Можни напади
Почист и полокален преглед на PHP референцата, со задржана структура од PHP.net и подобра читливост за примери, секции и белешки.
Можни напади
Референца за `security.cgi-bin.attacks.php` со подобрена типографија и навигација.
Можни напади
Using PHP as a CGI Користењето на PHP како CGI бинарна е опција за поставувања што од некоја причина не сакаат да го интегрираат PHP како модул во серверскиот софтвер (како Apache), или ќе го користат PHP со различни видови chroot and setuid обвивки за создавање безбедни php околини за скрипти. Ова поставување обично вклучува инсталирање на извршна cgi-bin бинарна во директориумот на веб-серверот. Советот на CERT » CA-96.11 cgi-binпрепорачува да не се поставуваат толкувачи во php . Дури и ако
-
бинарна може да се користи како самостоен толкувач, PHP е дизајниран да ги спречи нападите што ова поставување ги овозможува: http://my.host/cgi-bin/php?/etc/passwd
Пристап до системски датотеки:
?Информациите за прашањето во URL по прашалникот ( ) се пренесуваат како аргументи од командната линија до толкувачот од страна на CGI интерфејсот. Обично толкувачите отвораат и извршуваат датотека специфицирана како прв аргумент на командната линија. php Кога се повикува како CGI бинарна, -
одбива да ги толкува аргументите од командната линија. http://my.host/cgi-bin/php/secret/doc.html
Пристап до кој било веб-документ на серверот:
/secret/doc.html Делот за информации за патеката на URL по името на PHP бинарната програма, CGI конвенционално се користи за да се специфицира името на датотеката што треба да се отвори и толкува од
Actionпрограмата. Обично некои директиви за конфигурација на веб-серверот (Apache: http://my.host/secret/script.php to the PHP interpreter. With this setup, the web server first checks the access permissions to the directory /secretдо PHP интерпретерот. Со ова поставување, веб серверот прво ги проверува дозволите за пристап до директориумот http://my.host/cgi-bin/php/secret/script.php, и после тоа ја креира пренасочената порака /secret/script.php. За жал, ако пораката е оригинално дадена во оваа форма, веб серверот не прави проверки за пристап за датотеката /cgi-bin/php , туку само за /cgi-bin/php датотеката. На овој начин секој корисник што може да пристапи до може да пристапи до кој било заштитен документ на веб серверот. cgi.force_redirect, doc_root and user_dir Во PHP, директивите за конфигурација во тек на извршување