Fórum Root.cz

Hlavní témata => Server => Téma založeno: Pavel2 11. 02. 2015, 15:53:51

Název: PHP security - best practice?
Přispěvatel: Pavel2 11. 02. 2015, 15:53:51

Zdravim,

mam na serveru hostovane 2 domeny a potykam se s problemem jak zabranit, aby domenaA nemohla pomoci PHPka provadet include ../domenaB/data.php.

Cet sem, ze to lze udelat pomoci workeru, ale nasel jsem zminku, ze ten taky neni uplne bezpecny z duvod "thread safe". Muze nekdo poradit jak vhodne domeny izolovat na jednom serveru?

Název: Re:PHP security - best practice?
Přispěvatel: rooobertek 11. 02. 2015, 16:07:28

Možno overkill, ale za zmienku stojí OpenVZ

Název: Re:PHP security - best practice?
Přispěvatel: Jakub L 11. 02. 2015, 16:09:58

Provozovat PHP per-user, např. PHP-FPM... A každý web vlastní jiný user a má vlastní ownership souborů...

Název: Re:PHP security - best practice?
Přispěvatel: pajon 11. 02. 2015, 16:27:17

Na urovni interpretera PHP sa da cez open_basedir. Inak spominana virtualizacia

Název: Re:PHP security - best practice?
Přispěvatel: Dzavy 11. 02. 2015, 17:37:21

Urcite web per user. Pouzivam na to v apachi mod_ruid2 a muzu jedine doporucit.

Název: Re:PHP security - best practice?
Přispěvatel: karel 11. 02. 2015, 18:13:41

docela smutne je jak se nekteri snazi virtualizaci procpat vsude i tam kde kni neni duvod

jinak jeste je mozno pouzit chroot ale s tim prichazi i komplikace

Název: Re:PHP security - best practice?
Přispěvatel: Jakub L 11. 02. 2015, 19:08:29

Citace: pajon  11. 02. 2015, 16:27:17

Na urovni interpretera PHP sa da cez open_basedir. Inak spominana virtualizacia

- vulnerabilities involving any kind of safe_mode or open_basedir
violation, as these are security models flawed by design and no longer
have upstream support either.

http://anonscm.debian.org/gitweb/?p=pkg-php/php.git;a=blob_plain;f=debian/README.Debian.security;hb=HEAD

A dříve tam bylo toto:

- vulnerabilities involving any kind of safe_mode or open_basedir violation, as these are security models flawed by design and no longer have upstream support either.