Bieži hakeru uzbrukumi pierāda, ka tīmekļa drošība joprojām ir vissvarīgākais jautājums ikvienam, kas veic uzņēmējdarbību internetā. Serveri visbiežāk ir šo uzbrukumu mērķi viņu glabātās informācijas dēļ. Tāpēc ir jānodrošina uzticama serveru aizsardzība.
PHP nodrošināšana Apache
Sāciet protokolu "phpinfo ()" un pārbaudiet līniju ar komandu "open_basedir". Ar šo komandu jūs varat definēt bāzes direktoriju visiem lietotājiem. Pēc šīs vērtības iestatīšanas viņi vairs nevarēs atvērt failus ārpus šīs saknes mapes vai tās apakšdirektorijiem, piemēram, "C: / Windows".
Ja jums ir citi strukturālie direktoriji, definējiet tos kā bāzes direktoriju ar komandu "www_root". Tomēr viens lietotājs varēs arī lasīt un modificēt cita lietotāja failus. Tas ir jānovērš.
Diemžēl php.ini failā nav opciju, kas liegtu vienam lietotājam piekļūt cita datiem.
Bet ir viens interesants veids, ja PHP darbojas Apache. Vietnē phpinfo () atradīsit divas kolonnas: Primārā vērtība un Vietējā vērtība. Pirmais ir vērtība "php.ini". Otrais ir vērtība, kas tiek noteikta servera darbības laikā.
Ja galvenā vērtība skaitliskā izteiksmē ir maza, tad to var mainīt skriptā, izmantojot komandu "ini_set ()". Tas neattiecas uz “open_basedir”, jo šī vērtība ir kritiska drošībai un to var mainīt tikai administrators.
Apache konfigurācijas failu "httpd.conf" var norādīt rokasgrāmatā zem vietējās vērtības "open_basedir".
Citi PHP iestatījumi
Iestatot failā "php.ini" "disable_functions", jāatspējo potenciāli bīstamās funkcijas.
Rūpīgi padomājiet par katru jūsu veikto darbību. Funkcijas atspējošana nozīmē, ka daži skripti vairs nedarbosies.
Dažas funkcijas ir patiešām bīstamas un parasti nav nepieciešamas skriptu izveidei. Citi var būt vajadzīgi īpašiem mērķiem. Tāpēc nav viegli atspējot visas funkcijas, kas var būt bīstamas, bet arī rūpīgi izsveriet savus lēmumus.
Neticiet, ka pietiks tikai ar funkciju "safe_mode = On". Tas var atspējot dažas noderīgas funkcijas un neatrisinās iepriekš aprakstīto drošības problēmu. Drošais režīms ir novecojis PHP 5.3.0 un tiek noņemts PHP 6.0.0.
Aizsardzības jautājumi
Tīmekļa izstrādātājs var pieļaut vairākas kļūdas un padarīt vietni nedrošu.
Piemēram, ja izveidojat savu emuāru un ļaujiet lietotājiem augšupielādēt attēlus, tas var būt nopietns apdraudējums, ja kodu raksta iesācējs. Programmētājs var pieļaut vairākas kļūdas pieteikšanās lapā utt. Viena no visbiežāk sastopamajām ir ļaunprātīgu algoritmu lejupielādes aizlieguma trūkums.
Svarīgi ir tas, ka viena nedroša vietne publiskajā mitināšanā ir drauds visam serverim. Arī atvērtā pirmkoda projektu, piemēram, PHP-Nuke, instalēšana var būt riskanta. Jau ir atklātas vairākas līdzīgu projektu ievainojamības.
