السلام عليكم
يحكى ان شخصا بنى منزلا وعندما اتم بنائه تسائل جيرانه عن عدم وجود ابواب او شبابيك في المنزل؟ فسئلو صاحب المنزل فكانت اجابته انه يخاف من اللصوص ان يهجموا على المنزل فقرر الغائها
هذه القصه تنطبق على استظافة ترايدنت
فقد قدر الله علي وطلب مني احد عملائي برمجة سكريبت خاص به وعند الانتهاء من السكربت وتجربته على السيرفر المحلي بشكل جيد
ارسل لي العميل بيانات الاستظافه فقلت ياولد خنا نشوف معلومات عن php بواسطة phpinfo()
اللي حصل انه ضهرت الصفحة بيضاء بدون نتائج فقلت يمكن هذه الداله لها اضرار او شي يخرب سيرفراتهم العامره
رفعت السكربت وجربت السكربت ماشتغل جلست ابحث في الاكواد الاكواد سليمة
رفعته على استظافه ثانيه اشتغل
طلع داله eval معطله راسلنا دعمهم قال ايش اسم السكربت قلنا هذا برمجة خاصه قال اعطوني الرابط اطلع على السكربت قلنا الحمدلله بتنحل المشكله بعد كذا قال والله الدوال مقفله عندنا ومانقدر نشغلها و رسائل الاخطاء ماتعمل وملفات الهتاكسس ماتعمل والخافي اعظم
المشكله يوم نراسلهم كاننا نراسل مهندسين في ناسا
زبدة الموضوع اشوف ان الاكثار من الحمايه الى هذه الدرجة يعني ان القائيمين على السيرفر ماعندك احد مثل سالفه راعي البيت اللي قبل شوي

يابن الحلال الحين الواحد ليش يتعّب نفسه

يستأجر له سيرفر vps مواصفاته عسل لمدة سنة بداتا سنتر يفتح النفس

ويكون السيرفر لموقعه فقط بسعر لا يتعدى 2500 ريال سنوياً

بلا ترايدنت بلا استضافة عربيّة ووجع راس

رغم انني اعتبر استضافة ترايدنت أفضل استضافة عربية

ولكن مشكلتها استعارها الخرافيّة و إغلاق الدوال كما ذكرت

__________________
عندك موقع يستهدف الأطفال؟ ضع لهم عبارات تحفيزيّة و نصائح عن البر بالوالدين والصلاة وهكذا..
تحميل القران | الاركاني | السديس | الشريم
Quran القطامي | Listen Quran | ياسر الدوسري
الكلباني | مشاري العفاسي | المعيقلي

سبق أن ناقشت هذه المشكلة مع أكثر من صاحب سرفر , من يجهل يجيب "لاسباب أمنية" .
في الحقيقه صحيح أن بعض الدوال بها مشاكل أمنية لكن يتم اصدار ترقيع بشكل سريع لا يتجاوز أيام معدوده , وينصح مبرمجي php بإغلاق الدوال بشكل فوري الى ان تصدر الترقيعة الأمنية ويتم تحديث السرفر , لكن صاحب السرفر لا يدرك ماذا حدث بالضبط ويظل يمنع هذه الدالة على السرفر وأي سرفر يمر عليه حتى لو بالغلط .

الان لا يوجد أي دالة غير آمنة في php اذا كانت اعدادات السرفر صحيح أي ان كل صاحب موقع يعمل موقعه بالمستخدم نفسه فانه حتى داله exec لا تشكل اي مشكلة. ايضا حتى لو أعطيء صاحب الموقع حساب ssh فانه لا يستطيع فعل أي شيء اذا كان المستخدمين والمجموعات موزعه بشكل سليم.

القليل من الشركات التى توفر استظافات مشتركة من تعمل هذه الاعدادات بشكل صحيح .

__________________
ضيف الله العتيبي مبرمج حر و مهندس معتمد من زيند (ZCE)
الاتصال: daif@daif.net او جوال: 0556639884
الخدمات: تقديم استشارات برمجيه, تطوير بوابات/خدمات إلكترونيه للقطاع العام او الخاص .

