Unsicherer PHP-Programmierer
Seit einigen Tagen habe ich eine Stelle als PHP-Programmierer ausgeschrieben und auf diese Weise jemanden gesucht, die mir bei aufwändigen Arbeiten etwas hilft.
Ich habe schon viele gute Bewerbungen erhalten, aber sie waren alle nichts gegen den Kerl, der heute morgen per Email hereingeflogen kam. Die Eckdaten waren schonmal vielversprechend:
- 12+ years PHP experience
- 8+ years Perl experience
- sehr ansprechender Stundenlohn
Das klingt nach einem Perl-Guru, der dann auf PHP umgesattelt ist, nicht wahr?
Es wurden zwei PHP-Projekte zur Referenz angeboten, direkt mal angeschaut und vom Stuhl gefallen. Der Grund ist nicht wirklich schwer zu finden, die URL sah wie folgt aus:
http://XXXXXXXXXXXX.com/?main=pce/index.php
Für die Personen die spätestens jetzt total verwirrt sind: Der Homepage wird hinter dem ? der Variable main die Adresse zu einem PHP-Script zugewiesen (und zwar pce/index.php).
Wenn man also den Inhalt von main entsprechend verändert, kann man beliebige Dateien des Servers anzeigen. Beispiel:
So können wir die Datei /etc/passwd auslesen, in der Informationen über die Benutzeraccounts eines Linux-Systems gespeichert sind. Natürlich ist jetzt auch nicht mehr weit bis zu einem erfolgreichen Hack, aber darum geht es an dieser Stelle auch nicht.
Es gab noch einige weitere Sicherheitslücken in seinen Referenzprojekten, und nett wie ich bin habe ich sie ihm natürlich auch sofort mitgeteilt.
Den Job wird er aber nicht bekommen und hiermit verabschiede ich mich, sprachlos. 
