PHP seadistamine - Revision history

Ellang: /* Autor */

2010-04-16T14:03:12Z

Autor

← Older revision		Revision as of 17:03, 16 April 2010
Line 2:		Line 2:

	== Autor ==		== Autor ==
	Elar Lang<br>AK32		[[User:Ellang\|Elar Lang]]<br>AK32

	== Sissejuhatus ==		== Sissejuhatus ==

Ellang at 17:47, 3 March 2010

2010-03-03T17:47:54Z

← Older revision		Revision as of 20:47, 3 March 2010
Line 5:		Line 5:

	== Sissejuhatus ==		== Sissejuhatus ==
	Acunitex ~~nimeline~~ turbega ~~tegelev~~ firma andmetel (http://www.acunetix.com/blog/web-security-zone/articles/statistics-from-the-top-1000000-websites/) on 2010 aasta alguse seisuga 68% veebiserverites Apache ning 70% veebiserverites PHP.		Acunitex nimelise turbega tegeleva firma andmetel (http://www.acunetix.com/blog/web-security-zone/articles/statistics-from-the-top-1000000-websites/) on 2010 aasta alguse seisuga 68% veebiserverites Apache ning 70% veebiserverites PHP.

	Serverite hooldamise ja PHP rakenduste kirjutamise vahele jääb oluline osa - PHP seadistamine ja rakendusele õigete õiguste määramine. Kuna arendaja võib pidada seda administraatori tööks ning administraator omakorda arendaja tööks, siis võib selle töö tegemise (st tegemata jätmise) juures tekkida oluline turvarisk.		Serverite hooldamise ja PHP rakenduste kirjutamise vahele jääb oluline osa - PHP seadistamine ja rakendusele õigete õiguste määramine. Kuna arendaja võib pidada seda administraatori tööks ning administraator omakorda arendaja tööks, siis võib selle töö tegemise (st tegemata jätmise) juures tekkida oluline turvarisk.

	Antud ~~kirjatüki~~ eesmärk on juhtida tähelepanu olulisematele nüanssidele PHP seadistuse juures.		Antud artikli eesmärk on juhtida tähelepanu olulisematele nüanssidele PHP seadistuse juures.

	= PHP seadistamine - mida jälgida =		= PHP seadistamine - mida jälgida =
Line 26:		Line 26:
	<pre>display_errors = 0</pre>		<pre>display_errors = 0</pre>

	~~runtime~~ (seade määramine jooksvalt php koodis):		ini_set (seade määramine jooksvalt php koodis):
	<pre>		<pre>
	ini_set('display_errors', 0); // hide errors		ini_set('display_errors', 0); // hide errors
Line 32:		Line 32:
	</pre>		</pre>

	See ei kuulu küll otseselt PHP seadistamise juurde, kuid reegel peaks ka olema, et programmikood ise ei kuva veateateid välja - näiteks, kui tekib viga SQL päringu teostamisel, siis ei tohi seda mitte mingil toodangu keskkonnas ~~juhul~~ välja kuvada (lihtsustab näiteks SQL injection rünnakute teostamist).		See ei kuulu küll otseselt PHP seadistamise juurde, kuid reegel peaks ka olema, et programmikood ise ei kuva veateateid välja - näiteks, kui tekib viga SQL päringu teostamisel, siis ei tohi seda mitte mingil juhul toodangu keskkonnas välja kuvada (lihtsustab näiteks SQL injection rünnakute teostamist).

	=== Logimine ===		=== Logimine ===
	Kõik tekkinud vead tuleb kindlasti ~~maha~~ logida, et vajadusel otsida tekkinud ~~vigae~~ põhjuseid (ja põhjustajaid). Veateadete logi tuleks ka jälgida, mitte lihtsalt logida.		Kõik tekkinud vead tuleb kindlasti logida, et vajadusel otsida tekkinud vigade põhjuseid (ja põhjustajaid). Veateadete logi tuleks ka jälgida, mitte lihtsalt logida.

	php manual: http://ee.php.net/manual/en/errorfunc.configuration.php#ini.log-errors		php manual: http://ee.php.net/manual/en/errorfunc.configuration.php#ini.log-errors
Line 46:		Line 46:

	=== Detailsus ===		=== Detailsus ===
	Veateateid tuleks tuvastada võimalikult suure detailsusega. Kindlasti mitte ignoreerida E_NOTICE taseme vigu, sest ka need näitavad välja koodi nõrkuseid või vigu (koodis tekib situatsioon, mida arendaja pole ette näinud).		Veateateid tuleks tuvastada võimalikult suure detailsusega. Kindlasti mitte ignoreerida E_NOTICE taseme vigu, sest ka need näitavad välja programmi koodi nõrkuseid või vigu (koodis tekib situatsioon, mida arendaja pole ette näinud).