صراحة
شركات نادرة حتى الأجنبية التي تتيح أعدادات جيدة

يعني في شركة رفعت عندها سكريبت gallery
كل حاجة شغالة، حتى الـ ssh ومنزلين كل مكتبات ال php ومنزلين حتى الـ ffmpeg وكل حاجة فعلاً

__________________
حازم خالد
اناشيد مسلم تيوب
المدونة
السيرة الذاتية
hazem.khaled (at) gmail.com
www.تيوب.com

الإسضافات الأجنبية لديهم كل شيئ مفتوح
ورغم ذلك لا تستطيع الدخول لحساب أخر ولا رفع شل وإستخدامه

بس كله كوم و eval كوم أخر
صراحة عجيبة
طيب يظهروا أخطاء ال php في ملفات حتي لكي يعمل المبرمج ماذا يحدث

__________________
السيف أصدق أنباء من الكتب

أعتقد ان المشكله ليست مشكلة دوال ، أكيد هناك شيء ما خطأ متعلق بالبرمجيه أو يحتاج لأعداده ليتناسب للعمل علي استضافة لينوكس و ليس سيرفر محلي ، هل تستخدم نظام تيمبلت بالبرمجيه الخاصه بك ؟

__________________
أحمد عبد الفتاح
www.servmix.com
المبيعات : info@servmix.com
لمراسلتي : engahmed@servmix.com
• ليس اليتيم الذى قد مات والده ... بل اليتيم يـتـيـم العلـم و الأدب •

هل تقصد برمجة الاسكربت ليتوافق مع استظافتهم
تم رفع السكربت على استظافة اخرى ويعمل بشكل ممتاز.
ولكن مالحكمة من اخفاء رسائل الاخطاء البرمجيه؟
وكيف نعرف اصدار php ?
phpinfo() مغلقه
والعميل مايبي يغير الاستظافه لانه دفع حقها والله حاله

لن أتكلم عن ترايدنت بشكل خاص لأني لم أحتك بها. لذلك سيكون كلامي عاما..

بشكل عام المبالغة في تعطيل الدوال و التقييد بهذا الشكل لا يسمى "حماية زائدة" .. بل هي "ذكاء زائد"

ليس من العيب أن شركة الاستضافة تستعين بشركة أخرى لإعداد سيرفراتها أو حتى إدارتها، في حال عدم توفر الكفاءة عند الطاقم الفني بها.

أو أنها تعطي دورات في التعامل مع السيرفرات لطاقمها الفني طالما أن هذا في الأصل سيعود للشركة على شكل رضا للعميل.


ممكن تحاول معرفة الدوال المعطلة وأيضا السيف مود شغال أم لا ثم تعدل في البرنامج.

يعني التعديلات لن تكون جذرية وأيضا الاختبار لوكال وأمرك الى الله.

__________________
محمد حمود.

ما عليك سوي إختبار الدوال المستخدمة بدال if وتري الخرج حتي تتعرف علي المغلق وتحاول تتفاهم مع ترايدنت

__________________
السيف أصدق أنباء من الكتب

اذا انت تعتبر الذي بنا بيته بدون ابواب ولا شبابيك ذكي بحجة منع اللصوص من الدخول
كيف و phpinfo لاتعمل؟

حماية مبالغ فيها تجدها كثيرا وتقسيرها الوحيد عجز صاحب السيرفر عن حماية سيرفره

فيضطر الى اغلاق كل الدوال ليريح راسه

وفي النهاية السيرفرات العربيه موجود للمنتديات لذلك طالما المنتدى شغال على السيرفر فليس مهم اي شئ اخر

فنادرا ما تجد برمجه خاصه

أخي المتعارف عليه أنه من حق العميل مراسلة الدعم الفني وطلب معرفة كل هذه المعلومات بالتفصيل طالما أنهم منعوها ، فراسلهم..

ان لم يجيبوا عليك -وهذا متوقع طالما انهم بالشكل الذي وصفت- فلن يبقى امامك الا ان تختبر كل دالة تشك فيها على حدة كما قال المجروح ثم التجربة على الموقع.

__________________
محمد حمود.

الكثير من الدوال المعطلة على استضافة ترايدنت ..
طبعا هي تعقيك عن بعض البرامج ... لكن بالفعل هي تعطي السيرفر امان قوي .. حتى أنه اصبح مفخرة الهكر عندما يخترق سيرفر على ترايدنت .

اما تعطيل الدوال فهي بالفعل مزعجة جدا

__________________
قلعة الفوتوشوب

دروس فوتوشوب

مع أحترامي للجميع ... لو ان احدكم يقدم الدعم للعميل العربي عند أختراق موقعه بسبب أخطاء في حماية الكود البرمجي الخاص به ما كان ليسأل لم تقوم شركات الاستضافة التي تقدم الدعم للعرب بإغلاق الدوال بشكل يعتبره الكثير من المبرمجين ومنهم أنا "عشوائيه" ويعتمد مديري السيرفرات في حماية السيرفرات التي تقدم للسوق العربي علي مباديء تجاريه بحته مثل جملة ( الشيلات لا تعمل علي السيرفر "في حين ان الشيلات المذكوره ما هي الا ملفات تحتوي اكواد برمجية عاديه مثل اي برنامج اخر" والتي يضطر فيها لاغلاق بعض دوال مهمه يحتاجها الكثير من الاسكربتات .

