PHP ist eine sehr beliebte Website-Skriptsprache, aber ihre inhärente Sicherheit ist sehr schwach. Dieser Artikel beschreibt den PHP-Erweiterungsplan (Hardened-PHP-Projekt) und der neue Suhosi-Plan bietet eine erweiterte PHP-Sicherheitskonfiguration.
PHP ist eine umstrittene, aber beliebteste Website-Skriptsprache. Es ist aufgrund seines niedrigen Preises beliebt. Dieser niedrige Preis hat jedoch dazu geführt, dass immer mehr Website-Anwendungen in PHP geschrieben werden, und gleichzeitig sind immer mehr PHP selbst Sicherheitslücken ausgesetzt Die Funktionen zeigen, dass PHP extrem unzuverlässig ist, aber gleichzeitig ist die Skriptsprache selbst sehr flexibel und es ist einfach, Code damit zu implementieren, aber diese Codes sind aufgebläht und unsicher, obwohl es auf diese Weise immer noch viele gibt Benutzer. Man kann davon ausgehen, dass Anwendungen aller Art immer wieder diese Schwachstelle aufweisen: anfällig für SQL-Injection, Cross-Site-Scripting, willkürliche Ausführung und mehr.
Da integrierte PHP-Sicherheitsmaßnahmen wie „safe_mode“ und „open_basedir“ ignoriert werden, erstellt der PHP-Erweiterungsplan PHP, das sicherer ist, und führt außerdem Validierungsprüfungen für PHP durch. Ursprünglich wurden diese mit erweiterten PHP-Patches erreicht, die ein Patchen und Neukompilieren von PHP selbst erforderten. Vor kurzem hat das PHP Enhancement Project ein neues Projekt namens Suhosin veröffentlicht.
Sohosin besteht aus zwei Teilen: Der erste Teil ist ein Patch für PHP. Dieser Patch stärkt die Zend-Engine selbst, um mögliche Pufferüberläufe zu vermeiden und damit verbundene Schwachstellen zu verhindern. Der zweite Teil ist die Erweiterung von Suhosin, einem eigenständigen Modul für PHP. Die beiden Teile können zusammenarbeiten oder die Erweiterung kann unabhängig voneinander arbeiten.
Entwickler möchten aus Sicherheitsgründen nicht ihre eigenen PHP-Installationseinstellungen pflegen müssen, und sie ziehen es auf jeden Fall vor, PHP direkt auf der vom Anbieter bereitgestellten Linux-Distribution zu verwenden und Erweiterungsmodule zu verwenden, um PHP selbst mehr Sicherheitsfunktionen bereitzustellen sind nicht verfügbar.
Das Erweiterungsmodul ist einfach zu installieren; es kann auch über PECL installiert oder heruntergeladen und kompiliert werden:
$ tar xvzf suhosin-0.9.17
$ cd suhosin -0.9.17
$ phpize
$ ./configure
$ make
$ sudo make install
Um suhosin zu verwenden, Sie müssen auch /etc/php.ini wie folgt hinzufügen:
extension=suhosin.so
Für die meisten Menschen reichen die Standardkonfigurationsoptionen aus. Um die Einstellungen zu verstärken, können Sie die entsprechenden Werte in /etc/php.ini hinzufügen. Die verschiedenen Konfigurationsmöglichkeiten werden auf der Website ausführlich vorgestellt. Diese Anleitung kann Ihnen bei der Erstkonfiguration helfen.
Mit Suhosin können Sie einige Fehlerprotokolle in das Systemprotokoll einfügen oder sie gleichzeitig in beliebige andere Protokolldateien schreiben und Whitelists; können GET- und POST-Anfragen, Datei-Uploads und Cookies filtern. Sie können außerdem verschlüsselte Sitzungen und Cookies senden, einen Speicher einrichten, der nicht gesendet werden kann, und vieles mehr. Im Gegensatz zum ursprünglichen PHP-Härtungspatch ist Suhosin mit Erweiterungssoftware von Drittanbietern wie Zend Optimizer kompatibel. PHP ist eine sehr beliebte Website-Skriptsprache, aber ihre inhärente Sicherheit ist sehr schwach. Dieser Artikel beschreibt den PHP-Erweiterungsplan (Hardened-PHP-Projekt) und der neue Suhosi-Plan bietet eine erweiterte PHP-Sicherheitskonfiguration.