	php manual: http://ee.php.net/manual/en/errorfunc.configuration.php#ini.error-reporting		php manual: http://ee.php.net/manual/en/errorfunc.configuration.php#ini.error-reporting
Line 53:		Line 53:
	php.ini (vaikeväärtus):		php.ini (vaikeväärtus):
	<pre>error_reporting = E_ALL</pre>		<pre>error_reporting = E_ALL</pre>
	~~Kuni PHP 5.2'ni~~ E_ALL ei sisaldanud E_WARNING teateid. Alates PHP 5.3~~'st~~ E_ALL raporteerib kõiki teateid peale E_STRICT teadete. Alates PHP 6~~'st~~ on E_ALL teadete hulgas ka E_STRICT teated. Tasub jälgida PHP dokumentatsiooni.		E_ALL ei sisaldanud E_WARNING teateid kuni PHP versioonini 5.2. Alates PHP versioonist 5.3 E_ALL raporteerib kõiki teateid peale E_STRICT teadete. Alates PHP versioonist 6 on E_ALL teadete hulgas ka E_STRICT teated. Tasub jälgida PHP dokumentatsiooni.
	"error_reporting" väärtust saab määrata ka numbrina, igal konstandil on oma numbriline väärtus. Kuid kuna see number võib ~~erinvate~~ PHP versioonide puhul tähendada erinevaid asju (nt E_ALL puhul), siis on turvalisem kasutada selleks ikkagi nimelisi konstante.		"error_reporting" väärtust saab määrata ka numbrina, igal konstandil on oma numbriline väärtus. Kuid kuna see number võib erinevate PHP versioonide puhul tähendada erinevaid asju (nt E_ALL puhul), siis on turvalisem kasutada selleks ikkagi nimelisi konstante. Samas ei ole eeldefineeritud konstandid kasutatavad kui määrata php seade väärtust Apache httpd.conf või .htaccess vahendusel.

	php.ini (võiks olla):		php.ini (võiks olla):
	<pre>error_reporting = E_ALL ~ E_STRICT</pre>		<pre>error_reporting = E_ALL ~ E_STRICT</pre>

	~~runtime~~ (seade määramine jooksvalt php koodis):		ini_set (seade määramine jooksvalt php koodis):
	<pre>		<pre>
	error_reporting(E_ALL ~ E_STRICT);		error_reporting(E_ALL ~ E_STRICT);
Line 67:		Line 67:

	=== open_basedir ===		=== open_basedir ===
	open_basedir parameeter määrab, millistest kataloogidest võib rakendus ~~faile~~ avada. Vaikimisi on väärtus määratama, mis tähendab, et rakendus saab faile avada tervest serverist (kui failide õigustega seda ei ole piiratud).		open_basedir parameeter määrab, millistest kataloogidest võib rakendus failisid avada. Vaikimisi on väärtus määratama, mis tähendab, et rakendus saab faile avada tervest serverist (kui failide õigustega seda ei ole piiratud).
	Selle parameetri puudumine annab võimaluste teostada LFI (Local File Include) ründeid kogu failisüsteemi ulatuses.		Selle parameetri puudumine annab võimaluste teostada LFI (Local File Include) ründeid kogu failisüsteemi ulatuses.

Line 82:		Line 82:
	open_basedir = /path/to/application/root/		open_basedir = /path/to/application/root/
	</pre>		</pre>
	Väga mugav oleks määrata open_basedir väärtuseks "." (ehk siis see sama kataloog, kus skript käivitatakse). See on aga ohtlik, kuna PHP chdir käsuga saab "aktiivse kataloogi" ja seega ka ~~selle~~ "." tähendust muuta.		Väga mugav oleks määrata open_basedir väärtuseks "." (ehk siis see sama kataloog, kus skript käivitatakse). See on aga ohtlik, kuna PHP chdir käsuga saab "aktiivse kataloogi" ja seega ka väärtuse "." tähendust muuta.
	Jälgida tuleks väärtuse (või väärtuste) määramisel, et vajalikele kataloogidele ligipääs alles jääks (nt kui ei ole muudetud upload_tmp_dir väärtust, siis lisada open_basedir väärtusele ka /tmp kataloog).		Jälgida tuleks väärtuse (või väärtuste) määramisel, et vajalikele kataloogidele ligipääs alles jääks (nt kui ei ole muudetud upload_tmp_dir väärtust, siis lisada open_basedir väärtusele ka /tmp kataloog).