أما بالنسبة لدالة eval التي ذكر الاخ انها مغلقه في سيرفرات ترايدنت .... فهذا غير صحيح .
يمكنك مراسلتي او وضع رابط الموقع هنا وسيتم متابعة مشكلتك بشكل مباشر بصفتي احد المسؤلين عن سيرفرات ترايدنت تقنياً .

ملحوظه : أقوم بتقديم خدمات السيرفرات التقنية للعديد من السيرفرات التي تقدم خدمات الاستضافه للعملاء من غير العرب ... يتم إعتماد أنظمة الحماية علي مباديء تقنية في الدرجة الاولي وتجارية في الدرجة الثانيه حيث انه في حالة إختراق موقع العميل يكون هو المسؤل الوحيد دام ان الاختراق تم بسبب ضعف في حماية الكود البرمجي وليس من السيرفر .

__________________
سبحان الله وبحمده .. سبحان الله العظيم
المستضيفون العرب لخدمات ادارة السيرفرات

Ahmed Tohamy ,
هل يمكن ان تضع قائمة بالدوال التى تحجبها بالسرفر ؟
على سبيل المثال glob و exec اذا كانت اعدادات السرفر صحيحه فلا يمكن لك ان تستخدمها خارج نطاق موقعك ... مثلا مع تركيب SuEXEC وغيره .
حاليا curl بها خلل امنى للاصداره 5.2.9 هل ستقوم بحجبها من السرفر بشكل مؤقت ثم بعد تحديث السرفر تقوم بتفعيلها ؟ هذا ما اتحدث عنه دوما ان صاحب السرفر يحجب الداله بشكل نهائي بدون ان يدرك ماذا يفعل.

رابط حول ثغرة curl
http://www.isecur1ty.org/news/14-vul...ir-bypass.html

__________________
ضيف الله العتيبي مبرمج حر و مهندس معتمد من زيند (ZCE)
الاتصال: daif@daif.net او جوال: 0556639884
الخدمات: تقديم استشارات برمجيه, تطوير بوابات/خدمات إلكترونيه للقطاع العام او الخاص .

قائمة الدوال ليست ثابتة فهي متغيرة من سيرفر لآخر على حسب نوع البرمجيات المستخدمة وطلب العميل وليس كل السيرفرات مثل بعضها في الاعدادات
بالنسبة ل glob لا نقوم باغلاقها بعدما صدر الترقيع الامني الخاص بها
مع احترامي لك دالة exec يمكنها ان تسبب اختراق السيرفر بالكامل اذا كانت هناك ثغرة يمكن استغلالها بتنفيذ اوامر
يوجد لدينا مركز مختص بالحماية وقسم خاص بخدمات الحماية وعلى ذلك نقوم بحجب الدوال التي تسبب خطراً في وقتها وبعد نزول الترقيع يتم اعادة فتح الدالة لانه لا توجد فائدة لغلقها بعدما يتم ترقيعها
ما تتحدث عنه قد يكون موجودا في بعض الشركات التي لا تتخذ اساليب تقنية صحيحة في العمل
مع الشكر

__________________
متخصصون في ادارة السيرفرات والدعم الفني على مدار الساعة ومن عملائنا:
http://www.arabhosters.com/customers.html
صفحتنا على فيس بوك
https://www.facebook.com/arabhosters

طيب بخصوص سجل الأخطاء فأعتقد تهامي قلي قبل كده أنه من الضعف أغلاق ملفات اللوج log files والتي يعتبر أخطاء ال php من ضمنها

لأنه ببساطة لن نتمكن من تتبع الأختراقات إذا تمت وبالتالي لن تتمكن من معرفة سبب الأختراق وأغلاقه

أنا عندي ريسيلر على سرفر من سرفرات arabhosters وصراحة قابلت بعض المشاكل في الاول ولكن كان في تجاوب خاصتاُ اني كمبرمج ليا بعض الطلبات الخاصة على موقعي لما أقوم بتجربته

طبعاً ليس من الصحيح أظهار الأخطاء في الموقع لانها تسبب منفذ للمخترقين أما الصحيح هو تسجيل الأخطاء

يمكنك الدخول من cpanel وستجد امامك error log وستجد بها الأخطاء كلها التي تحدث للموقع
لهذا اعتقد أن arabhosters أكيد فحين سجل الأخطء