PHP ist eine umstrittene, aber beliebteste Website-Skriptsprache. Es ist wegen seines niedrigen Preises beliebt. Dieser niedrige Preis hat jedoch dazu geführt, dass immer mehr Website-Anwendungen in PHP geschrieben wurden, und gleichzeitig sind immer mehr PHP selbst Sicherheitslücken ausgesetzt Die Funktionen zeigen, dass PHP extrem unzuverlässig ist, aber gleichzeitig ist die Skriptsprache selbst sehr flexibel und es ist einfach, Code damit zu implementieren, aber diese Codes sind aufgebläht und unsicher, obwohl es auf diese Weise immer noch viele gibt Benutzer. Man kann davon ausgehen, dass Anwendungen aller Art immer wieder diese Schwachstelle aufweisen: anfällig für SQL-Injection, Cross-Site-Scripting, willkürliche Ausführung und mehr.
Da integrierte PHP-Sicherheitsmaßnahmen wie „safe_mode“ und „open_basedir“ ignoriert werden, erstellt der PHP-Erweiterungsplan PHP, das sicherer ist, und führt außerdem Validierungsprüfungen für PHP durch. Ursprünglich wurden diese mit erweiterten PHP-Patches durchgeführt, die ein Patchen und Neukompilieren von PHP selbst erforderten. Vor kurzem hat das PHP Enhancement Project ein neues Projekt namens Suhosin veröffentlicht.
Sohosin besteht aus zwei Teilen: Der erste Teil ist ein Patch für PHP. Dieser Patch stärkt die Zend-Engine selbst, um mögliche Pufferüberläufe zu vermeiden und damit verbundene Schwachstellen zu verhindern. Der zweite Teil ist die Erweiterung von Suhosin, einem eigenständigen Modul für PHP. Die beiden Teile können zusammenarbeiten oder die Erweiterung kann unabhängig voneinander arbeiten.
Entwickler möchten aus Sicherheitsgründen nicht ihre eigenen PHP-Installationseinstellungen pflegen müssen, und sie ziehen es auf jeden Fall vor, PHP direkt auf der vom Anbieter bereitgestellten Linux-Distribution zu verwenden und Erweiterungsmodule zu verwenden, um PHP selbst mehr Sicherheitsfunktionen bereitzustellen sind nicht verfügbar.
Die Erweiterung ist einfach zu installieren; sie kann auch über PECL installiert oder heruntergeladen und kompiliert werden:
$ tar
$ sudo make install
Um Suhosin verwenden zu können, müssen Sie auch /etc/php.ini wie folgt hinzufügen:
extension= suhosin.so
Die Standardkonfigurationsoptionen sind für die meisten Menschen ausreichend. Um die Einstellungen zu verstärken, können Sie die entsprechenden Werte in /etc/php.ini hinzufügen. Die verschiedenen Konfigurationsmöglichkeiten werden auf der Website ausführlich vorgestellt. Diese Anleitung kann Ihnen bei der Erstkonfiguration helfen.
Mit Suhosin können Sie diese Protokolle in das Systemprotokoll einfügen oder sie gleichzeitig in beliebige andere Protokolldateien schreiben und Whitelists; können GET- und POST-Anfragen, Datei-Uploads und Cookies filtern. Sie können außerdem verschlüsselte Sitzungen und Cookies senden, einen Speicher einrichten, der nicht gesendet werden kann, und vieles mehr. Im Gegensatz zum ursprünglichen PHP-Härtungspatch ist Suhosin mit Erweiterungen von Drittanbietern wie Zend Optimizer kompatibel.
Vielen Dank fürs Lesen. Weitere verwandte Inhalte finden Sie auf der chinesischen PHP-Website (www.php.cn)!