Line 141:		Line 141:
	</pre>		</pre>
	upload_tmp_dir parameetri väärtus ei tohiks kindlasti olla avalikku veebi paistev kataloog (st ei tohi olla "document_root" alamkataloog).		upload_tmp_dir parameetri väärtus ei tohiks kindlasti olla avalikku veebi paistev kataloog (st ei tohi olla "document_root" alamkataloog).
	Vaikeväärtus võiks olla muudetud, kuna failide üleslaadimine on ka üks DoS (Denial of Service) ründemeetodeid. Koormatakse veebiserverit lõputute failide üleslaadimistega, veebiserver tekitab iga faili jaoks "upload_tmp_dir" parameetriga kataloogi ajutisi php* nimelisi faile. Kui DoS rünnaku peale veebiserver ~~kokku jooksis~~, siis võib tekkida olukord, kus tmp kataloogi jäävad need üles laetud ajutised failid alles. Samal ajal LFI (Local File Include) ründevõimalust omades saab ründaja niimoodi sokutada endale vajaliku koodi veebiserverisse.		Vaikeväärtus võiks olla muudetud, kuna failide üleslaadimine on ka üks DoS (Denial of Service) ründemeetodeid. Koormatakse veebiserverit lõputute failide üleslaadimistega, veebiserver tekitab iga faili jaoks "upload_tmp_dir" parameetriga kataloogi ajutisi php* nimelisi faile. Kui DoS rünnaku peale veebiserver hangus, siis võib tekkida olukord, kus tmp kataloogi jäävad need üles laetud ajutised failid alles. Samal ajal LFI (Local File Include) ründevõimalust omades saab ründaja niimoodi sokutada endale vajaliku koodi veebiserverisse.

	=== upload_max_filesize ===		=== upload_max_filesize ===

Ellang: /* Sissejuhatus */

2010-02-21T20:40:56Z

Sissejuhatus

← Older revision		Revision as of 23:40, 21 February 2010
Line 6:		Line 6:
	== Sissejuhatus ==		== Sissejuhatus ==
	Acunitex nimeline turbega tegelev firma andmetel (http://www.acunetix.com/blog/web-security-zone/articles/statistics-from-the-top-1000000-websites/) on 2010 aasta alguse seisuga 68% veebiserverites Apache ning 70% veebiserverites PHP.		Acunitex nimeline turbega tegelev firma andmetel (http://www.acunetix.com/blog/web-security-zone/articles/statistics-from-the-top-1000000-websites/) on 2010 aasta alguse seisuga 68% veebiserverites Apache ning 70% veebiserverites PHP.

	Serverite hooldamise ja PHP rakenduste kirjutamise vahele jääb oluline osa - PHP seadistamine ja rakendusele õigete õiguste määramine. Kuna arendaja võib pidada seda administraatori tööks ning administraator omakorda arendaja tööks, siis võib selle töö tegemise (st tegemata jätmise) juures tekkida oluline turvarisk.		Serverite hooldamise ja PHP rakenduste kirjutamise vahele jääb oluline osa - PHP seadistamine ja rakendusele õigete õiguste määramine. Kuna arendaja võib pidada seda administraatori tööks ning administraator omakorda arendaja tööks, siis võib selle töö tegemise (st tegemata jätmise) juures tekkida oluline turvarisk.

	Antud kirjatüki eesmärk on juhtida tähelepanu olulisematele nüanssidele PHP seadistuse juures.		Antud kirjatüki eesmärk on juhtida tähelepanu olulisematele nüanssidele PHP seadistuse juures.

Ellang: /* session.autostart */

2010-02-21T20:25:43Z

session.autostart

← Older revision		Revision as of 23:25, 21 February 2010
Line 307:		Line 307:

	=== session.autostart ===		=== session.autostart ===
	Määrab, kas kasutaja külastuse kohta käivitada automaatselt sessioon. Kui rakenduse iseloom ei vaja kasutaja identifitseerimist (suvaline koduleht), siis ole mõtet ka serverit koormata selle külastuse kohta sessiooni loomisega. Vaikimisi tehakse iga sessiooni jaoks /tmp/ (vt session.save_path parameetrit) ka fail. Ebaturvalise rakenduse korral võib sessiooni fail olla ka LFI2RFE (Local File ~~Inclusion~~ to Remote Code Execution) rünnaku teostamise koht.		Määrab, kas kasutaja külastuse kohta käivitada automaatselt sessioon. Kui rakenduse iseloom ei vaja kasutaja identifitseerimist (suvaline koduleht), siis ole mõtet ka serverit koormata selle külastuse kohta sessiooni loomisega. Vaikimisi tehakse iga sessiooni jaoks /tmp/ (vt session.save_path parameetrit) ka fail. Ebaturvalise rakenduse korral võib sessiooni fail olla ka LFI2RFE (Local File Include to Remote Code Execution) rünnaku teostamise koht.

