URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 136568
[ Назад ]
Исходное сообщение
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено opennews , 10-Апр-25 23:02 
Фонд OSTIF (Open Source Technology Improvement Fund), созданный с целью усиления защищённости открытых проектов, объявил о завершении независимого аудита основной  кодовой базы проекта PHP. Работа выполнена французской компанией QuarksLab, которая  уже привлекалась для аудита проектов OpenVPN, VeraCrypt и OpenSSL. В ходе проверки выявлено 27 проблем, из которых 17 имеют отношение к безопасности, а 10 носят информационный характер...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=63049

Содержание
Сообщения в этом обсуждении
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 10-Апр-25 23:02 
На самом деле не так страшно, как я ожидал и как могло бы быть
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено чатжпт , 10-Апр-25 23:05 
ага, не так страшен пхп как программисты, которые на нем пишут
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 11-Апр-25 00:13 
Пхп-программист - это как дхтмл-программист?
Бывают программисты на таких языках?
Это же дизайнеры сайтов, даже на бэкэнде.
Такими их раньше и считали, похоже что то изменилось с тех пор.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено безразницы , 11-Апр-25 00:44 
Это как эсэсай программист на максималках.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 11-Апр-25 00:54 
Нет блин, один ты Д'артаньян. Сколько можно эту повестку нести в массы? Программист это вообще нынче как медик или юрист, т.е. даже не профессия реально. Нынче девелоперы. При том что те кто знают английский, то понимают разницу между билдером, девелопером и инженером. Вот тот который образованный с тем самым высшим образованием как-раз таки инженер, а именно инженер-программист. И как по вашему вообще они должны были проверять язык программирования? Вот эти проверяющие от французской компании по вашему тоже не программисты? Они ведь тоже наверняка его знают. Вы знаете и я знаю PHP. Работа с этим не связана правда и что вы мне хотите этим сказать? Что вы неуч и оправдываете свое незнание? Или что умышленно занижаете самооценку тех кто на нем пишет? Главное по факту ничего не сказано, а обосраны все - дизайнеры ему не нравятся, html, т.е. веб-программисты, php программисты. Зачем людей то обижать? Причем соотечественников.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено n00by , 11-Апр-25 09:58 
PHP -- Тьюринг-полный язык, то есть позволяет "запрограммировать всё", грубо говоря.

Для PHP есть PHPDoc и поддержка doxygen -- то есть возможно создавать документацию к коду.

Всё это ты мог найти в поисковике за пару минут и без меня. Не смог? Тогда правильный вопрос: что ты тут делаешь?

"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 11-Апр-25 12:50 
>PHP -- Тьюринг-полный язык, то есть позволяет "запрограммировать всё", грубо говоря.
>Для PHP есть PHPDoc и поддержка doxygen -- то есть возможно создавать документацию к коду.

Правильный вопрос: к чему этот поток сознания?

"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено n00by , 11-Апр-25 18:16 
А для твоего любимого bash есть аналог doxygen?
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 10-Апр-25 23:35 
А ты думал, что тебе расскажут про самые вкусные уязвимости? Такое лучше приберечь до времён когда объявят вознаграждение. Или просто приберечь.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено User , 11-Апр-25 09:58 
Вообще да. Кодовая база не маленькая, достаточно старая при том - и не так, чтобы плохо. Понятно, что в разных фреймворках\библиотеках похапэ-на-похапэ там на сто лет запасено, но всё-ж!
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Карлос Сношайтилис , 10-Апр-25 23:35 
PHP этот случай когда исправил большинство своих детских ошибок и стал как окружающие.
Но все помнят овцу.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Жироватт , 11-Апр-25 07:56 
Исправил ли?
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 11-Апр-25 00:09 
PHP - языком из прошлого ещё кто-то пользуется?

Он уходит, как и Ruby.

"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 11-Апр-25 00:22 
> PHP - языком из прошлого ещё кто-то пользуется?

Конечно. Есть же гигатонны легаси, которые пыхеры успели выродить.
И никто их дропать не собрается, поэтому продолжат допиливать и допиливать.
А начинать новый проект на нем... ну это нужно имень очень веские причины.

"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 11-Апр-25 09:47 
PHP — не "язык прошлого", а язык специфических задач.

Для стартапов/лендингов/бложиков — ещё актуален (особенно с Laravel или WordPress).

Для высоконагруженных/сложных систем — чаще выбирают Go, Node.js, Python или даже Rust.

"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Анониматор , 11-Апр-25 11:55 
и еще помним про битрикс )))
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Gemorroj , 11-Апр-25 22:19 
> высоконагруженных/сложных
> Node.js, Python

яснопонятно. люди так и не узнали про swoole и живут в мире php 4

"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 12-Апр-25 00:29 
Расскажи это фонду Викимедиа
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 11-Апр-25 00:56 
Я пользуюсь PHP. Использую LAMP-стек для хранения информации о пакетвх в своем дистрибутиве.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 12-Апр-25 00:31 
> Использую LAMP-стек для хранения информации о пакетвх

