[نقاش] الدوال اللازم اقفالها في PHP

[Ali7]

السلام عليكم ،،

بلا شك ايقاف بعض الدوال او ما يعرف بـ Disabled Functions في ملف php.ini من أساسيات تأمين السيرفرات المشتركة ..

عدد من المستضيفين يقومون بايقاف هذه الدوال بناء على ما يذكر في المنتديات او ما شابه ..نسخ و لصق !..

لكن .
هل كل ما يذكر من الضروري ايقافه ؟
مثال : -

escapeshellcmd 

تتكرر كثيراً ضمن القائمة ..لكن لا اعرف في الواقع الخطر الحقيقي منها ..

حسب علمي ..
تستخدم للتحقق من المدخلات التي يتم تمريرها الى دوال exec() , system() ..الخ
بحيث تقوم بحذف بعض الرموز الحساسة مثل :

#&;`|*?~<>^()[]{}$\

مثال عملي :
على افتراض ان لديك برنامج لتحويل صيغ الصور، الصوتيات ، مختلف الملفات
يتم تشغيله من الشل كالتالي :

convert file.type file.new_type

ضمن سكربت PHP و يتم تنفيذه عبر متغير $_POST
المعلوم ان الشل ينفذ 3 اوامر مفصولة بـ ; في مرة واحدة
ماذا لو اصبح الأمر :

convert file.type file.new_type ; cd /home ; rm -rf *

:con2: هنا تأتي وظيفة الدالة لتمنع أخطار كهذا ..

في النهاية ؟ هل تستحق الايقاف ؟
و على هذا المثال ..قس على بقية الدوال

[snooopy]

ياسلام عليك يا Ali7

اي والله ياليت احد الخبراء يعطينا قائمة الدوال المفروض ايقافها بدون زيادة او نقص

لأن اغلب المواضيع الموجوده في القسم خليط من جميع الاعضاء ولايعرف ماهو الضروري منها من العكس

[raihan]

السلام عليكم ورحمة الله وبركاته اخواني

لو رجعتم الى محرك البحث راح تحصلوا اكثر من موضوع يتكلم عن الدوال

وبالتوفيق

[Ali7]

عليكم السلام ،،
raihan :
نعم عزيزي .. تابعنا بعض المواضيع التي تتحدث عن هذه النقطة ..
لكن الا ترى ان هناك من يقترح الغاء دوال بشكل غير منطقي ؟
mkdir ? unlink ?
احد الردود هنا في هذا القسم ..يتحدث عن اغلاق mail ?

اترك لك المجال للتعليق !

[OmanSecurity]

عليكم السلام ،،
raihan :
نعم عزيزي .. تابعنا بعض المواضيع التي تتحدث عن هذه النقطة ..
لكن الا ترى ان هناك من يقترح الغاء دوال بشكل غير منطقي ؟
mkdir ? unlink ?
احد الردود هنا في هذا القسم ..يتحدث عن اغلاق mail ?

اترك لك المجال للتعليق !

اهلا وسهلا اخي الكريم
بالتأكيد لن يتحدث احد عن الغاء الدوال بشكل غير منطقي
على سبيل المثال الدالة اللتي وضعتها تبين المشكلة اللتي قد تسببها لذلك يفضل اقفالها
خاصة ان اغلب برامج الـphp لا تستخدمها
لا تنسى ان واحدة من قواعد الامن ان تقوم بتركيب اللذي تحتاجة فقط
وان تفعل (بالضمة على الـ ت ) اللذي تقوم بأستخدامة فقط

لان البرامج الثانوية او 3rdparty قد تضهر فيها ثغرات 0day في اي وقت وتقليلك من البرامج الثانوية يقلل من نسبة ظهور تلك الثغرات في برامج او تطبيقات قد تستخدمها ويمكن قياس ذلك بدوال الـphp واللتي ضهرت العديد من الثغرات فيها على سبيل المثال ثغره unset الشهيرة

من ناحية اخرى لا يجب ان تلتزم ابدا بالقائمة المذكورة ويمكنك اختيار الدوال اللتي تضن انها خطيره بين القائمة المذكورة
واذا كان عندك شك بدوال معينة لم تفهم لماذا ذكرت باللستة ( اللتي قد تكون غير صحيحة ) ضعها هنا والشباب ما بيقصروا وياك :1power:

ويمكنك الاستعانة بالموضوع التالي اللذي كتبتة منذ مدة لمساعدتك
للوصول الى بيئة php امنة
http://www.jaascois.com/research/36601026/

سلاااام

[OmanSecurity]

convert file.type file.new_type ; cd /home ; rm -rf *

:con2: هنا تأتي وظيفة الدالة لتمنع أخطار كهذا ..