	php manual: http://ee.php.net/manual/en/session.configuration.php#ini.session.auto-start		php manual: http://ee.php.net/manual/en/session.configuration.php#ini.session.auto-start

Ellang: /* Aeguvad parameetrid, PHP kurjajuured */

2010-02-21T20:21:48Z

Aeguvad parameetrid, PHP kurjajuured

← Older revision		Revision as of 23:21, 21 February 2010
Line 232:		Line 232:
	Jooksvalt võib muuta ajapiirangu suuremaks kui "streamitakse" kasutajale mingeid andmeid PHP'ga (sest sel juhul sõltub see kiirus ka kasutaja interneti ühenduse kiirusest - suutlikusest talle serveeritavat infot vastu võtta).		Jooksvalt võib muuta ajapiirangu suuremaks kui "streamitakse" kasutajale mingeid andmeid PHP'ga (sest sel juhul sõltub see kiirus ka kasutaja interneti ühenduse kiirusest - suutlikusest talle serveeritavat infot vastu võtta).

	== Aeguvad parameetrid~~, PHP kurjajuured~~ ==		== Aeguvad parameetrid ==
	NB! Selles peatükis käsitletavad parameetrid on kuulutatud aegunuks (kasutamine annab DEPRECATED vea) alates PHP 5.3'st ning need seaded kaovad ära alates PHP 6'st.		NB! Selles peatükis käsitletavad parameetrid on kuulutatud aegunuks (kasutamine annab DEPRECATED vea) alates PHP 5.3'st ning need seaded kaovad ära alates PHP 6'st.

Ellang at 20:19, 21 February 2010

2010-02-21T20:19:03Z

Show changes

Ellang: /* post_max_size */

2010-02-21T17:12:59Z

post_max_size

← Older revision		Revision as of 20:12, 21 February 2010
Line 175:		Line 175:
	=== post_max_size ===		=== post_max_size ===
	Maksimaalne postituse suurus. See ei ole nüüd otseselt failide üles laadimise parameeter, kuid üldjuhul rakendub see piirang just failide üles laadimisele.		Maksimaalne postituse suurus. See ei ole nüüd otseselt failide üles laadimise parameeter, kuid üldjuhul rakendub see piirang just failide üles laadimisele.
	Valitud ei tohiks olla põhjendamatult suur. Kui file_uploads parameetriga on failide üles laadimine välja lülitatud, siis lihtsalt vormide täitmise kaudu eriti mahukaid postitusi lubama ei peaks.		Valitud väärtus ei tohiks olla põhjendamatult suur. Kui file_uploads parameetriga on failide üles laadimine välja lülitatud, siis lihtsalt vormide täitmise kaudu eriti mahukaid postitusi lubama ei peaks.

	php manual: http://ee.php.net/manual/en/ini.core.php#ini.post-max-size		php manual: http://ee.php.net/manual/en/ini.core.php#ini.post-max-size

Ellang at 17:11, 21 February 2010

2010-02-21T17:11:07Z

← Older revision		Revision as of 20:11, 21 February 2010
Line 1:		Line 1:
	= PHP seadistamine ~~- mida jälgida~~ =		= PHP seadistamine =
	~~.. teise nurga alt vaadatuna - mis on enamlevinud ämbrid PHP veebikeskkonna seadistamisel?~~
			== Autor ==
			Elar Lang<br>AK32

