Defendiendo tus aplicaciones PHP con PHPIDS


En el sitio securitybydefault.com encontre un intersante artículo donde sugieren usar PHPIDS (curiosa aplicación) como un escudo ante tus código PHP. A continuación el texto:





Para cualquiera que siga listas como Bugtraq o se de una vuelta por packetstorm le resulta común encontrarse diariamente con cientos -literalmente- de vulnerabilidades asociadas a desarrollos web basados en PHP.

Generalmente el tipo de bug suele estar asociado a un mal filtrado del 'input' que proviene del usuario, ejemplos típicos son construir una sentencia SQL empleando un campo obtenido en algún formulario, o mostrar íntegramente y sin filtrar algún mensaje empleando un dato ofrecido por el usuario, lo que nos daría un bonito SQL Injection y un XSS.

Evidentemente este tipo de ataques son fruto de malas practicas de seguridad a la hora de programar, pero para ser justos no es menester culpar siempre al programador. Todos somos humanos y cometemos fallos.

Incluso proyectos tan robustos como WordPress han sido victimas de este tipo de fallos y por ende, sitios de la talla de Alt1040 han sido hackeados

Por eso, siempre es bueno que nos echen una mano a la hora de filtrar patrones maliciosos. Un proyecto que tiene como objetivo fortalecer aplicaciones PHP es PHPIDS.

El funcionamiento de PHPIDS es bastante curioso, no requiere instalar módulos en Apache ya que el proyecto en si es tan solo código PHP. Lo que hace es posicionarse "delante" del código PHP que se va a ejecutar y analizar los parámetros, si todo esta bien, se los envía al script, si encuentra alguna violación de seguridad, lo bloquea y muestra un mensaje de error. El concepto sería análogo a un Firewall pero a nivel aplicaciones-PHP

Existe un how-to bastante completo donde explica paso-a-paso como instalar PHPIDS

Fuente:
por Yago Jesus
http://www.securitybydefault.com/

 



Otras noticias de interés:

Vulnerabilidad a través de MHTML en Microsoft Windows
Han sido publicados los detalles acerca de una vulnerabilidad en el manejador del protocolo MHTML. El fallo podría permitir a un atacante remoto obtener información importante a través de un enlace HTML especialmente manipulado....
Acoso y derribo de la Internet
No acostumbro a creer en conspiranoias ni planes maquiavélicos de dominiación del mundo pero lo que está pasando en estas últimas semanas con Internet empieza a ser como para pensárselo:...
Phishings en la nube y el robo a un ladrón
Fernando Braquehais de S21sec e-crime muestra en el sitio http://blog.s21sec.com las caraterísticas de un novedoso kit de phishing que a su vez roba al que lo usa....
Adobe soluciona 6 vulnerabilidades en Shockwave Player
Adobe Systems ha publicado un nuevo boletín de seguridad (APSB12-23) que soluciona seis vulnerabilidades críticas en Shockwave Player....
Un troyano de Linux hace saltar todas las alarmas
Se ha descubierto un troyano en una de las descargas más populares de Linux, lo que pone de manifiesto que el sistema operativo no es impenetrable....
Adobe Reader X ya está disponible
Ya es posible descargar Adobe Reader X, uno de los componentes de Acrobat X Suite, compuesta a su vez por otros tres productos más: Adobe Acrobat Suite, Acrobat Pro y Acrobat Standard....
Desvelan cómo hackear bases de datos de Oracle
De acuerdo con el experto en seguridad, David Litchfield, un ataque de inyección de SQL podría utilizarse para hacerse con privilegios de administrador de la base de datos en un servidor Oracle....
Piensa 2 veces antes de bajar aplicaciones a tu #iPhone
Un error en el sistema operativo móvil de Apple permite a los piratas informáticas tomar el control de aplicaciones para el iPhone y el iPad y utilizarlas para robar fotos, contactos e incluso enviar mensajes de texto, sin que el usuario del dispos...
Creando bots para Google Talk
Desde que hace unos días la red deGoogle Talk se conectase con el resto de las redes XMPP de Internet, han sido numerosos los desarrolladores que han creado diferentes robots que simulan ser personas conectadas a esta red de Mensa...
Nueva versión Debian GNU/Linux 4.0 publicada
8 de abril de 2007: El proyecto Debian se complace en anunciar la publicación oficial de la versión 4.0 de Debian GNU/Linux, nombre en clave etch, tras 21 meses de desarrollo constante. Debian GNU/Linux es un sistema operativo libre que soport...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • aplicaciones
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • defendiendo
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • phpids
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra