Analyse du mode sans échec (safe_mode) en PHP

Qu'est-ce que le mode sans échec PHP : safe_mode

En termes simples, le mode sans échec PHP s'exécute en mode sans échec php.

Le mode sans échec de php fournit un environnement partagé sécurisé de base sur un serveur Web ouvert php où existent plusieurs comptes d'utilisateurs. Lorsque PHP s'exécute en mode sans échec sur un serveur Web, certaines fonctions seront complètement désactivées et certaines fonctions disponibles seront restreintes.

En mode sans échec, certaines fonctions qui tentent d'accéder au système de fichiers seront restreintes. En exécutant l'ID utilisateur du serveur Web, si vous souhaitez exploiter un certain fichier, vous devez disposer de droits d'accès en lecture ou en écriture sur le fichier. PHP n'a aucun problème à implémenter cette fonction de restriction.

Lorsque le mode sans échec est activé, lorsque vous essayez de lire ou d'écrire un fichier local, PHP vérifiera si l'utilisateur qui accède actuellement est le propriétaire du fichier cible. Si vous n'êtes pas propriétaire, l'opération sera désactivée.

(Autorisations d'écriture : sous les autorisations d'accès aux fichiers de niveau inférieur, il peut être autorisé à lire ou à écrire des fichiers dans le système d'exploitation du système. Ceci est obtenu grâce au mode sans échec de PHP pour vous empêcher d'utiliser les fichiers d'un autre utilisateur. opération . Bien entendu, un serveur Web peut accéder à un fichier arbitraire avec des autorisations d'écriture globales)

Lorsque le mode sans échec est activé, la fonctionnalité de la liste de fonctions suivante sera restreinte :

chdir, move_uploaded_file, chgrp, parse_ini_file, chown, rmdir, copy, rename, fopen, require, highlight_file, show_source, include, symlink, link, touch, mkdir, unlink

De même, certains les fonctions des extensions PHP seront également affectées. (Chargement des modules : La fonction dl sera désactivée en mode sans échec. Si vous souhaitez charger une extension, vous ne pouvez modifier les options de l'extension que dans php.ini et la charger au démarrage de PHP)

Ouvert en PHP sécurisé mode Lorsque vous devez exécuter un programme système, il doit s'agir du programme dans le répertoire spécifié dans l'option safe_mode_exec_dir, sinon l'exécution échouera. Même si l'exécution est autorisée, elle sera automatiquement transmise à la fonction escapeshellcmd pour le filtrage.

La liste de fonctions suivante pour l'exécution des commandes sera affectée :

exec,shell_exec,passthru,system,popen

De plus, la balise back l'opérateur (`) sera également fermé.

Lors de l'exécution en mode sans échec, même si aucune erreur ne sera provoquée, la fonction putenv sera invalide. De même, les autres fonctions set_time_limit et set_include_path qui tentent de modifier les variables d'environnement PHP seront également ignorées.

Comment activer le mode sans échec PHP (veuillez noter que PHP5.3 n'aura plus de mode sans échec)

Pour activer ou désactiver le mode sans échec PHP, il faut utiliser php.ini L'option safe_mode :

safe_mode=On(使用安全模式)
safe_mode=Off(关闭安全模式)

La méthode de configuration correspondante de VirtualHost dans le httpd.conf d'Apache

php_admin_flag safe_mode On(使用安全模式)
php_admin_flag safe_mode Off(关闭安全模式)
或者：
php_admin_value safe_mode1(使用安全模式)
php_admin_value safe_mode0(关闭安全模式)

L'impact de l'activation du mode sans échec :

Quand La fonction effectuera une vérification du propriétaire du fichier lors de l'accès au système de fichiers. Par défaut, l'ID utilisateur du propriétaire du fichier est vérifié. Lorsque vous pouvez modifier l'ID de groupe du propriétaire du fichier (gid), il est spécifié par l'option safe_mode_gid.

Si vous avez un fichier de bibliothèque partagé sur votre système, lorsque vous rencontrez le besoin de l'inclure ou de l'exiger, vous pouvez utiliser l'option safe_mode_include_dir pour définir votre chemin afin de vous assurer que votre code fonctionne normalement. (Chemins d'inclusion : si vous souhaitez utiliser l'option safe_mode_include_dir pour inclure davantage de chemins d'inclusion, vous pouvez utiliser les deux points pour séparer sous les systèmes Unix/Linux et les points-virgules sous Windows comme l'option include_path)

Par exemple, si vous souhaitez inclure des fichiers sous /usr/local/include/php en mode sans échec, vous pouvez définir l'option sur :

safe_mode_include_dir=/usr/local/include/php

Si vos fichiers inclus doivent être exécutés, alors vous pouvez définir l'option safe_mode_exec_dir.

Par exemple, si vous avez besoin que le fichier dans le chemin /usr/local/php-bin soit exécutable, vous pouvez définir l'option comme :

safe_mode_exec_dir=/usr/local/php-bin

(Exécutable : si le programme vous exécutez se trouve dans le répertoire /usr/bin, vous pouvez alors connecter ces fichiers binaires au chemin qui peut être exécuté sous les options que vous spécifiez)

Si vous souhaitez définir certaines variables d'environnement, vous pouvez utiliser le safe_mode_allowed_env_vars option. La valeur de cette option est le préfixe d'une variable d'environnement. Par défaut, les variables d'environnement commençant par php_ sont autorisées. Si vous souhaitez la modifier, vous pouvez définir la valeur de cette option.

Par exemple, si la variable d'environnement tz du fuseau horaire est autorisée ci-dessous, alors modifiez la valeur de cette option en :

safe_mode_allowed_env_vars=php_,tz

En plus du mode sans échec, php propose également de nombreux autres fonctionnalités pour assurer la sécurité de php.

