Ya he mencionado anteriormente que CodeIgniter me parece el mejor framework PHP que hay, por lo que considero que los hacks a los que hace referencia el artículo de Nettuts nos pueden venir muy bien a quienes usamos CI:
Os voy a pasar una referencia a script de php que nos proporciona una consola remota para ejecutar comandos desde una página web. Con ella podréis ejecutar comandos mediante php, teniendo en cuenta los permisos de php para poder ejecutar los comandos que pasemos.
Algunos os llevaréis las manos a la cabeza y no sin razón, pero la verdad es que a mà personalmente me vendrÃa muy bien en ciertos proyectos en los que para ejecutar el más mÃnimo comando casi hay que enviar cien peticiones a la gente de redes encargada de los servidores de los proyectos. O cuando el acceso a telnet lo tienes restringido desde el trabajo.
Lo que está claro es que hay que añadirle toda la seguridad habida y por haber. En el artÃculo al que hago referencia, se pueden ver todos los controles de seguridad que hay que usar y copiar el script php necesario.
PHP and AJAX shell console
Phalanger es una implementación de PHP que permite incluir código PHP en el entorno del framework .NET de forma rápida y compatible con la mayorÃa del código PHP.
El desarrollador podrá beneficiarse de la facilidad y eficiencia de PHP y del poder y riqueza de .NET. Phalanger compila los scripts PHP en código MSIL, el cual puede ser ejecutado en .NET o Mono.
Phalanger incluye funciones de tratamiento de strings o arrays que han sido reimplementadas, teniendo un buen rendimiento. Lo único malo es que por ahora solo soporta código para PHP4.
Phalanger
VÃa / AjaxLine
En ocasiones en nuestros blogs o páginas ponemos una referencia a otro sitio, que cuando el visitante intenta acceder, se encuentra con que la página ya no está disponible. Vamos a hacer una pequeña función que una vez cargada la página vaya comprobando mediante AJAX si el enlace es correcto y si no lo es, lo modificaremos para que cuando se pulse en él, aparezca un mensaje indicando que ya no es un enlace válido.
No es la primera vez que me toca buscar malware en algún WordPress, y la verdad, suele ser un dolor de cabeza. Básicamente usan dos funciones: eval y base64_decode. Con eval nos meterán el código malicioso, que estará codificado en base64 para evitar que lo encontremos fácilmente.
Si tenéis acceso al SSH del servidor, una llamada a find . -name '*.php' -exec grep -l 'base64' {} \; suele bastar para encontrar este tipo de llamadas, o buscar eval en vez de base64.
Desgraciadamente esto no siempre funciona, ya que la función eval puede estar codificada de la siguiente forma:
$foo = "b"."a"."s"."e"...;$code = 'ev'.'al($a);';$s = create_function('$a',$code); Otro punto a tener en cuenta es la posibilidad de que hayan modificado el código de nuestro WordPress, lo cual se puede solucionar reinstalando el WP desde el admin. Aunque también pueden haber modificado el wp-config.php e incluir un fichero php que aparenta ser de WP (normalmente metindo en la carpeta wp-includes) pero que no lo es. Por lo cual es recomendado comprobar el wp-config.php con cualquier versión en local.
A parte de todo esto, es importante el tema de los permisos de los ficheros, etc…
Actualización 29/05/2015: también es aconsejable buscar esta cadena \142\x61\163\145\66\x34\x5f\144\x65\143\x6f\144\145, ya que al hacer un echo nos devuelve la función base64_decode.
Actualización 02/07/2015: buscar también la cadena \x65\x76\x61\x6c, ya que devuelve la función eval.
Una de las opciones que más me gusta de la Wikipedia es la posibilidad de buscar contenidos usando la url. Para ello tan solo hay que escribir lo que queremos buscar después de esta dirección:
http://es.wikipedia.org/wiki/
Por ejemplo, si queremos buscar información sobre La Habana deberíamos poner lo siguiente:
http://es.wikipedia.org/wiki/La_Habana
Si encuentra algo lo muestra y si no es así, o te muestra una lista de posibilidades o te muestra una página de error 404.
Para poder incluir algo parecido en nuestro site deberemos modificar la configuración de Apache y crearnos un script (en este caso en PHP). Puede sernos muy útil si usamos tags o similares.
Adroit es un framework MVC ligero que nos ayudará a desarrollar nuestros proyectos web.
Aunque hay frameworks muy estables y potentes como puedan ser CakePHP o Zend Framework, hay veces que un framework ligero pueda ser más conveniente.
Adroit nos ofrece entre otras cosas lo siguiente:
VÃa / PHPDeveloper.org
Comments are closed.
interesante, aunque hay otros fw, quizás, mejores que ci. ejemplo: yii o zend.
salU
A mi personalmente no me gusta Zend, pero para gustos los colores 🙂
Hay muchos frameworks y algunos muy interesantes, como por ejemplo Kohana, basado en CI
Saludos
Yo trabajo con Ci y me parece un buen framework y hasta el momento no he tenido la necesidad de probar o utilizar otro framework.
El hack que mas me interesa es el de prevenir la colisión de nombres entre controladores y modelos.
Cierto, Psycho, lo más interesante para mà también es el hack de las colisiones.
Saludos
interesante, y por cierto no habia notado que sentido web cambio de luck cosa que le sentó de maravilla
Hola khafra.
Si, año nuevo imagen nueva, me alegro de que te haya gustado, total sólo he tardado año y pico en hacerlo jejeje y ya por desesperación lo dejé asÃ, lo de diseñar no es lo mÃo.
Saludos