__________________
حازم خالد
اناشيد مسلم تيوب
المدونة
السيرة الذاتية
hazem.khaled (at) gmail.com
www.تيوب.com

طبعاً ملفات تسجيل الاحداث بصفة عامه "Log Files" هي شيء أساسي في أي نظام ولكن أحياناً يقوم بعض مديري السيرفرات بإلغاء الرابط ل "error log" من ال cPanel ولكنها تكون متاحه لصاحب الموقع ان يتطلع علي هذا الملف من خلال ملفاته في ال cPanel عن طريق ال link الموجود في ال HOMEDIR الخاص به مثال :
ملحوظه : يقوم مختصي الحماية في السيرفرات بإلغاء اي خدمات او خواص لا يتم إستخدامها من قبل العملاء حتي لو لم تكن بها ثغرات .... وبالنسبة لي ينطبق هذا المبدأ علي ال PHP ودوالها ... ويتواجد مختصي الدعم الفني في أي شركة لتقديم الردود بخصوص هذه الاستفسارات ...
ولكن المشكله دائماً في أن إدارة الشركات لا تقوم بعملية الربط بين المختصين التقنيين بمختصي الدعم الفني لذلك كثيراً ما نجد ردود غير مقنعة للعميل لان مختص الدعم الفني الذي يقوم بالرد عليه غير متخصص في المجال او علي دراية بالانظمة المطبقه علي سيرفرات الشركة .

توضيح : بخصوص المشاكل التي تواجه المبرمجين مع السيرفرات التي يوجد عليها حماية "هذا شيء طبيعي طبقاً للمبدأ الذي قمت بذكره بالاعلي" .

شكراً لكم على النقاش المثمر .

__________________
سبحان الله وبحمده .. سبحان الله العظيم
المستضيفون العرب لخدمات ادارة السيرفرات

اخوي في دوال خطره تقدر تستخدمها في الاختراق مثل داله symlink اكثر السيرفرات مايدرون عنها تتخطى صلاحية اليوزر وتقرا اي ملف بالسيرفر

__________________
twitter

اخي العزيز ... رجاء الاطلاع علي الرابط التالي :
Symbolic link - Wikipedia, the free encyclopedia
به توضيح لماهية خاصية الSymbolic Link في أي نظام تشغيل ويمكن إستخدامها من أي برنامج موجود علي نظام التشغيل .

__________________
سبحان الله وبحمده .. سبحان الله العظيم
المستضيفون العرب لخدمات ادارة السيرفرات

Arabhosters.com هل يمكن أن تخبرنا ماهي الدوال المغلقه حاليا لديك ؟
ماهي المشكلة من exec من ناحية ملفات ومجلدات الأعضاء اذا كانت الصلاحيات للملفات 0700 ؟!
اما من ناحية تنفيذ الاوامر فيأتي دورك الحقيق الذي يفترض ان تركز عليه بدلا من حجب الدوال والذي يكون في حماية السرفر وخلق بيئة لكل مستخدم jailshell لا يخرج منها , مثلا مجلد bin خاص يوجده به الاوامر المتعارف عليها ... اعتقد انك تعلم الكثير حول هذه الامر.

- اذا كان ماذكرته سابقا خطرا , اذا ماذا يحدث في الاستظافات المشتركة التى توفر وصول عن طريق ssh ؟!!!

__________________
ضيف الله العتيبي مبرمج حر و مهندس معتمد من زيند (ZCE)
الاتصال: daif@daif.net او جوال: 0556639884
الخدمات: تقديم استشارات برمجيه, تطوير بوابات/خدمات إلكترونيه للقطاع العام او الخاص .

مشكور اخ ضيف

المرء عدو ما يجهل, ومدراء السيرفرات العربية لا تعي من الحماية أكثر من اغلاق جميع الدوال بدون وعي.

من الطرائف التي مرت علي قبل خمس سنوات اقفال الدالة copy في احدى السيرفرات, وبعد الاستفسار من صاحب شركة الاستضافة لم يجب بـ "لا أدري" اخبرني بأن دالة copy ثغرة أمنية في لغة php والكل يعلم ذلك. طبعاً هالرجال يتكلم عن ثغرة كانت في هالدالة من عهد جدتي وتم ترقيعها منذ قرون مضت.

في المقابل كما ذكرت البروفشنالز الغرب يوفرون SSH في الإستضافة المشتركة دون الخوف من اختراق سيرفراتهم, ولا اجد سيرفراتهم تخترق. ولكنهم يعون ما يعفلون, ليس كما نرى لدينا.

وهذي احدى الطرائف المنشورة في سوالف :

__________________
Saudi Wanderer
My Blog : SWanderer