			== Sissejuhatus ==
	Acunitex nimeline turbega tegelev firma andmetel (http://www.acunetix.com/blog/web-security-zone/articles/statistics-from-the-top-1000000-websites/) on 2010 aasta alguse seisuga 68% veebiserverites Apache ning 70% veebiserverites PHP.		Acunitex nimeline turbega tegelev firma andmetel (http://www.acunetix.com/blog/web-security-zone/articles/statistics-from-the-top-1000000-websites/) on 2010 aasta alguse seisuga 68% veebiserverites Apache ning 70% veebiserverites PHP.
	Serverite hooldamise ja PHP rakenduste kirjutamise vahele jääb oluline osa - PHP seadistamine ja rakendusele õigete õiguste määramine. Kuna arendaja võib pidada seda administraatori tööks ning administraator omakorda arendaja tööks, siis võib selle töö tegemise (st tegemata jätmise) juures tekkida oluline turvarisk.		Serverite hooldamise ja PHP rakenduste kirjutamise vahele jääb oluline osa - PHP seadistamine ja rakendusele õigete õiguste määramine. Kuna arendaja võib pidada seda administraatori tööks ning administraator omakorda arendaja tööks, siis võib selle töö tegemise (st tegemata jätmise) juures tekkida oluline turvarisk.
	Antud kirjatüki eesmärk on juhtida tähelepanu olulisematele nüanssidele.		Antud kirjatüki eesmärk on juhtida tähelepanu olulisematele nüanssidele PHP seadistuse juures.

			= PHP seadistamine - mida jälgida =
			.. teise nurga alt vaadatuna - mis on enamlevinud ämbrid PHP veebikeskkonna seadistamisel?

	== Veateated ==		== Veateated ==
Line 183:		Line 189:
	</pre>		</pre>
	Kui kasutatakse failide üles laadimist, siis peaks post_max_size olema suurem kui "upload_max_filesize * max_file_uploads"		Kui kasutatakse failide üles laadimist, siis peaks post_max_size olema suurem kui "upload_max_filesize * max_file_uploads"

			[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]

Ellang at 17:04, 21 February 2010

2010-02-21T17:04:53Z

← Older revision		Revision as of 20:04, 21 February 2010
Line 9:		Line 9:
	=== Kuvamine ===		=== Kuvamine ===
	Toodangukeskkonnas ei tohi mitte mingil juhul kuvada välja tarkvara poolt tekkinud vigade veateateid. See annab ründajale olulist infot rakenduse ülesehituse kohta ning lihtsustab rünnaku teostamist. Arenduskeskkonnas (ja ka test keskkonnas) peaks aga veateateid kuvama.		Toodangukeskkonnas ei tohi mitte mingil juhul kuvada välja tarkvara poolt tekkinud vigade veateateid. See annab ründajale olulist infot rakenduse ülesehituse kohta ning lihtsustab rünnaku teostamist. Arenduskeskkonnas (ja ka test keskkonnas) peaks aga veateateid kuvama.

	php manual: http://ee.php.net/manual/en/errorfunc.configuration.php#ini.display-errors		php manual: http://ee.php.net/manual/en/errorfunc.configuration.php#ini.display-errors

Line 27:		Line 28:
	=== Logimine ===		=== Logimine ===
	Kõik tekkinud vead tuleb kindlasti maha logida, et vajadusel otsida tekkinud vigae põhjuseid (ja põhjustajaid). Veateadete logi tuleks ka jälgida, mitte lihtsalt logida.		Kõik tekkinud vead tuleb kindlasti maha logida, et vajadusel otsida tekkinud vigae põhjuseid (ja põhjustajaid). Veateadete logi tuleks ka jälgida, mitte lihtsalt logida.

	php manual: http://ee.php.net/manual/en/errorfunc.configuration.php#ini.log-errors		php manual: http://ee.php.net/manual/en/errorfunc.configuration.php#ini.log-errors

Line 37:		Line 39:
	=== Detailsus ===		=== Detailsus ===
	Veateateid tuleks tuvastada võimalikult suure detailsusega. Kindlasti mitte ignoreerida E_NOTICE taseme vigu, sest ka need näitavad välja koodi nõrkuseid või vigu (koodis tekib situatsioon, mida arendaja pole ette näinud).		Veateateid tuleks tuvastada võimalikult suure detailsusega. Kindlasti mitte ignoreerida E_NOTICE taseme vigu, sest ka need näitavad välja koodi nõrkuseid või vigu (koodis tekib situatsioon, mida arendaja pole ette näinud).

