「PHPINIDir」でphp.iniのパスを指定
不動産専門ホームページ制作会社で働くエンジニアのブログです。日々、業務の中で得られた知識や技術、時々はプライベートなネタも投稿していきます。 menu php.iniを修正したのですが、 Apacheの再起動までちゃんと行ったのですが、 反映されないという現象が。。。 で、 php.iniのパスが間違っているのかと思い、 <?php phpinfo(); ?> で確認すると、 「Loaded Configuration File」が(none)になっていました。 ※サーバ環境は「entOS7」、「Apache/2.4.6」です。 どうもphp.iniを読み込んでいないようです。 仕方ないので、 「PHPINIDir」でphp.iniのパスを指定してやります。 # vi /usr/local/apache2/conf/httpd.conf として、「httpd.conf」に以下の記述を追記し
「別プロセスの PHP が今何をしているか」を実況するプログラムを PHP で作った - Qiita
0 fgets <internal>:-1 1 <main> <internal>:-1 0 fgets <internal>:-1 1 <main> <internal>:-1 0 fgets <internal>:-1 1 <main> <internal>:-1 ... 0 time_nanosleep <internal>:-1 1 PhpProfiler\Lib\Loop\LoopMiddleware\NanoSleepMiddleware::invoke /home/sji/work/php-profiler/src/Lib/Loop/LoopMiddleware/NanoSleepMiddleware.php:33 2 PhpProfiler\Lib\Loop\LoopMiddleware\KeyboardCancelMiddleware::invoke /home/sji/
PHPでログファイルへの読み書きを通して任意コード実行をする方法 - knqyf263's blog
以前少し話題になったLaravelのデバッグモード有効時の脆弱性であるCVE-2021-3129のPoCを読んでいたのですが、思ったより難しくて何でこんなことをしているんだろうと思ったら発見者による解説ブログがありました。読んでみたらバイパスのために思ったより色々していて普通に勉強になったのでメモを残しておきます。CTFerからすると常識な内容かもしれないので、何か間違いや補足があれば指摘をお願いします。 www.ambionics.io 前提知識1 前提知識2 本題 問題点 = によるエラー 日付のデコード ログファイル内の他エントリ バイパス方法 consumedの利用 iconvの利用 パディングの利用 UTF-16のための調整 NULLバイトの回避 最終形 まとめ 前提知識1 上の脆弱性を理解するためにはいくつかの前提知識を必要とするため最初にまとめておきます。 まず、PHPでは外
PHP 5.6、7.0、7.1、7.2およびHHVMのベンチマーク（2018年）
PHP 8.1、8.2、8.3のパフォーマンスベンチマーク PHPは、最も使用されているサーバーサイドプログラミング言語の1つであり、現在稼働中の全サイトの約76%で使用されています。Kinstaでは、毎年さまざまなPHPフレームワークのパフォーマンスベンチマークを行い、各PHPバージョンの性能を比較しています。 2023年12月は、PHP 8.1、8.2、8.3を11種類のコンテンツ管理システム（CMS）とフレームワーク（WordPress、WooCommerce、Drupal 7および10、Joomla、Laravel、Symfony、CodeIgniter、Craft CMS、Typo3、Opencart、Stamic）を使ってベンチマークを行いました。また、WordPressとWooCommerceでは、PHP 7.4も使用しています。 PHPは、パフォーマンスとセキュリティの最適
PHPでファイルを暗号化 - Qiita
以前、単純な文字列を暗号化する方法書きました。 今回はAES256以上でファイルを暗号化して！と言われたのでテストしてみました。 文字列の際と同様に、基本は、openssl_encrypt()を使う。 文法的には、 string openssl_encrypt ( string $data , string $method , string $password [, int $options = 0 [, string $iv = "" ]] ) <?php //暗号化パラメータ define('PASSWORD','hogehogefoofoo'); define('IV','1234567890123456'); //入出力ファイル $plain_file = './plain.txt'; $enc_file = './enc.txt'; $out_file = './out.txt'
