters from the string. Answers 1 and 2 do not protect against closing of HTML tags (answer 1, " and > are only prefixed with \, which doesn't matter for HTML renderers) and closing of HTML attributes (strip_tags does strip anything between <>, but NOT attributes like " foo="bar" which do not contain <>). 2. Answer 2 is correct. The /e modifier for preg_replace is fed a string from $_GET. The htmlentities call which supposedly escapes double quotes is executed after the string is imported from $_GET. A string like \");phpinfo(); in $_GET['name'] would therefor allow remote code execution. Answers 1 and 3 are not correct because 1 does not give a 1-request remote code execution, but only a local one, although exploiting that would be trivial. Answer c simply is not vulnerable because in this answer, htmlentities() is called outside the eval (concatenated with ..). 3. Answer 5 is correct, since any tag can contain e.g. a "style" attribute. 4. Answer 4 is correct, since the JavaScript "virtual machine" inside the browser has no control over the client-side file system. Keylogging via JS, a simple TCP port scanner and viable Session Riding attacks have all been successfully done with XSS already. Have fun on the rest of the conference, and good luck in the draw!

Wie auch im letzten Jahr - da leider noch ohne eigenes Buch - sind Peter Prochaska und Christopher Kunz auch in 2006 wieder auf der PHP-Konferenz unterwegs und engagieren sich für PHP-Security.
Christopher hält am Montag einen ganztägigen Workshop zum Thema und bringt Anfänger sowie den einen oder anderen Fortgeschrittenen die Grundlagen und einige erweiterte Tricks und Kniffe zur Absicherung von PHP-Anwendungen nahebringen. In insgesamt 6 Stunden gibt es jede Menge Tipps zu PHP-Sicherheit. Außerdem werden Peter, Christopher und Stefan Esser im Community-Forum der Öffentlichkeit ihr neuestes Produkt präsentieren, den Nachfolger zum beliebten Hardening Patch for PHP - Suhosin. Jeder, der keine Zeit hatte, die langen Threads auf Mailinglisten, in Foren und Onlinemedien zu verfolgen, kann sich am Stand des Projektes schnell auf den neuesten Stand bringen lassen, was er in 2006 in Punkto PHP-Sicherheit verpaßt hat. Natürlich haben alle treuen Leser (und die, die es auf der Konferenz werden wollen) die Möglichkeit, mit uns zu diskutieren, Fragen zu stellen - oder einfach nur ihr Buch signieren zu lassen

Wer hat noch mehr Aufnahmen unseres Buches in der Buchhandlung?

Die einführenden Worte (u.a. zu den Themen "Was ist Sicherheit", "Wichtige Informationsquellen" u.a.) werden im ersten Kapitel erörtert, das als Leseprobe im PDF-Format auf der Seite des Verlags zur Verfügung steht.

Auf der Seite zum Buch beim dpunkt.Verlag gibt es das Inhaltsverzeichnis von "PHP-Sicherheit" als PDF.