	php manual: http://ee.php.net/manual/en/errorfunc.configuration.php#ini.error-reporting		php manual: http://ee.php.net/manual/en/errorfunc.configuration.php#ini.error-reporting
	Eeldefineeritud detailsuse konstandid: http://ee.php.net/manual/en/errorfunc.constants.php		Eeldefineeritud detailsuse konstandid: http://ee.php.net/manual/en/errorfunc.constants.php
Line 57:		Line 60:
	=== open_basedir ===		=== open_basedir ===
	open_basedir parameeter määrab, millistest kataloogidest võib rakendus faile avada. Vaikimisi on väärtus määratama, mis tähendab, et rakendus saab faile avada tervest serverist (kui failide õigustega seda ei ole piiratud).		open_basedir parameeter määrab, millistest kataloogidest võib rakendus faile avada. Vaikimisi on väärtus määratama, mis tähendab, et rakendus saab faile avada tervest serverist (kui failide õigustega seda ei ole piiratud).
	Selle parameetri puudumine annab võimaluste teostada LFI (Local File Include) ründeid kogu failisüsteemi ulatuses.~~<br>~~		Selle parameetri puudumine annab võimaluste teostada LFI (Local File Include) ründeid kogu failisüsteemi ulatuses.

	php manual: http://ee.php.net/manual/en/ini.core.php#ini.open-basedir		php manual: http://ee.php.net/manual/en/ini.core.php#ini.open-basedir

Line 80:		Line 84:
	</pre>		</pre>
	NB! määrates open_basedir piirangu httpd confi kaudu, ei rakendu see siis kui php käivitada käsurealt (ehk siis kui rakendus ise on juba turvaauguga ja saab tekitada käivitatava php koodi rakenduse alla, siis saab sellest piirangust mööda).		NB! määrates open_basedir piirangu httpd confi kaudu, ei rakendu see siis kui php käivitada käsurealt (ehk siis kui rakendus ise on juba turvaauguga ja saab tekitada käivitatava php koodi rakenduse alla, siis saab sellest piirangust mööda).


	=== allow_url_fopen ===		=== allow_url_fopen ===
Line 147:		Line 150:
	</pre>		</pre>
	Väärtus peaks olema valitud rakenduse iseloomust (kui suuri faile ei oodata, ei ole seda hea ka seadistuses lubada).		Väärtus peaks olema valitud rakenduse iseloomust (kui suuri faile ei oodata, ei ole seda hea ka seadistuses lubada).


	=== max_file_uploads ===		=== max_file_uploads ===
Line 164:		Line 166:
	</pre>		</pre>
	Väärtus peaks olema valitud rakenduse iseloomust (kui mitme faili korraga üles laadimist ei oodata, siis ei ole seda hea ka seadistuses lubada).		Väärtus peaks olema valitud rakenduse iseloomust (kui mitme faili korraga üles laadimist ei oodata, siis ei ole seda hea ka seadistuses lubada).


	=== post_max_size ===		=== post_max_size ===

Ellang: New page: = PHP seadistamine - mida jälgida = .. teise nurga alt vaadatuna - mis on enamlevinud ämbrid PHP veebikeskkonna seadistamisel? Acunitex nimeline turbega tegelev firma andmetel (http://w...

2010-02-21T17:02:21Z

New page: = PHP seadistamine - mida jälgida = .. teise nurga alt vaadatuna - mis on enamlevinud ämbrid PHP veebikeskkonna seadistamisel? Acunitex nimeline turbega tegelev firma andmetel (http://w...

New page

= PHP seadistamine - mida jälgida =
.. teise nurga alt vaadatuna - mis on enamlevinud ämbrid PHP veebikeskkonna seadistamisel?

Acunitex nimeline turbega tegelev firma andmetel (http://www.acunetix.com/blog/web-security-zone/articles/statistics-from-the-top-1000000-websites/) on 2010 aasta alguse seisuga 68% veebiserverites Apache ning 70% veebiserverites PHP.
Serverite hooldamise ja PHP rakenduste kirjutamise vahele jääb oluline osa - PHP seadistamine ja rakendusele õigete õiguste määramine. Kuna arendaja võib pidada seda administraatori tööks ning administraator omakorda arendaja tööks, siis võib selle töö tegemise (st tegemata jätmise) juures tekkida oluline turvarisk.
Antud kirjatüki eesmärk on juhtida tähelepanu olulisematele nüanssidele.

== Veateated ==
=== Kuvamine ===
Toodangukeskkonnas ei tohi mitte mingil juhul kuvada välja tarkvara poolt tekkinud vigade veateateid. See annab ründajale olulist infot rakenduse ülesehituse kohta ning lihtsustab rünnaku teostamist. Arenduskeskkonnas (ja ka test keskkonnas) peaks aga veateateid kuvama.
php manual: http://ee.php.net/manual/en/errorfunc.configuration.php#ini.display-errors

php.ini (vaikeväärtus):
<pre>display_errors = 1</pre>

php.ini (võiks olla):
<pre>display_errors = 0</pre>

runtime (seade määramine jooksvalt php koodis):
<pre>
ini_set('display_errors', 0); // hide errors
//ini_set('display_errors', 1); // show errors
</pre>

See ei kuulu küll otseselt PHP seadistamise juurde, kuid reegel peaks ka olema, et programmikood ise ei kuva veateateid välja - näiteks, kui tekib viga SQL päringu teostamisel, siis ei tohi seda mitte mingil toodangu keskkonnas juhul välja kuvada (lihtsustab näiteks SQL injection rünnakute teostamist).