ウェブ・セキュリティ試験（通称：徳丸試験）を2019年12月より開始 | PHP技術者認定機構
一般社団法人BOSS-CON JAPAN（代表理事：吉政忠志、所在：東京都世田谷区、以下「BOSS-CON JAPAN」）は、BOSS-CON JAPAN内組織であるPHP技術者認定機構が国内Webセキュリティ第一人者である徳丸浩氏が代表を務めるEGセキュアソリューションズ株式会社の支援を受け、ウェブ・セキュリティ試験（通称：徳丸試験）を2019年12月より開始することを発表いたしました。なお、本試験問題はEGセキュアソリューションズ株式会社が作成いたします。 ■ウェブ・セキュリティ試験実施の背景 全世界で稼働しているWebサイトは5億サイトになりました。企業にとっても重要な位置づけになるため、サイバー攻撃の対象となるケースも増え、攻撃手法も複雑かつ巧妙になってきています。よってウェブ・セキュリティに対する対策は以前よりまして緊密且つ迅速に施さなければなりません。ユーザ、開発者に対してより
シェルを経由しないOSコマンド呼び出しがPHP7.4で実装された
この記事はPHP Advent Calendar 2019の5日目の記事です。 はじめに 私は6年前に、PHP Advent Calendar 2013として「PHPだってシェル経由でないコマンド呼び出し機能が欲しい」という記事を書きました。その中で、OSコマンドインジェクション対策の根本的かつ安全な対策は「シェルを経由しないコマンド呼び出し」であることを指摘した上で、末尾に以下のように書きました。 PHPコミッタのみなさま、PHP5.6の新機能として、シェルを経由しないコマンド呼び出しの機能を追加できませんか? 現実には当時からPCNTL関数にてシェルを経由しないコマンド呼び出しはできたのですが、当関数の使用が難しいことと、CLI版あるいはCGI版（FastCGIは可）のPHPでないとサポートされていないなどの制限があり、popenやproc_openなど使いやすいコマンド呼び出し関数に
【PHP7.4】PHPの新たな演算子??=ってなんぞ？ - Qiita
2019/01/22(JST)にImplement ??= operatorという謎のマージがありました。 RFC RFCは賛成37、反対4の圧倒的多数で可決されています。 なお投票開始は2016/03/24で、終了が2016/04/02です。 つまり、それ以来3年弱ほったらかされていたということです。 ??=ってなに？ RFCでは『Null Coalescing Assignment Operator』と呼ばれています。 どうも適切な日本語がないみたいなのですが、NULL合体演算子(Null Coalescing Operator)から類推すると『NULL合体代入演算子』とかになるんですかね？ 名前のとおり、NULL合体演算子と代入演算子を合わせたような演算子です。 使い方 // NULL合体代入演算子 $id ??= getId(); // これと同じ $id = $id ?? get
2018年のパスワードハッシュ - Qiita
数年前であれば仕方なかったところですが、2018年の今となっては、パスワードハッシュの手動計算はもはや"悪"です。 まずログイン認証と称してmd5とかsha1とか書いてあるソースはゴミなので投げ捨てましょう。 hashやcryptは上記に比べればずっとマシですが、使い方によっては簡単に脆弱になりえます。 あと『パスワードを暗号化する』って表現してるところも見なくていいです。 PHPには、ハッシュに関わる諸々の落とし穴を一発で解消してくれるpassword_hashという超絶便利関数があるので、これを使います。 というか、これ以外を使ってはいけません。 以下はフレームワークを使わずに実装する際の例示です。 フレームワークを使っている場合は当然その流儀に従っておきましょう。 ハッシュの実装 データベース ユーザ情報を保存するテーブルを作成します。 パスワードカラムの文字数は、システム上のパスワ
Python・PHP・Perl・Bash・Rubyで簡単にWebスクレイピングする方法を解説する - paiza times
