Dotaz: Linux PHP secutity

[linux.tester]

Dobry den, narazil jsem na internetu na zajimave diskuze o php safe modu off. Jedni tvrdi, ze je nemyslitelne to u virtualhost serveru vypinat, druzi naopak rikaji, ze se vypnuti da vykompenzovat zabezpecujicimi prvky v linuxu. Tak jsem zacal googlovat vsude mozne a nic. Pak jsem tedy na mem PC nahodil apache s virtualhosty vytvoril jsem si dva virtualy, kazdemu jsem nastavil openbasedir a zkousel ruzne ptakoviny.

Nepodarilo se mi ani nacist/incluadovat zadne adresare/soubory jak v ramci prostoru pro virtualy tak i v ramci ostatnich slozek v systemu. Udajne to jde(resp. nekteri to tvrdi), ale nevim jak. Jediny problem asi bude pri vykonavani funkci exec, shell atd. Ty se ovsem daji vypnout v ramci PHP. Ovsem nevim zda pak vypnuty safe mode ma nejaky smysl, nebo zda se daji prave v ramci Linuxu tyto funkce omezovat.

Diky za odpoved.

Odpovědi

[Messa]

Nejideálnější je spouštět skripty s právy uživatele, jenž daný skript vlastní. Pak by v PHP žádné safe mode ani omezování nebylo potřeba a byly by zabezpečeny i ostatní typy skriptů (python apod.). Bohužel to Apache zas tak dobře neumí (peruser MPM není stabilní), ale existují nějaká řešení, např. suphp.

Tvé řešení (safemode off, ale zakázání spouštění dalších programů, nastavení basediru) by mělo také fungovat (IMHO). Smysl oproti safemode to bude mít nejméně ten, že např. když v PHP přes mkdir vytvoříš adresář, máš do něj z PHP přístup (to při safemode nejde, to se ten adresář obvykle musí vytvořit přes FTP, aby měl stejné UID jako skript).

[linux.tester]

OK, takze nastavit openbasedir, zakazat funkce a je to vicemene zabezpeceno?

[God.zilla]

Hlavni na tom vsem je to suphp.

[linux.tester]

Ok, kouknu na to

[Jookyn]

A zkoušel si čtení cizích souborů přes fopen, fread atd? To právě IMHO de a to je dost problém, protože s tim třeba můžeš číst cizí konfiguráky atd.

A jestli ti jde jen o to, aby bylo možný do adresáře vytvořenýho přes mkdir zapisovat v php, tak to se dá udělat přes safe_mode_gid případně třeba přes již zmiňovaný su_php

[linux.tester]

me jde o maximalni bezpecnost. fopen a fread jsem nezkousel, jdu se na to vrhnout. btw k tomu suPHP: jak jsem stihl nastudovat(doufam, ze jsem to pochopil spravne), tak to jede jen pres php-cgi. Chtel jsem se zeptat, zda to nebude mit podstatny vliv na rychlost zpracovani oproti pouziti modulu.

[Jookyn]

No, údajně by to mělo bejt o něco pomalejší, ale někde sem zase viděl testy, kde to nebylo zase o tolik. Možná by to šlo použít i s Fast-cgi, to bude potřeba zkusit, to by mělo bejt o něco rychlejší. O co ale přijdeš když ti to poběží jako cgi jsou některý proměnný z pole $_SERVER

[Aldagautr]

http://php.vrana.cz/bezpecnost-weboveho-serveru.php
btw, se safe mode se uz pro php6 podle vseho nepocita