=== Logimine ===
Kõik tekkinud vead tuleb kindlasti maha logida, et vajadusel otsida tekkinud vigae põhjuseid (ja põhjustajaid). Veateadete logi tuleks ka jälgida, mitte lihtsalt logida.
php manual: http://ee.php.net/manual/en/errorfunc.configuration.php#ini.log-errors

php.ini (vaikeväärtus):
<pre>log_errors = 0</pre>

php.ini (võiks olla):
<pre>log_errors = 1</pre>

=== Detailsus ===
Veateateid tuleks tuvastada võimalikult suure detailsusega. Kindlasti mitte ignoreerida E_NOTICE taseme vigu, sest ka need näitavad välja koodi nõrkuseid või vigu (koodis tekib situatsioon, mida arendaja pole ette näinud).
php manual: http://ee.php.net/manual/en/errorfunc.configuration.php#ini.error-reporting
Eeldefineeritud detailsuse konstandid: http://ee.php.net/manual/en/errorfunc.constants.php

php.ini (vaikeväärtus):
<pre>error_reporting = E_ALL</pre>
Kuni PHP 5.2'ni E_ALL ei sisaldanud E_WARNING teateid. Alates PHP 5.3'st E_ALL raporteerib kõiki teateid peale E_STRICT teadete. Alates PHP 6'st on E_ALL teadete hulgas ka E_STRICT teated. Tasub jälgida PHP dokumentatsiooni.
"error_reporting" väärtust saab määrata ka numbrina, igal konstandil on oma numbriline väärtus. Kuid kuna see number võib erinvate PHP versioonide puhul tähendada erinevaid asju (nt E_ALL puhul), siis on turvalisem kasutada selleks ikkagi nimelisi konstante.

php.ini (võiks olla):
<pre>error_reporting = E_ALL ~ E_STRICT</pre>

runtime (seade määramine jooksvalt php koodis):
<pre>
error_reporting(E_ALL ~ E_STRICT);
</pre>

== Failide halduse ja üles laadimise seadistus ==

=== open_basedir ===
open_basedir parameeter määrab, millistest kataloogidest võib rakendus faile avada. Vaikimisi on väärtus määratama, mis tähendab, et rakendus saab faile avada tervest serverist (kui failide õigustega seda ei ole piiratud).
Selle parameetri puudumine annab võimaluste teostada LFI (Local File Include) ründeid kogu failisüsteemi ulatuses.<br>
php manual: http://ee.php.net/manual/en/ini.core.php#ini.open-basedir

php.ini (vaikeväärtus):
<pre>
open_basedir =
</pre>
open_basedir vaikeväärtus PHP's puudub, st PHP poolt mingeid piiranguid ei ole (loevad vaid failiõigustest tulenevad piirangud).

php.ini (võiks olla):
<pre>
open_basedir = /path/to/application/root/
</pre>
Väga mugav oleks määrata open_basedir väärtuseks "." (ehk siis see sama kataloog, kus skript käivitatakse). See on aga ohtlik, kuna PHP chdir käsuga saab "aktiivse kataloogi" ja seega ka selle "." tähendust muuta.
Jälgida tuleks väärtuse (või väärtuste) määramisel, et vajalikele kataloogidele ligipääs alles jääks (nt kui ei ole muudetud upload_tmp_dir väärtust, siis lisada open_basedir väärtusele ka /tmp kataloog).

Saab määrata ka httpd.conf failis (ja ka .htaccess failis):
<pre>
<IfModule mod_php5.c>
php_admin_value open_basedir /path/to/application/root/
</IfModule>
</pre>
NB! määrates open_basedir piirangu httpd confi kaudu, ei rakendu see siis kui php käivitada käsurealt (ehk siis kui rakendus ise on juba turvaauguga ja saab tekitada käivitatava php koodi rakenduse alla, siis saab sellest piirangust mööda).

