Journal Sécuriser un serveur PHP...

Posté par  (site web personnel, Mastodon) .
Étiquettes : aucune
0
4
déc.
2003
Bon, l'admin de mon serveur en à marre de tous les sites php mal écrit qui vérolent son serveur. Encore une grosse attaque cette semaine..

Du coup, je demande : y'a t'il moyen d'utiliser php sur un serveur de manière totalement sécure ?

Peut-on par exemple juste désactiver tout ce qui est system et l'uploade de fichier ? Si oui comment ?

Et avec cette solution, est-ce que des forums ou ce genre de choses continueront à fonctionner ?

merci..

  • # Re: Sécuriser un serveur PHP...

    Posté par  . Évalué à 4.

    tu peux désactiver les fonctions une par une ou par famille. Ca se fait dans ton php.ini (si je me souviens bien).

    L'aide sur php.net sera nettement plus détaillée que ma mémoire.

    Tu peux aussi consulter le misc n°9 qui avait publié un article sur les limites du safe mode.

    bon courage

  • # Re: Sécuriser un serveur PHP...

    Posté par  (site web personnel) . Évalué à 4.

    pour php :

    php.ini :
    safe_mode on
    safe_mode_exec_dir /dossiervide :)

    et pour chaque hébergé :
    dans httpd.conf :
    <directory /var/www/heberge1>
    php_value open_basedir /var/www/heberge1
    </directory>
    <directory /var/www/heberge2>
    php_value open_basedir /var/www/heberge2
    </directory>

    et tu devrais être relativement tranquille
    inutile d'interdire l'upload (ca n'apporte aucune sécu supplémentaire)

    Bon courage.

    • [^] # Re: Sécuriser un serveur PHP...

      Posté par  (site web personnel, Mastodon) . Évalué à 1.

      merci ! c'est très utile, je connaissais pas perso.

      Interdire l'uploade n'apporte rien ? Mais si on authorise l'upload, ça permet d'uploder un fichier malveillant non ?

      Mes livres CC By-SA : https://ploum.net/livres.html

    • [^] # Re: Sécuriser un serveur PHP...

      Posté par  (site web personnel) . Évalué à 2.

      Je rajouterai le register_globals à off.
      Les magic quotes à on.
      Une installation de php en module CGI avec su_exec.
      Interdire l'upload.
      Interdire les fonctions system et équivalent.
      Utiliser Apache dans un chroot.
      Désinstaller GCC sur le serveur.
      Faire attention aux modules compilés avec PHP, certains sont des passoires.
      Controler les ressources avec les directives du php.ini et aussi avec pam_limits et tant qu'on y est faire du process accounting pour vérifier que personne ne consomme trop de ressources.

      Eduquer les utilisateurs pour qu'ils codent plus proprement, qu'ils utilisent des fichiers .htaccess sur les répertoires contenant des scripts d'administration.

      Patcher son noyau pour ne pas se retrouver comme Gentoo, Debian et Savannah.

  • # Re: Sécuriser un serveur PHP...

    Posté par  . Évalué à 3.

    Essaie de trouver le MISC 9


    http://www.ed-diamond.com/produit.php?produit=144(...)

    Ils fournissent toutes les infos pour securiser ton serveur php... (je l'ai lu, tres interessant)

    Mais bon les principales sont plus haut.

    Bon courage.

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.