Photo by Ted Eytan 秋山です。 最近PythonでWebスクレイピングしたりする記事をよく目にする気がするので、私も書いてみようと思います。 ちなみにPythonはNumpyやPandasなどの分析に便利なライブラリやツールがあったりするので使いやすい部分はあると思いますが、「Webスクレイピングに向いてる言語はPython！」というわけではありません。 スクレイピングは別にPython以外の言語でもできますし、むしろ単純なデータの抽出程度なら無理にPythonを使うよりも、自分がふだんからよく使っている言語でやったほうがよいかと思います。 今回は、Python・PHP・Perl・Bash・Rubyを使って、Webスクレイピングを試してみたので、各言語でのやり方を説明していきます。 ■Python・PHP・Perl・Bash・RubyでWebスクレイピングする 今回、作業
サニタイズ/入力値検証/エスケープの考え方 - Qiita
サニタイズって言うと怖い人たちがやってくるから言わないようにしましょう。 サニタイズは入力値検証もエスケープもなにもかもを含んだ広い意味になってしまったので、うっかり言ってることが食い違うと大変です。 入力値検証は、PHPの外からPHPに入ってくる値を検証することです。 外というと主に$_REQUEST/$_GET/$_POST等のリクエストパラメータがイメージされますが、実際はそれ以外にも環境変数、コマンドライン引数、ファイルやデータベースからの読み込みなど、PHP以外からやってくる全てのものを指します。 入力値検証はセキュリティ対策ではない もう入力値検証はセキュリティ対策としてあてにしないようにしようという記事がありますが、「もう」以前に、そもそも入力値検証は根本的にセキュリティ対策ではありません。 入力値検証は、『入力値が要件として正しい値か否かをチェックする』機能であって、そこに
こんなこと知ってるぺちぱーは老害だ
4. ぼく、てきめん！ • 「てきとう」「めんどい」の略デス＞＜ • Don t think, feel! and Laziness • さいと: http://tekitoh-memdhoi.info • twitter: @youkidearitai • facebook: youkidearitai.yuya.hamada 5. 先頭に「美乳」 • 昔EUC-JPのページで文字化けを防ぐために Shift_JISにない「0xFD」や「0xFE」が偶然「美 乳」内にあったために生まれた「おまじない」 • Yahoo! Japanでは流石に使いづらかったのか「京」 (0xFEが入ってる)になってた • 参考 • EUC-JPの文字化け対策に有効な「美乳」 • 2005年あたりのInternet Archive
phpにセッションというものがありますが、多くの利用者がいる、大量のセッションIDが発行されているサイトで、セッションIDに対し... - Yahoo!知恵袋
phpにセッションというものがありますが、多くの利用者がいる、大量のセッションIDが発行されているサイトで、セッションIDに対して総当たり攻撃を仕掛けた場合、その中の一つを割り出すより、 phpにセッションというものがありますが、多くの利用者がいる、大量のセッションIDが発行されているサイトで、セッションIDに対して総当たり攻撃を仕掛けた場合、その中の一つを割り出すより、 そのどれかなら楽にヒットさせることができそうに思うのですが、このような攻撃は成功し得るものでしょうか。 ネットを調べていたところ、セッションIDをアクセスの度に変える、というのがありましたが、どのIDでもいい、とした攻撃に対して無意味じゃないかと思うのですが・・・。 ただの素人の勘繰りですが対策があるなら是非教えて頂きたいです。。
composer 導入をまじめに考える - Qiita
これは結構大きいPHPのプロジェクトに composer を導入する機会があったので、そのときに考えてたことや行ったこと、使い方などをメモするために書いた。 モチベーション 私達は PHP のパッケージの管理を管理する際は pear と git submodule を利用していた。これらのやり方は意外と長続きした。これらにはついて様々な問題を抱えており、ついに限界がきてしまった。 pear pear でパッケージを導入するには root 権限が必要なので、毎回インフラチームに導入を依頼するのが必要があった。 pear で導入されたパッケージについてバージョンを上げようとすると、全APサーバーで更新をかける必要があった。 これらの点から面倒だったのと、気軽に変更できないので、不要になったものも削除されることなく、放置されるのが問題だった git submodule こちらは pear とは異
今までのPHPのやり方を全て打ち捨てよう - 絵描いたりコード書いたりする奴の独白