Даже не знаю, плакать или смеяться

"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 11-Апр-25 00:58 
Он уходит с вашего местечкового рынка? Поищи в поисковой системе это до сих пор самый популярный язык в вебе во всем мире с огромнейшей долей рынка и никуда от этого не деться в ближайшее время.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 11-Апр-25 14:41 
То, что большая часть этой доли это WordPress, тактично умолчим, иначе звучит как будто это скриптовый язык для CMS-ок
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено YetAnotherOnanym , 11-Апр-25 10:20 
Вообще-то, усилиями Фейсбука и прочих, нынешний ПХП - это уже далеко не тот ПХП, который был десять лет назад. И - да, пишут и немало пишут.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Анониматор , 11-Апр-25 11:53 
какие 10, я начинал писать на пыхе когда условный блок if надо было заканчивать ключевым словом fi, даже в фидонете тогда про него никто не слышал.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено YetAnotherOnanym , 11-Апр-25 17:12 
О том, что пых значительно старше - я в курсе :)
Про "десять лет" я написал потому, что примерно рубеж нулевых-десятых и первая половина десятых - это то время, когда новости о дырах в пыхе шли нескончаемым потоком.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Ivan_83 , 11-Апр-25 10:25 
Да, отличный язык для своей области.
Я только в выходные в rutorrent заслал два PR, как раз на пыхе.
Да и свой SSDPd я не вижу смысла с пыха переписывать на что то.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 11-Апр-25 17:12 
Да-да, умирает, после каждого запроса умирает.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено windows10 , 12-Апр-25 02:13 
> PHP - языком из прошлого ещё кто-то пользуется?

Посмотри на скриншот, и ответь мне на несколько вопросов, друг:

https://ibb.co/WvyTL87K

1. Узнаешь ли ты ОС или хотя бы DE на этом скриншоте? Ну там по панели задач, по панели управления;
2. Узнаешь ли ты язык в Geany на заднем фоне?
3. Осознаешь ли, что целый модуль панели управления с ползунками и настройками для демона уведомлений (который тоже кстати написан на PHP) занимает всего 176 строк?
4. Понимаешь ли ты насколько ущербны монструозно-тормозящие гномы с кедами и разжиревшей крысой, по сравнению с нормальным DE которое работает как молния, занимая при этом 72 мб на диске и ~30 мб в ОЗУ?

А так да, язык из прошлого уходит.
[сообщение отредактировано модератором]

[сообщение отредактировано модератором]

"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 12-Апр-25 14:51 
>работает как молния, занимая при этом 72 мб на диске и ~30 гб в ОЗУ

Многовато в ОЗУ. Вы не ошиблись?

P.S. Выкладывать на публику скиншот с матерным словом? Это многое говорит...

"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено windows10 , 12-Апр-25 17:51 
> Многовато в ОЗУ. Вы не ошиблись?

Конечно же ошибся, что и ежу понятно.

> P.S. Выкладывать на публику скиншот с матерным словом? Это многое говорит...

К PHP это никак не относится.

"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Рщъ , 13-Апр-25 11:02 
> и ~30 гб в ОЗУ

Не то, чем стоит гордиться.

По ссылке — белый фон и чёрный прелоадер на нём.

"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Google , 11-Апр-25 11:11 
> Фонд OSTIF (Open Source Technology Improvement Fund), созданный с целью усиления защищённости
> открытых проектов, объявил о завершении независимого аудита основной  кодовой базы
> проекта PHP. Работа выполнена французской компанией QuarksLab, которая  уже привлекалась
> для аудита проектов OpenVPN, VeraCrypt и OpenSSL. В ходе проверки выявлено
> 27 проблем, из которых 17 имеют отношение к безопасности, а 10
> носят информационный характер...
> Подробнее: https://www.opennet.dev/opennews/art.shtml?num=63049

В новости важно отметить факт, что не вся кодовая база была проверена, а только критические компоненты:

Due to budget constraints, the recent security audit focused on the most critical components of the PHP source code rather than the entire codebase. Organizations interested in sponsoring a comprehensive audit or additional assessments are encouraged to contact us!

"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Анониматор , 11-Апр-25 11:45 
Забудьте про PHP-FPM, ведь есть NGINX Unit с модулем PHP и он на порядок производительнее
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено безразницы , 11-Апр-25 12:15 
"Порядок" это сколько процентов?
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Анониматор , 11-Апр-25 12:48 
раз в 10 меньше задержек и раз в 10 больше принять коннектов
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 11-Апр-25 15:20 
Забыли и про PHP, и про NGINX. Оставь себе.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Gemorroj , 11-Апр-25 22:20 
так есть и swoole/roadrunner/amphp/frankenphp о которых местная аудитория и не слышала.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено windows10 , 12-Апр-25 02:18 
> так есть и swoole/roadrunner/amphp/frankenphp о которых местная аудитория и не слышала.

А еще есть php-gtk, на котором написана целая полнофункциональная DE, есть php-dio на котором написан модуль для управления гибридным инвертором по протоколу modbus, есть еще php-gd, на котором можно рисовать графику не напрягаясь, и так далее и тому подобное =)

Но 90% местной аудитории код вообще никогда не писала, поэтому странно надеяться что они что-то там слышали =)

"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено Аноним , 12-Апр-25 14:57 
И все они проверены на безопасность? Даже в топике был проверен не весь код.
"Опубликованы результаты аудита безопасности кодовой базы PHP"
Отправлено windows10 , 12-Апр-25 18:40 
> И все они проверены на безопасность? Даже в топике был проверен не весь код.

Безопасность от чего?