MuyKuky.com

La actualidad en forma de Blog

Tres vulnerabilidades en la versión 5.x de PHP

June 3rd, 2007 by admin

A través de hispasec.com, me entero de que php sufre una nueva vulnerabilidad en la versión 5.x

Se han descubierto tres vulnerabilidades en php que podrían ser aprovechadas por un atacante para eludir restricciones de seguridad, causar denegaciones de servicio o ejecutar código arbitrario.

* Un desbordamiento de entero en la función chunk_split que podría ser aprovechado por un atacante para comprometer un sistema vulnerable.

* Un bucle infinito en la función imagecreatefrompng que podría ser aprovechado por un atacante para causar una denegación de servicio.

*Un error en la función realpath que podría ser aprovechado por un atacante para eludir las restricciones open_basedir y safe_mode.

Estas vulnerabilidades afectan a la versión 5.2.2 y anteriores.

Se recomienda actualizar a la versión 5.2.3 disponible para su descarga desde:

http://www.php.net/downloads.php

Enlace de la noticia: http://www.hispasec.com/unaaldia/3143/comentar

Fuente: Hispasec.com

Categoria: General, PHP, Internet, Seguridad, Servidores, Bug | No Comments »

Programar tareas automáticamente “Crontab”

April 13th, 2007 by admin

¿Que es Crontab?

Crontab permite programar lo que podemos denominar como “crones”, que no son ni mas ni menos que tareas que se ejecutarán en “x” momento determinado según nuestro criterio de especificación.Linux se guia por el evento de reloj del sistema, y si existe alguna tarea que nosotros hayamos programado para ejecutarse el sistema mismo la ejecuta sin que usuario alguno lo haga manualmente.

Ejemplos del uso que le podemos dar a Crontab:

1) Darnos mensajes para recordarnos eventos, cosas importantes que no debemos olvidar, programando esto por pantalla o también podemos auto-enviarnos un email.

2) Apagar un equipo a la hora que nosotros queramos, por ejemplo, nos vamos a dormir y dejamos la computadora bajando cosas de internet y le decimos que a las 5 de la mañana se apague automaticamente.

3) En el caso de servidores, algo muy útil es el auto envio de estado de los sistemas, si tienes muchos servidores, puedes realizar escaneos con diferentes herramientas como nmap, tripwire etc y auto-enviarte esos datos en vez de correrlos todos los días sobre los sistemas que administres para ver si hubo intrusiones, etc.

4) Para realizar backups, se puede programar un cron que a cierta hora de cierto dia de la semana realize un backup de todos los datos
que creas necesarios.

Especificaciones
…………………..

Crontab nos deja programar una tarea para que se pueda ejecutar especificando los siguientes parámetros:

La hora (0-23)
Los minutos (0-59)
El día del mes (1-31)
El día de la semana (0-7: tanto 0 como 7 representan el día Domingo)
El mes (1-12)

Además de estos parámetros, Crontab también cuenta con un *, ¿que hace el asterisco?. El asterísco le dice a Crontab que debe ejecutarse la tarea en todos los minutos, todas las horas, días, semanas, meses.

Listas: las usaremos para poder definir “2,20″ por ejemplo en la columna correspondiente a los días del mes, para que la tarea se ejecute los días 2 y 20 de cada mes.

Rangos: otra útil función, especificación de rangos de días por ejemplo, especificamos de la siguiente forma: “4-6″ en la columna días que hara que se ejecute la tarea desde el Jueves (día 4) hasta el Sábado (día 6).

Al igual que todo el sistema Linux, Crontab también se maneja de la misma forma: cada user tendrá su propio crontab, esto también incluye a root.

Cada usuario podrá especificar el tipo de tarea programada, pero por ejemplo si un usuario normal de sistema trata de apagar el servidor que lo administra, no podrá hacerlo, solo el crontab de root podrá ejecutar tal tarea.

Manejo general del comando
……………………..