PHPは日々進化している 最重要な言語仕様の変更点 PHP 5.3.x 名前空間 レイトスタティックバインディング クロージャ PHP 5.4.x trait ビルドインサーバ クロージャで$this PHP 5.5.x ジェネレーター Composer PHPにとってのBundler PEARの環境依存やめよう PECL？知らん PSR-4 includeやrequireをもう使う必要はない PSR-4の規約にそって名前空間とディレクトリを掘ろう そしてcomposer.jsonにちょいちょいと { "autoload": { "psr-4": { "mynamespace\\": "src/" } } } そしてbootstrapに相当するphpスクリプトに require_once 'vendor/autoload.php'; これだけで後はuseをjavaのimportに相当するも
暇だしPHPの初心者向け講座やるけど需要ある？ : IT速報
5: 名無しさん＠おーぷん 2015/01/30(金)13:23:24 ID:7kd はよ！ 12: 名無しさん＠おーぷん 2015/01/30(金)13:27:39 ID:mmG どのくらい教えてくれるの？ 13: 名無しさん＠おーぷん 2015/01/30(金)13:29:48 ID:CM7 >>12 どこからがいい？ つか俺も素人だし重度のめんどくさがり屋だから質問されても詳しいことは分からんけど 時間は暇だから適当な環境構築からやってもいいよ 15: 名無しさん＠おーぷん 2015/01/30(金)13:31:01 ID:6UD PuppyLinuxでPHP環境つくるの教えて 16: 名無しさん＠おーぷん 2015/01/30(金)13:32:12 ID:CM7 >>15 linuxならubuntuにしなさい なぜなら今僕の手元にあるのubuntuしかないから 17: 名無しさん＠
PHP CS Fixerで快適PHPライフ - FLOG SPLASH
2017/03/30 追記 新しいバージョン (v2.0) の記事を書きましたのでこちらもご覧ください fivestar.hatenablog.com この記事は PHP Advent Calendar 2014 の8日目の記事です。 コーディング規約が守れない方とお悩みの方も、チームメンバーがなかなか守ってくれないとお悩みの方も、 PHP CS Fixer があればもう安心。PHP CS Fixer が PHP コードをコーディング規約に沿って整えてくれるので、秩序ある PHP ライフが約束されるでしょう。 そんなこんなで PHP Advent Calendar 2014 の 8 日目ですね。みなさんこんにちは、 fivestar こと小川です。いつのまにかクロコスがなくなって Y の人になっちゃいましたね。 昨今は PSR (PHP Standard Recommendation) の
PHPerがRailsデビューしてWebAPIを作りRSpecでテスト書いてCap3/CircleCIでデプロイして分かった事を1ヶ月前の自分に教えたいので、まとめてみた - Qiita
PHPerがRailsデビューしてWebAPIを作りRSpecでテスト書いてCap3/CircleCIでデプロイして分かった事を1ヶ月前の自分に教えたいので、まとめてみたRubyPHPRailsRSpec タイトル長い。すまぬ。PHPerとして約10年近く。Ruby自体は案件によってちょこっとだけ触ったことがある程度。Rails自体を本格的にさわるのは今回が初めて。PHPだとCakePHPを中心にZend／Symfonyなどいくつか。そんな僕が今回、Rails4デビューをして、WebAPIを作り、RSpecでテスト駆動開発風味で、GitHubプルリクベースの、CircleCI経由デプロイをするまでの開発の流れをひと通りやってみて、分かったことがいくつかあったので、それをまとめてみた。過去の自分のために。 注意点としては、今回作ったのはWebサービスではなく、スマホゲーム（ネイティブ）のサー
スクリプトインジェクション入門 - Qiita
はじめに 今回の記事は PHP を想定しています。 PHP は WEB サイトで最も使われていて、初心者がとっつきやすく、セキュリティーホールのあるシステムを最も多く生み出し続けている言語ですよね(￣▽￣；) そこで WEB プログラミングの初心者の方をターゲットに、出来るかぎり分かりやすく書いてみます。 というのは建前で、今週末にある PHP セキュリティのお勉強会の予習です。 記事の内容を他人の公開サーバーで試すと犯罪になる場合もあるので注意してね。 セキュリティを確保するにはシステムのアップデートが欠かせませんが、PHP は後方互換性に乏しく、バージョンアップが高コストなため、問題のあるバージョンのまま放置されたシステムになりやすく危険な言語だと思っています。 これは Ruby も同じで、私が言語を選べるなら、どちらも使いません。 堅い言語なら Java か C#(ASP.NET)、
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
noknow