=== allow_url_fopen ===
Selle parameetriga juhitakse, kas failide avamise funktsioonidel on õigus avada fail üle urli. Kui rakendus sellist võimalust ei vaja, peaks selline võimalus olema keelatud (et välistada RFI (Remote File Include) rünnakuid).

php manual:http://ee.php.net/manual/en/filesystem.configuration.php#ini.allow-url-fopen

php.ini (vaikeväärtus):
<pre>
allow_url_fopen = 1
</pre>
Vaikeväärtusena on üle urli failide avamine lubatud.

php.ini (võiks olla, kui rakendus ei vaja failide avamist üle urli):
<pre>
allow_url_fopen = 0
</pre>

=== file_uploads ===
Parameetriga juhitakse, kas HTTP failide üles laadimine on toetatud. Kui rakenduse funktsionaalsus seda võimalust ei vaja, peaks see olema keelatud.

php manual: http://ee.php.net/manual/en/ini.core.php#ini.file-uploads

php.ini (vaikeväärtus):
<pre>
allow_url_fopen = 1
</pre>
Vaikeväärtusena on üle urli failide avamine lubatud.

php.ini (võiks olla, kui rakendus ei vaja failide üles laadimist):
<pre>
allow_url_fopen = 0
</pre>

=== upload_tmp_dir ===
Asukoht üles laetavate failide ajutiseks talletamiseks, kuni PHP programm nendega tegeleb. Pärast pöördumist tmp kataloogist failid kustutatakse.

php manual: http://ee.php.net/manual/en/ini.core.php#ini.file-uploads

php.ini (vaikeväärtus):
<pre>
upload_tmp_dir =
</pre>
Vaikeväärtusena on määramata, kasutatakse süsteemi vaikeväärtust (mis linuxi puhul on /tmp kataloog)

php.ini (võiks olla, kui rakendus ei vaja):
<pre>
upload_tmp_dir = /path/to/application/root/tmp
</pre>
upload_tmp_dir parameetri väärtus ei tohiks kindlasti olla avalikku veebi paistev kataloog (st ei tohi olla "document_root" alamkataloog).
Vaikeväärtus võiks olla muudetud, kuna failide üleslaadimine on ka üks DoS (Denial of Service) ründemeetodeid. Koormatakse veebiserverit lõputute failide üleslaadimistega, veebiserver tekitab iga faili jaoks "upload_tmp_dir" parameetriga kataloogi ajutisi php* nimelisi faile. Kui DoS rünnaku peale veebiserver kokku jooksis, siis võib tekkida olukord, kus tmp kataloogi jäävad need üles laetud ajutised failid alles. Samal ajal LFI (Local File Include) ründevõimalust omades saab ründaja niimoodi sokutada endale vajaliku koodi veebiserverisse.

=== upload_max_filesize ===
Maksimaalne ühe üles laetava faili suurus.

php manual: http://ee.php.net/manual/en/ini.core.php#ini.upload-max-filesize

php.ini (vaikeväärtus):
<pre>
upload_max_filesize = 2M
</pre>

php.ini (võiks olla, vastavalt rakenduse vajadustele):
<pre>
upload_tmp_dir = 2M
</pre>
Väärtus peaks olema valitud rakenduse iseloomust (kui suuri faile ei oodata, ei ole seda hea ka seadistuses lubada).

=== max_file_uploads ===
Maksimaalne ühe päringuga üles laetavate failide arv.

php manual: http://ee.php.net/manual/en/ini.core.php#ini.max-file-uploads

php.ini (vaikeväärtus):
<pre>
max_file_uploads = 20
</pre>

php.ini (võiks olla, vastavalt rakenduse vajadustele):
<pre>
max_file_uploads = 1
</pre>
Väärtus peaks olema valitud rakenduse iseloomust (kui mitme faili korraga üles laadimist ei oodata, siis ei ole seda hea ka seadistuses lubada).

=== post_max_size ===
Maksimaalne postituse suurus. See ei ole nüüd otseselt failide üles laadimise parameeter, kuid üldjuhul rakendub see piirang just failide üles laadimisele.
Valitud ei tohiks olla põhjendamatult suur. Kui file_uploads parameetriga on failide üles laadimine välja lülitatud, siis lihtsalt vormide täitmise kaudu eriti mahukaid postitusi lubama ei peaks.

php manual: http://ee.php.net/manual/en/ini.core.php#ini.post-max-size

php.ini (vaikeväärtus):
<pre>
post_max_size = 8M
</pre>

php.ini (võiks olla vastavuses rakenduse reaalsete vajadustega):
<pre>
post_max_size = ?
</pre>
Kui kasutatakse failide üles laadimist, siis peaks post_max_size olema suurem kui "upload_max_filesize * max_file_uploads"