1. [Masquer le numéro de version PHP]

Vous pouvez utiliser l'option expose_php dans php.ini pour empêcher le serveur Web de divulguer les informations de rapport PHP. Comme suit :

expose_php=on

Avec l'ensemble de cette configuration, vous pouvez contrecarrer certaines attaques de scripts automatisés ciblant les serveurs Web. Normalement, les informations d'en-tête http contiennent les informations suivantes :

server:apache/1.3.33(unix)php/5.2.4mod_ssl/2.8.16openssl/0.9.7c

Une fois l'option expose_php activée, les informations de version de PHP ne seront pas incluses dans les informations d'en-tête ci-dessus.

当然，用户访问网站的时候同样能够看到.php的文件扩展名。如果你想整个的使用不同的文件扩展名，你需要在httpd.conf中找到如下这行：

addtype application/x-httpd.php

你就可以修改.php为任何你喜欢的文件扩展名。你能够指定任意多个的文件扩展名，中间使用空格进行分割。如果你想在服务器端使用php来解析.html和.htm文件的时候，那么你设置选项如下：

addtype application/x-httpd.html.htm

(解析html：配置你的web服务器使用php去解析所有的html文件，但是如果非服务器端代码也需要php去解析，会影响服务器的性能。静态页面你可以使用不同的扩展名，这样能够消除对php脚本引擎的依赖，增强性能。)

2、[文件系统安全]

安全模式限制了脚本所有者只能访问属于自己的文件，但是你可以使用open_basedir选现来指定一个你必须访问的目录。如果你指定了一个目录，php将拒绝访问除了该目录和该目录子目录的其他目录。open_basedir选项能够工作在安全模式之外。

限制文件系统只能访问/tmp目录，那么设置选项为：

open_basedir=/tmp

3、[函数访问控制]

你能够在disable_functions选项中使用逗号分割来设定函数名，那么这些函数将在php脚本中被关闭。这个设置能够工作在安全模式之外。

disable_functions=dl

当然，同样的你能够使用disable_classes选项来关闭对一些类的访问。

4、[数据库安全]

假设你的php脚本中包含一个基于表单值来执行的mysql查询：

$sql=”update mytable set col1=”.$_post[“value”].”where col2=’somevalue'”;
$res=mysql_query($sql,$db);

你希望$_post[“value”]包含一个整数值来更新你的列col1。可是，一个恶意用户能够输入一个分号在表单字段里，接着，是一段他/她想被任意执行的sql语句。

举例，假设下面是$_post[“value”]提交的值：

0;insert into admin_users(username,password) values (‘me’,’mypassword’);

那么当这个查询发送给mysql查询的时候，那么就变成了下面这条sql：

update mytable set col1=0;
insert into admin_users(username,password) values (‘me’,’mypassword’);
where col2=’somevalue';

这明显是一个有害的查询！首先这个查询会在mytable表里更新col1。这个并没有什么麻烦的，但是第二个表达式，它将执行insert表达式 来插入一个能登陆的新管理员。第三个表达式就废弃了，但同时sql解析器将抛出一个错误，这个有害的查询才完成。这个攻击就是大家常说的sql injection（注：sql注入）。

当然，sql injection存在一个问题，对方必须了解你的数据库结构。在这个例子中，攻击者是知道你有一个表admin_users，并且知道包含username和password字段，同时，存储的密码是没有加密的。

除了你自己，一般的网站访问者是不知道这些关于数据库的信息。可是，如果你使用了一个开发源代码的在线电子商务程序，或者使用一个自由的讨论版程序，这些数据表的定义都是已知的，或者有一些用户能够访问到你的数据库。

此外，你的脚本输出会提示一个查询错误，这些信息里包含了很多关于数据库结构的重要信息。在一个正常工作的网站上，你应该考虑设置 display_errors选项为off，并且使用log_errors来代替display_errors，把警告和错误信息插入到文件中。

(数据库权限：它是一个非常重要的东西，你只有正确的权限，才能通过脚本正确的连接数据库。你应该不要在脚本中使用管理员去连接数据库。如果你这么 做，那么一个攻击者将可能获取全部的数据库权限，并且包括其他相同服务器的权限。攻击者将可能运行grant或create user命令来获取更多的访问权限。)

如果你要防止sql injection攻击，你必须保证用户表单里提交的内容不是一个能够执行的sql表达式。

前一个例子中，我们使用一个整型值来进行更新。如果在单引号后面跟上一个字符串，这个攻击者在分号之前必须提交一个闭合的引用在整个sql表达式中。可是，当magic_quotes_gpc选项是开启的时候，在web表单中提交的引号将自动被转义。

为了防止被恶意的攻击者进行sql injection攻击，你应该总是确认提交的数据是合法的。如果你需要的是一个整数值，那么你可以使用is_numeric函数来测试这个表达值，或者使用settype函数来转换为一个数字，清除任何一个傻傻的sql语句。

如果你开发的程序需要几个提交的值在一个sql表达式里，你能够使用sprintf函数来构建一个sql字符串，使用格式化字符来指示数据类型的每个值。看下面的例子：

$sql=sprintf(“update mytable set col1=%d where col2=’%s'”, $_post[“number”], mysql_escape_string($_post[“string”]));

在上一个例子中，整个mysql的数据已经被使用，所以这个字符串已经通过mysql_escape_string函数进行过滤。对于其他数据库，你可以使用addslashes函数进行转义，或者使用其他方法。

Pour plus de connaissances sur php, veuillez visiter le tutoriel php !

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!