في النهاية ؟ هل تستحق الايقاف ؟
و على هذا المثال ..قس على بقية الدوال

يعتمد ذلك على بيئة الـphp اللتي تتكلم عنها
عموما اغلاق هذه الدالة لن يكون منطقيا بحالة اغلاق دوال الشل الاساسية
لكن تذكر ان اللستة اللتي ذكرت بها الدوال قامت بالنمو اكثر فأكثر مع تسلسل معرفة دوال اخطر وظهور ثغرات بدوال معينة

لذلك لم اقم بتنقيحها على سبيل المثال ( اتكلم بنفسي)

خاصة وانها لا توقف عمل اي سكربت بالمواقع اللتي ادير سيرفراتها


سلااام

[MJ QATAR]

يا أخوان شوفوا التوقيع

[mad_4u]

أحمد vip
الكواسر
jawad-x
في بي بورتال
Professional
Alshajjar
صحبتنا
Ali7
الجود هوست
N-DES
السريع

افضل من تعاملت معهم وليس الامر سني او شيعي
القضية ان عقلك تنكة وماتفهم لكل واحد رب يحاسبة مو انت تحاسب الناس
كون الشخص شيعي او سني في النهاية ينطق بالشهادتين
لاكن مايعاير الناس بالديانة الا العنصري او قليل العلم والمعرفة

[MJ QATAR]

mad_4u
والله التنكة هو أنت جاي تطامر وترد ونت منت فاهم السالفه
تلايط وخلك مكانك
هذا شئ راجع لي
وإذا أنت مو فاهم شئ روح القسم العام

[Stylaty]

أنحذفت المواضيع من القسم العام

انا بعطيك السالفة يا ياسر إذا شفتك على الماسنجر

[snooopy]

هدوا ياشباب وخلونا في الدوال
ونتمنى للشيعة الهداية ومعرفة الصراط المستقيم

افضل من تعاملت معهم وليس الامر سني او شيعي
القضية ان عقلك تنكة وماتفهم لكل واحد رب يحاسبة مو انت تحاسب الناس
كون الشخص شيعي او سني في النهاية ينطق بالشهادتين
لاكن مايعاير الناس بالديانة الا العنصري او قليل العلم والمعرفة

هد اعصابك لاينطق لك عرق الله يهديك

[Stylaty]

هلا سنوووبي ... إنت لو شفت وش صار في العام كان غسلت يدك منهم

[snooopy]

يارجال والله انا غاسل يدي منهم من زمان

لكن بما اننا في قسم الاستضافة ماودنا المواضيع تحيد عن منحاها

الا وش اخبار الدوال يالربع :deal:

[Ali7]

OmanSecurity .. السلام عليكم
اشكرك على تفاعلك الطيب..

بعض الدوال تقفل في ظروف زمنية معينة ،،
او لخطرها على اصدارة معينة من PHP

خلاصة القول ان لكل مدير سيرفر لمساته الخاصة بناء على المواقع الموجودة فيه .
نعم هناك اشياء اساسية و ضرورية ،، لكن اسلوب النسخ و اللصق لا ينفع دائماً..
قد يسبب نوع من الضغط والارباك للمبرمجين ..اجبارهم على اعادة كتابة الكود او البحث عن بدائل .. والسبب هذه الدوال المقفلة

و ايضاً اشكرك على موضوعك ..اطلعت عليه قبل فترة ..

