السلام عليكم
كنت سأضع ردي في هذه المشاركة
http://www.swalif.net/softs/showthread.php?t=158773
ولكن رايت ان أجعلها في موضوع مستقل للأهمية بعض النقاط التي سأوردها.
1- البعض واجهته مشاكل توافق بعض السكريبتات اثناء الترقية للإصدار 5 وحقيقة لست ملزم بالترقية حيث يمكنك الترقية لنسخة المطورين من الإصدارة 4.2.2 وهي تفي بالغرض بإذن الله.
2- البعض تحدث عن تعطيل الدالة tempname وبانها ستفي بالغرض وهذا غير صحيح فقد قمت بتنفيذ الإختراق دون الحاجة لهذه الدالة (أعتذر عن ذكر الطريقة لأسباب امنية ولضعاف النفوس)،لذلك الحل الوحيد هو تعطيل دالة الـcopy وهذا أمر غير مقبول لإعتماد كثير من البرامج عليها.
3- حتى في الإصدار الجديد 5.1.4 مازالت المشكلة قائمة ولكن بشكل اخف فسابقاً الـsafemod لايمنع الإختراق أما الآن فهو يمنعه،ولكن المشكلة تكمن عندما يطلب احد عملائك إزالة safemod فهنا سنعود للمشكلة السابقة.
4- تركيب موديل الباشي mod_security يحل المشكلة حتى في الإصدارات القديمة ولكن مع تفعيل الـsafemod
أخيراً وهو الأهم عندما يكون السيرفر مخصص للإستضافة فلا تقم بتثبيت الـphp كموديل للأباشي بل ثبتها بشكل عادي اي CGI MOD والسبب أنه في الحالة الأولى جميع عمليات الـphp تتم تحت اسم المستخدم الخاص بملقم الأباشي والمعروف انه لديه صلاحيات كاملة على كافة مجلدات المستخدمين ، بينما في الحالة الثانية تتم العمليات بإسم مستخدم الحساب الذي تم تشغيل السكريبت منه وهنا لن يستطيع تنفيذ اي اوامر خارج نطاق مجلد اليوزر الخاص به.
يعيب CGI MOD أمران الأول وهو أنك ستتعامل مع ملفات الـphp كما تتعامل مع ملفات الـcgi اي لابد من ضبط التصاريح لكل ملف ،ولكن عندما نقارن هذا العيب البسيط بالجانب الأمني الذي سنحصل عليه فبرأيي الشخصي لاشئ،لذلك انصح اي شخص لديه سيرفر إستضافة ان يستخدم هذا الخيار.
الأمر الثاني هو إرتفاع بسيط وليس بكبير في إستهلاك الموارد اي اللود والسبب هو ان تشغيل السكريبت سيتسبب في قيام الباشي بتحميل مشغل الـphp كل مرة يتم فيها تشغيل السكريبت بينما في الـphp_module فالمشغل يتم تحميله مرة واحدة فقط وذلك عند إقلاع ملقم الأباشي.
لتركيب الـphp في وضعية CGI MOD تأكد من عدم وجود هذا الخيار --with-apxs=/www/bin/apxs في امر الconfigure عند تنصيب الـphp
ختاما تقبلوا تحياتي
اتمنى اني اكون فدت بشي يمكن يكون غافلين عنة ناس كثير
