Captain's blog

Ich hab's ja schon länger gesagt, und langsam aber sicher dringt es immer lauter an die Öffentlichkeit: PHP stinkt!

Hatte ich irgendwann einmal erwähnt, dass ich C-Style-Kommentare ( /* Alles was hier steht ist ein Kommentar */ ) nicht mag? Wie einfach sind dagegen doch die guten alten Hash-Zeichen (#)...aber dass manche Programmierer ja doch recht eigen sind, ist ja eigentlich auch nichts großartig Neues.

Der geneigte Leser mag sich nun fragen, warum ich mich gerade über solche Kleinigkeiten hier auslasse, daher hier die Vorgeschichte:

Und wieder einer: seit dem Upgrade des Serendipity-Freetag-Plugins (auf Version 2.17) wurden die Tags links nicht mehr angezeigt. Gestern hatte ich endlich einmal Zeit, mich etwas näher mit der Sache zu befassen. Heraus kam ein weiterer, PostgreSQL-bezogener Bug.

Details gibt's im S9Y-Forum. Garvin hat meinen Bugfix jedenfalls schon comittet, somit dürften bald alle User, die Postgres als Datenbank nutzen etwas davon haben. Sollte jemand (wider Erwarten) den Fix schon früher brauchen:


Und das ich, der mit PHP sowas von auf dem Kriegsfuß steht...

Irgendwie werde ich das Gefühl aber nicht los, dass ich was die Wahl der DB angeht bei Serendipity ganz schwer in der Minderheit bin.

Spätestens seit dem großen Internetboom Mitte der 90er hat mittlerweile fast jeder eine eigene Webseite. Wo diese "früher" aus diversen statischen HTML-Seiten bestanden, und sich vom Design her sehr ähnelten, sind dynamische Seiten heutzutage an der Tagesordnung. Mittel zum Zweck ist hier fast überall die Kombination aus der Scriptsprache PHP, die die Inhalte der Seite dynamisch aus einer MySQL-Datenbank bezieht und aufbereitet.

Einer der Hauptgründe, warum gerade diese Sprache so beliebt geworden ist, stellt sicherlich der leichte Einstieg dar, der den "Programmierer" innerhalb kürzester Zeit greifbare Ergebnisse liefern lässt. Die Kehrseite der Medaille dabei besteht aber meist darin, dass sich diejenigen auf ihren Lorbeeren ausruhen, und sich über das Thema Sicherheit keine Gedanken mehr verschwenden.

Genau dieses Verhalten führt dann in vielen Fällen dazu, dass in schöner Regelmäßigkeit diverse, in PHP geschriebene "Web-Applikationen" als löchrig wie Schweizer Käse befunden werden. Schaut man sich einmal ein wenig im Internet nach Stichwörtern wie SQL-Injection oder Cross Site Scripting um, wird man mit den Ergebnissen fast erschlagen.
Passieren solche Dinge bei einer privaten Homepage, die sich der "Programmierer" gebastelt hat, hält sich der Schaden meist in Grenzen. Im Falle von Firmenauftritten, bei denen z.B. Kundendaten "abhanden kommen", ist der Fall schon gänzlich anders gelagert.

Marius hat in seinem Blog ein sehr lesenswertes, kleines, aber allgemein gut verständliches Tutorial über Buffer Overflows geschrieben. Vielleicht sollten sich das mal einige Programmierer ganz genau zu Gemüte führen.