Ver la tabla de tareas programadas:

$ crontab -l

Editar nuestras tareas programadas en el Crontab:

$ crontab -e

Aquí se abrirá un editor de texto, tal vez vim, pico o emacs, según cual hayamos especificado como default. Desde el editor vamos a poder añadir lineas al fichero crontab, una linea por cada tarea que deseemos programar.

Borrar toda nuestra programación de tareas con:

$ crontab -r

El formato de entradas
…………………..

Cuando añadamos una entrada a nuestro crontab, lo haremos en una sola línea y con el siguiente formato:

[minutos] [hora] [día] [mes] [dia_de_semana] [comando]

Ejemplo simple de backup.

Como tu adicción al porno es tremenda, quieres respaldar todas tus movies para que no se te pierdan por cualquier cosa. Para ello vamos a realizar la operacion de la siguiente forma:

Haremos un tar.gz del directorio “movies” (como backup, por ejemplo), todos los días Lunes a las 14 horas.

0 14 * * 1 tar -cvpzf /home/jeropa/backup.tar.gz /usr/movies/

Las posibilidades con esta herramienta son bastante grandes como pueden ver.

Categoria: General, Utilidades, Servidores, Linux-Unix | No Comments »

¿Cómo combatir el hotlinking utilizando .htaccess?

February 8th, 2007 by admin

¿Cómo bloqueo el hotlinking en mis imágenes utilizando .htaccess?

Hotlinking es la práctica de enlazar directamente archivos de otras web, así evita el webmaster que su servidor tenga menos gasto de trafico generado por las imágenes.

1. Crea una imagen jpeg llamada no_hot_link.jpe. Nota que la extensión es .jpe, esto es intencional y muy importante. Una vez creada ponla en tu carpeta de imágenes.

2. Abre el  .htaccess y escribe estas líneas de código:

RewriteEngine On
RewriteCond %{HTTP_REFERER} !^http://(.+\.)?tu_sitio\.com/ [NC]
RewriteCond %{HTTP_REFERER} !^$
RewriteRule .*\.(jpe?g|gif|bmp|png)$ /imagenes/no_hot_link.jpe [L]

De esta forma cuando haya una peticion externa de una imágen jpg/jpeg/gif/bmp/png alojada en tu sitio, se mostrará el sustituto no_hot_link.jpe.

Blockear el hotlinking de dominios específicos

De la manera anterior bloqueamos las imágenes de cualquier sitio externo, aunque podemos hacerlo para dominios específicos:

RewriteEngine On
RewriteCond %{HTTP_REFERER} ^http://(.+\.)?blogspot\.com/ [NC,OR]
RewriteCond %{HTTP_REFERER} ^http://(.+\.)?myspace\.com/ [NC,OR]
RewriteCond %{HTTP_REFERER} ^http://(.+\.)?livejournal\.com/ [NC]
RewriteRule .*\.(jpe?g|gif|bmp|png)$ /images/no_hot_link.jpe [L]

Asi hacemos que otros sitios alojados en blogspot, myspace o livejournal no puedan robarnos ancho de banda. La cantidad de dominios es ilimitada, sin embargo el último no debe poseer la bandera la condición OR.

Mostrar Error 403 [Forbidden] en vez de una imagen:

Tan solo debemos cambiar la última línea por:

RewriteRule .*\.(jpe?g|gif|bmp|png)$ - [F]

Finalmente algunos se preguntaran porque es importante que la imagen sustituta sea .jpe. A pesar que en el artículo no lo explica, es cuestión de lógica. Estamos estableciendo que no se pueden mostrar imágenes con cierto formato en otro sitio. Si hacemos eso, por lo tanto, no podremos mostrar una imagen sustituta con los formatos jpg/jpeg/gif/bmp/png, es por eso que se busca otro formato de imagen para mostrar [jpe ].

- Este texto ha sido sacado de http://www.leandrodonofrio.com -

Categoria: Internet, Utilidades, Seguridad, Servidores | No Comments »