Miliony webů postavených na PHP mohou trpět závažnou chybou. Na vině je děravá knihovna k zasílání e-mailů

Jistě, že to vadí - protože to je univerzální zranitelnost a určitě to půjde zautomatizovat a pak třeba použít k rozesílání spamu, DDoS atd.Hackovat něčí webíček napsaný jakkoliv prasácky na koleně nikdo nebude, pokud mu vysloveně nepůjde přímo o konkrétní web/server.

Stejná otázka a vadí to někomu? Pokud přes to budou rozesílat spam, ale jeho web nechají funkční, tak to za prvé ani dotyčný nezjistí a za druhé mu to může být jedno...

Inu, neprůstřelná logika...Možná, až si někdo objedná za nuznou částku (protože nikdo nepatchuje, kapacit je k dispozici dost, proto nízká cena) DDoS nějakého vašeho webu nebo služby, kterou používáte, pak vám to možná dojde. Možná.

Ať si klidně zaplatí, pokud někomu stojí za to vyhazovat peníze za krátkodobou nedostupnost nějakého z mých webů tak pro mě za mě, když mu to udělá radost. Sice si teda nemyslím, že by to shodil, protože to odfiltruje hosting, ale samozřejmě zkusit to může.

no hadam tomu kdo spravuje ten server to asi bude vadit kdyz se dostane na blacklisty

Tak to už je zase problém hostingu, pokud to bude vadit jim (a že spoustě by to taky nevadilo), tak ho prostě a jednoduše odstaví a dokud to neopraví, tak má smůlu.

Toz to uz si pomalu zacinas odporovat. :)
Nebo je ted argument "a vadi nekomu, ze mi weby nebudou fungovat?"

Asi jsem narazil na prvního člověka, kterému nevadí když jeho doména nebo IP bude na blacklistu a bude se zobrazovat jako nedůvěryhodný web ve všech prohlížečích ... Nejste náhodou jeden z těch lidí co radí ISP jak cenzurovat internet pomocí DNS?

Názor byl 2× upraven, naposled 01. 01. 2017 20:58

Pravda, protože kdyby nebyly postavené na PHP, tak by ani neexistovaly.

Tak by byly napsané v něčem jiném, no :)

A v něčem zrovna tak děravym

Nejde o to že by bylo PHP děravé. Jde o fakt, že ten jazyk je navržený poněkud nešťastně, nekonzistentně a některé jeho vlastnosti zanesení chyby do programu trochu usnadňují.

Například?

zato tebou ospevovany PERL6 je vykladna skrina :D
Number of elements in an array:
@array.elems
Co na tom, ze nazov property vobec nezodpoveda tomu co vykonava + nezmyselne skracovanie slova elements na elems. Ovela lepsie by bolo @array.length ako to ma napriklad C#.A python aj s tym jeho odsadzovanim je kapitola sama o sebe. Naozaj si myslis, ze iny programovaci jazyk z teba urobi dobreho programatora, ktory odrazu zacne robit bezpecne a kvalitne appky? Vela juniorov tvojho typu hladaju programovaci jazyk, ktory za nich vyriesi vsetko.

Kde prosím opěvuji Perl 6? Nikde. Popravdě jsem napsala kdysi pár řádek v Perlu 5 a 6 jsem viděla jen z pár článků. Jen jsem psala že by bylo pro PHP dobré, kdyby po jeho vzoru vydalo předělanou, nekompatibilní verzi. Starší by se daly udržovat, do nové, lépe navržené by se aplikace daly přepsat (jména funkcí a podobně by mohl vyřešit i konverzní skript).Je mi 30 a programovat jsem začala před víc jak 20 lety na Commodore 64, ale děkuji za toho juniora. Člověk se hned cítí mladší :)
Nikde netvrdím že jazyk za mě vyřeší vše. Jasně, třeba memory safe jazyky sníží šanci vytvořit memory leak, ale „šikovnému“ člověku se to povede i v Javě. Psala jsem jen, že PHP už z designu tvoří některé pasti na programátora, které si začátečník hned nemusí uvědomit a snadno do nich spadne. Víc jak některé jiné jazyky které znám.

Psala, ale žádné konkrétní nezmínila, takže jako obvykle velké kecy a skutek utekl. Co tu máme dál? EDIT: Jo už to vidím, je to v jiném vlákně, moje chyba.

Názor byl 1× upraven, naposled 29. 12. 2016 20:48

Od kdy může jazyk za to, že je někdo prase a nemá pořádně ošetřené vstupy?PHPMailer (a Wordpress ostatně taky) je bastl, tady se dá souhlasit, ale byl by to bastl i v .NETu nebo Javě, možná i horší.

Moje slova. Ono totiž ani tak nejde o to, v čem je to napsaný, ale kdo to psal a jak se to používá...

Každý jazyk, každý systém je ve své podstatě napsaný špatně a šel by napsat lépe. Je jen na vás, jak dalece zajdete. PHP není nijak výrazně horší, než jakýkoliv jiný jazyk běžně dostupný pro vývoj webů.

Once, I was a Vecernik. Then I became a pony...