[العطاء]

اهلا وسهلا اخي الكريم
بالتأكيد لن يتحدث احد عن الغاء الدوال بشكل غير منطقي
على سبيل المثال الدالة اللتي وضعتها تبين المشكلة اللتي قد تسببها لذلك يفضل اقفالها
خاصة ان اغلب برامج الـphp لا تستخدمها
لا تنسى ان واحدة من قواعد الامن ان تقوم بتركيب اللذي تحتاجة فقط
وان تفعل (بالضمة على الـ ت ) اللذي تقوم بأستخدامة فقط

لان البرامج الثانوية او 3rdparty قد تضهر فيها ثغرات 0day في اي وقت وتقليلك من البرامج الثانوية يقلل من نسبة ظهور تلك الثغرات في برامج او تطبيقات قد تستخدمها ويمكن قياس ذلك بدوال الـphp واللتي ضهرت العديد من الثغرات فيها على سبيل المثال ثغره unset الشهيرة

من ناحية اخرى لا يجب ان تلتزم ابدا بالقائمة المذكورة ويمكنك اختيار الدوال اللتي تضن انها خطيره بين القائمة المذكورة
واذا كان عندك شك بدوال معينة لم تفهم لماذا ذكرت باللستة ( اللتي قد تكون غير صحيحة ) ضعها هنا والشباب ما بيقصروا وياك :1power:

ويمكنك الاستعانة بالموضوع التالي اللذي كتبتة منذ مدة لمساعدتك
للوصول الى بيئة php امنة
http://www.jaascois.com/research/36601026/

سلاااام

المحترم OmanSecurity,

اطلعت على الشرح اللي كاتبه للوصول إلى بيئة php آمنه وهنالك خطوه لم أتمكن من تنفيذها.

لدي سكربتات عندما أقوم بتعطيل التالي:
- register_globals = Off
- allow_url_fopen = Off

فهذه السكربتات للأسف لن تعمل وحاولت إضافة هذه الخيارات في .htaccess:
- php_flag register_globals on
- php_flag allow_url_fopen on

ولكن للأسف الموقع بكامله يتوقف ولا يعمل إلى أن أزيل ما تم وضعه.

أيضا حاولة تطبيق هذه الخطوه:

=========================================
وان كان الخيار لا يمكن تخصيصه الا من ملف httpd.conf كالـsafe_mod على سبيل المثال حيث انه يقع ضمن قسم PHP_INI_SYSTEM اللتي لا يمكن تخصيصها الا من ملف httpd.conf
فقم بالتعديل على ملف httpd.conf بالمسار

/usr/local/apache/conf

بواسطة المحرر peco او nano وابحث عن عنوان الموقع username.com

وتأكد ان كل ما تقوم بكتابته يقع ضمن نطاق اعدادات الموقع
وسوف يكون بالشكل التالي على فرض ان الموقع هو www.oman-web.com واسم المستخدم هو omanweb

<VirtualHost 208.101.28.63>
ServerAlias www.oman-web.com
ServerAdmin webmaster@oman-web.com
DocumentRoot /home/omanweb/public_html/
BytesLog domlogs/oman-web.com-bytes_log
ServerName oman-web.com

<IfModule mod_php4.c>
php_admin_value open_basedir "/home/omanweb:/usr/lib/php:/usr/local/lib/php:/tmp"
php_admin_flag register_globals on
php_admin_value disable_functions none
</IfModule>
<IfModule mod_php5.c>
php_admin_value open_basedir "/home/omanweb:/usr/lib/php:/usr/local/lib/php:/tmp"
</IfModule>

User omanweb
Group omanweb
CustomLog /usr/local/apache/domlogs/oman-web.com combined
ScriptAlias /cgi-bin/ /home/omanweb/public_html/host/cgi-bin/
</VirtualHost>


تأكد انك تقوم بالتعديل بين كل من

<VirtualHost 208.101.28.63>
..............................
..............................
....................
</VirtualHost>

وسنخصص على حسب اصداره الphp لدينا فأن كانت 4
نعدل بين

<IfModule mod_php4.c>
..................................
..............................
........................
</IfModule>

وان كنا نستخدم الاصداره الخامسة

<IfModule mod_php5.c>
...............................
...........................
........................
</IfModule>


ويكون التعديل كالتالي
php_admin_flag لأي قيمه On او Off
و
php_admin_value لأي سلسه من القيم او مسار ملفات
وطبعا من الممكن ان تكون القيمه none كالمثال بالاعلى


php_admin_value disable_functions none
او php_admin_value open_basedir "/home/omanweb:/usr/lib/php:/usr/local/lib/php:/tmp"

وتأكد من كتابتها بنفس الطريقه الموضحة
===============================

وللأسف لم أتمكن من الوصول إلى httpd.conf من خلال المسار
/usr/local/apache/conf


ارجوا أن تقوم بالتوضيح أكثر.


خالص التحيات