Какие проблемы с безопасностью я должен иметь в хостинге PHP

Question

Просто хотел узнать, какие могут быть предостережения о безопасности, которые я должен знать о хостинге PHP?

Спасибо

Answer 1

Вот некоторые из вещей:

• Отключить такие функции, как eval, passthru, shell_exec и т. Д.
• Удаленный ввод URL, отключить allow_url_fopen
• Отключить register_globals

И не забывайте:

• Вы тоже несете ответственность. Пишите безопасный код, читайте руководства по безопасности.

Руководство по безопасности PHP

Наконец, в соответствии с предложением Rook, вы должны выполнить:

PHPSecInfo скрипт для просмотра настроек безопасности вашего хоста.

http://phpsec.org/projects/phpsecinfo/

Для веб-хостов и команд разработчиков

В средах разработки убедитесь, что у вас есть соответствующие стандарты кодирования. Если вы чувствуете, что размещаете небезопасный код, который не написали, рассмотрите возможность установки брандмауэра веб-приложений. Также рассмотрите шаги по предотвращению атак грубой силы (например, если вы используете популярные инструменты CMS), система предотвращения вторжений, такая как Fail2Ban, может помочь вам в этом. Многие из этих вопросов освещены в этом докладе Практическая веб-безопасность - Джунаде Али , видео выступления - здесь .

Для PHP вы также можете рассмотреть возможность использования Suhosin , который добавляет ряд функций безопасности в ядро ​​PHP. Будьте внимательны, сначала установите его, а затем проверьте свои сайты, чтобы убедиться, что он ничего не сломал.

Answer 2

Если вы говорите как разработчик (а не как хостер), то не полагайтесь на сервер - напишите безопасный код, и вы никогда не пострадаете ни от какой директивы конфигурации php.

Answer 3

Клиенты часто имеют доступ к учетным записям Perl, PHP и оболочки, что облегчает клиенту DoS или отказ в обслуживании всех других клиентов с плохо написанной программой. Внешняя DoS во всей службе хостинга, что означает, что, если IP подвергается DoS-атаке, вы также страдаете той же проблемой с другими. Чаще всего клиенты решений общего хостинга также делят IP-адрес с другими клиентами. Такое расположение часто работает хорошо, но важно знать, что все, что случится с вашими соседями, имеющими один и тот же IP с вами, также получит вас. Если ваш сосед, использующий тот же IP-адрес, будет помещен в черный список спама, все остальные, кто использует этот IP-адрес, также будут иметь такую ​​же участь. Он очень уязвим для атак вредоносных программ. Другие вредоносные данные могут быть легко загружены на другие сайты, что подвергает ваш сайт риску. Они могут быть введены на сервер через уязвимости веб-сайта законных клиентов и могут быть использованы для кражи данных. DDoS-атаки, запускаемые программным обеспечением, загруженным на сервер, позволяют хакерам контролировать весь хост-сервер, а затем атаковать другой сервер, либо из той же сети, либо из других сетей.