Popravdě, je… Pokud mluvíme o bezpečnosti, třeba konverze typů při porovnání přes == je trošku minové pole. Ano, člověk by se mu měl vyhnout, ale ehm… Je to jen člověk. Navíc, třeba tahle související chyba byla před verzí 5.4.4 dost bláznivá. http://phpsadness.com/sad/47... Pokud mluvíme o špatném návrhu, PHP je snad jediný jazy který znám, kde se základní knihovní funkce jmenují každá jinak. Jednou je to camel case, podruhé oddělená slova podtržítkem… Prostě chaos a místo aby si člověk pamatoval název funkce, musí si pamatovat i jak je zrovna u této název poskládán.Pak se také dají najít obdobné funkce, které mají různé pořadí parametrů, také zábava :)Je toho víc… PHP je bohužel opravdu dost fušersky napsaný jazyk a docela by mu slušela po vzoru Perlu další verze, kde dojde k přepisu.

Takze si len potvrdil, ze to nie je o jazyku ale o ludoch. Ked tak ma pouzit na porovnanie ===.
Co sa tyka nazvov funkcii, je to trochu des, ale da sa s tym zit, hlavne v dobe kedy vsetky lepsie editory podporuju "intellisense".
phpsadness stranka ma zaujala. Niektore veci su opodstatnene, ale napriklad vyplakavat nad tym, ze v subclasse nemozem overrideovat privatnu metodu je prasacina ako vysita.

Potvrdila :P
Ano, jistě že je to o lidech. Jenže problém je, že to jsou chyby způsobené věcmi, které člověka, zvláště nováčka, napadnout vůbec nemusí. A tutorialy na internetu často danou problematiku vůbec nezmiňují. Já třeba na střední prožila celý základ PHP při učení se z návodů z internetu, aniž bych operátor === znala.
Navíc se často ukázalo, že je vývojový team poněkud laxní k bezpečnostním připomínkám.
Doplňování syntaxe je jistě fajn a člověka zachrání. Ale prostě, časem jsem seznala, že než se mořit s pro mě celkem nepřátelským jazykem, raději začnu psát v Pythonu.

Pokud programátor nebere zřetel na bezpečnost při psaní v PHP, tak ji těžko začne řešit při psaní v Pythonu .. nebo v čemkoliv jiném. Tohle je o lidech, nikoliv o technologiích.A nelze svádět nedostatečné znalosti na špatné tutoriály na netu.

Ony na tom pokud si pamatuji dobře nebyly nejlíp ani ty oficiální návody. Kde se to má pak člověk naučit?
A možná nezačne, ale těch úskalí, kdy je potřeba znát libůstky jedné technologie, jsem prostě u PHP potkala víc než v pythonu :) Samozřejmě, pak jsou tu s jazykem naprosto nesouvisející věci. Na SQL injekci náchylný vstup jde napsat dobře asi ve všem.

Ona na netu vychází spousta odborných článků, kde se problematika bezpečnosti řeší. Je pravda, že sledovat to je časově docela náročné. Ale to je asi pak ten rozdíl mezi profesionálem a těmi ostatními. Jestliže mi někdo nabídne web za 5 000Kč a já si ho koupím, tak bych měl trpět :).

No on hlavně Perl 6 je úplně novej, nekompatibilní jazyk. A co jsem na něj zběžně koukal, nepřijde mi tak intuitivní jak Perl 5. Třeba takovej přístup na prvek pole přes @pole[1] je z mého pohledu prostě fuj.

Perl 5 a intuitivni? :D. Vzdycky vzpominam na skoleni v Gopazu, kde lektor zacal skoleni s tim, ze Perl je write-only jazyk, protoze ty zverstva co v tom dou napsat uz nikdy nikdo neprecte :)
@pole[1] dava podle mne mnohem vetsi smysl nez $pole[1].

Tak to asi neuměl moc v perlu a mluvil sám o sobě. Dělám věci do vcelku letitého a rozlehlého open source projektu a s čitelností není nejmenší problém. Samozřejmě prasit jde(to jde všude), ale nic tě k tomu nenutí.Podívej se na to takhle. $ znamená skalární proměnou a pokud přistupuješ k prvku pole(nebo třeba hashe), tak jde vždy o skalární proměnou. Nedostaneš žádné pole, žádnej hash, tak proč tam proboha dávat @ či % ?

PHP nevzniklo na zelené louce. Proto s sebou táhne dědictví především z céčka, na kterém začalo a z extenzí, které postupem času pohltilo.
A je to tak dobře – je mnohem lepší strpět nekonzistenci nomenklatury než bezdůvodně vytvářet BC breaky.PHP7 je moderní a velmi výkonné běhové prostředí, kde už se můžou vyřádit i objektoví puritáni a je pro něj vytvořen velmi rozsáhlý a kvalitní ekosystém.
Pravda, PHP už je tu s námi dlouho, takže nic pro hipstery, kteří si musí pořád dokazovat, jak jdou s dobou.

PHP vzniklo jako směska různých jazyků. A pokud vím základem bylo nejen C, ale hlavně Perl.
BC breaky se v historii PHP vyskytly dost často a viděla jsem je víc než v jiných jazycích. Například, mezi verzemi 4.3 a 4.4 byly rozbité reference a mezi verzí 4 a 5 byly takové změny kvůli objektovému modelu, že to spoustu aplikací rozbilo úplně. Přece jen ten špatný návrh v základu a nepřemýšlení nad budoucností zakládá na jisté trable.Ano, PHP 7 je moderní jazyk, rychlý jazyk, ale promiň. Opravdu nemusím být hipsterka, aby se mi neprogramovalo dobře v jazyku, který mi je vyloženě nepříjemný. (zvlášť když programuju v jazyku, který je o 4 roky starší než PHP a těmi problémy netrpí).

A v čem píšete vy? Nějaký odkaz na Vaše dílo?