Warum nutzt c-plusplus.de nicht eine Forensoftware die in C++ geschrieben wurde?

Würde das nicht viel cooler sein?

rapso

macht das nicht jeder? apache+php modul?

TyRoXx

Weil MySQL.com in SQL und Github in Git geschrieben sind.

Weil Marc++us und volkard nicht gut genug C++ programmieren können.

Das englische D Forum ist auch in D geproggt.

Was ist bei so einem Forum eigentlich das Bottleneck? Festplattengeschwindigkeit, RAM, CPU oder Bandbreite?

Rhombicosidodecahedron

Pragensteller schrieb:

Was ist bei so einem Forum eigentlich das Bottleneck? Festplattengeschwindigkeit, RAM, CPU oder Bandbreite?

Soweit ich es verstanden habe, ist es wegen phpBB eher die Wartbarkeit. :p

Pragensteller schrieb:

Was ist bei so einem Forum eigentlich das Bottleneck? Festplattengeschwindigkeit, RAM, CPU oder Bandbreite?

Mieser Code.

AFAIK hat noch nie jemand eine Forensoftware in C++ programmiert außer ein paar Hobbyversuchen.

Man braucht sich da auch nicht wundern.

Mit C++ kann man sich gehörig in den Fuss schießen und ein blöder Fehler im Code kann zu einem Root Zugriff des Servers führen.
Deswegen macht man das nicht in C++ und auch deswegen ist man sehr schnell von cgi weggekommen, als es dir ersten Scriptsprachen wie PHP usw. für so etwas gab.

Und wenn man so etwas heute ohne PHP realisieren will, dann nimmt man aus Sicherheitsgründen lieber Java + Tomcat oder D.

Ethon

C++ = Insecure by Design schrieb:

Mit C++ kann man sich gehörig in den Fuss schießen und ein blöder Fehler im Code kann zu einem Root Zugriff des Servers führen.

Ist klar - ein Forenserverprozess wird garantiert mit Rootrechten gestartet.

Mechanics

Ethon schrieb:

C++ = Insecure by Design schrieb:

Mit C++ kann man sich gehörig in den Fuss schießen und ein blöder Fehler im Code kann zu einem Root Zugriff des Servers führen.

Ist klar - ein Forenserverprozess wird garantiert mit Rootrechten gestartet.

Aber das Betriebssystem ist in C geschrieben, und da kann man sich erst recht in den Fuß schießen, deswegen sind Rootrechte gar kein Problem.

Ich glaube es gibt mehr Sicherheitslücken in PHP als in Betriebssystemen.

Ethon schrieb:

C++ = Insecure by Design schrieb:

Mit C++ kann man sich gehörig in den Fuss schießen und ein blöder Fehler im Code kann zu einem Root Zugriff des Servers führen.

Ist klar - ein Forenserverprozess wird garantiert mit Rootrechten gestartet.

Dafür gibt's genug Exploits wenn dir erstmal der Prozess gehört.
Aus einem Java VM Prozess steigst du dagegen nicht so einfach aus, abgesehen davon, das es mit Java auch gleich einmal wesentlich schwieriger ist, sich in den Fuss zu schießen.

Ethon

Beispiel für Exploits die einem Prozess mit minimalen Rechten Rootrechte verleihen?
Und für die Java-VM gibt es keine Exploits?

Mechanics

Ethon schrieb:

Beispiel für Exploits die einem Prozess mit minimalen Rechten Rootrechte verleihen?

Im Ernst, privilege escalation Sicherheitslücken gibt es immer wieder. Beispiel:

http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-2094

Aber abgesehen davon, wirds in PHP wahrscheinlich schon mehr Lücken als Betriebssystemen geben, vor allem in PHP Software wie phpBB, da wurden früher quasi jeden Tag neue Lücken entdeckt.

Ethon schrieb:

Beispiel für Exploits die einem Prozess mit minimalen Rechten Rootrechte verleihen?
Und für die Java-VM gibt es keine Exploits?

Natürlich gibt's die auch, aber das ist eine dritte Hürde die es zu überwinden gilt.

C++:

Serverprozess -> root Rechte

Java:

Serverprozess -> Java VM -> root Rechte

Du brauchst also bei letzterem einen Fehler in deiner Forensoftware, einen weiteren Fehler in der Java VM nutzbar für Exploits und dann noch einen weiteren Bug für einen Exploit im OS.

Bei C++ reicht es, wenn deine Forensoftware und das OS nen Bug haben.
Falls nur wenige Leute deine Forensoftware anschauen, dann ist die Chance groß, dass darin für Hacker nutzbare Bugs drinstecken, das nächste was es nun noch zu tun gibt, wäre auf einen Exploit des OS zu warten und zu hoffen, dass das System nicht schnell genug gepatched wurde, oder eben einen Exploit im OS selbst zu finden.
Dieses Szenario ist durchaus plausibel.

3 Sicherheitsstufen, Forensoftwar, JavaVM UND noch das OS dazu, überwindest du dagegen nicht so einfach, da ist die Wahrscheinlichkeit doch eher gering.

Bei PHP hast du ebenfalls noch den JITC/Interpreter dazwischen.

Aber was, wenn die Java-VM einen allgemeinen Bug hat, der es ermöglicht Rootrechte zu bekommen? Dann bräuchtest du nicht mal einen Bug in der Foren-SW.

Ethon

Was wenn der Forenserverprozess in einer Sandbox läuft?

rapso

Ethon schrieb:

Was wenn der Forenserverprozess in einer Sandbox läuft?

dann hat der admin ahnung und die sprach trolle keine luft mehr in den segeln.

ach ne, warte, vermutlich ist das sandboxing auch in c(++) geschrieben.

aber dann wiederrum, etwas ist nur so sicher wie das schwaechste glied und da java mit einer in c++ geschriebenen jvm laeuft... es kann garnicht sicherer sein als native c++ code

aber mal ehrlich, wieso schreibt der threadstarter nicht einfach selbst die foren software in c++?
ich schreibe sowas nicht, weil es tod langweilig waere. 10% waere c++ worueber man nachdenken koennte und 90% dann stupides website zusammenbauen.
das ist als ob man sich wundern wuerde weshalb nicht der chirurg auf der party alle tortenstuecke schneidet...