PHPBuilder.com, the best resource for PHP tutorials, templates, PHP manuals, content management systems, scripts, classes and more.

Linux Today
Enterprise Linux Today
Apache Today
JustLinux.com
Linux Planet
PHPBuilder
All Linux Devices
Hiermenus
DatabaseJournal
Technology Jobs

IT
Developer
Internet News
Small Business
Personal Technology
International

Search internet.com
Advertise
Corporate Info
Newsletters
Tech Jobs
E-mail Offers

Covalent Extends Apache 2.0 to Microsoft ASP.NET
ShopWorX - Support for Windows
PHP Security Advisory: Vulnerability in PHP versions 4.2.0 and 4.2.1
Network Risk Assessment
Full-Featured, Java-Based Apache GUI

Partners & Affiliates

Native Language Support
What's new in PHP 5 and PHP 6
PHP4/Zend OverView
Ajax Edit in Place Using Prototype
Using PHP for RTF

Index: phpdoc/hu/chapters/security.xml diff -u phpdoc/hu/chapters/security.xml:1.4 phpdoc/hu/chapters/security.xml:1.5 --- phpdoc/hu/chapters/security.xml:1.4 Sat Oct 14 06:26:30 2000 +++ phpdoc/hu/chapters/security.xml Sat Oct 28 09:09:00 2000 @@ -9,8 +9,9 @@ tulajdons�gok alapesetben vesz�lyess� is tehetik m�s, a webszerveren fut� alkalmaz�sok sz�m�ra. A PHP-t �gy fejlesztett�k, hogy biztons�gosabb legyen CGI programok �r�s�ra, mint a Perl vagy C nyelvek. A PHP a ford�t�si - �s fut�sidej� be�ll�t�sok helyes v�laszt�s�val megadja neked a - szabads�g �s biztons�g megfelel� kombin�ci�j�t. + �s fut�sidej� be�ll�t�sok helyes v�laszt�s�val, �s megfelel� kodol�si + st�lus haszn�lat�val megadja neked a szabads�g �s biztons�g megfelel� + kombin�ci�j�t. Mivel sok k�l�nb�z� form�ja van a PHP haszn�lat�nak, sz�mos @@ -18,12 +19,26 @@ lehet�s�gek nagy sz�ma garant�lja, hogy a PHP-t sokf�le c�lra felhaszn�ld, de egyben azt is jelenti, hogy ezek �s a szerver be�ll�t�sainak kombin�ci�i kritikus helyzeteket teremthetnek. - Ez a fejezet kit�r a k�l�nb�z� konfigur�ci�s be�ll�t�s-kombin�ci�kra, - �s azokra az esetekre, amikor ezek biztons�ggal haszn�lhat�ak. + + A be�ll�t�sok soksz�n�s�ge egyenl� m�rt�k� a k�dok soksz�n�s�g�vel. + A PHP haszn�lhat� teljes szerver alkalmaz�sok k�sz�t�s�re, + egy shell user minden lehet�s�g�vel, vagy haszn�lhat� + egyszer� server side include-okn�l, kis kock�zattal egy + szigor�an ellen�rz�tt rendszerben. Az, hogy hogyan kell + kialak�tani egy k�nyezetet, milyen biztons�gosan, nagyban a PHP + fejleszt�n m�lik. + + + Ez a fejezet el�sz�r a k�l�nb�z� be�ll�t�si-lehet�s�g + kombin�ci�kat t�rgyalja, �s azokat a helyzeteket, ahol + ezek biztons�gosan haszn�lhat�ak. Ut�na n�h�ny k�dol�si + probl�m�t mutat be, amik biztons�goss�g szempontj�b�l + �rdekesek lehetnek. V�g�l n�mi �ltal�nos tan�cs k�vetkezik. + - CGI futtathat� �llom�ny + CGI futtathat� �llom�nyk�nt telep�tett PHP Lehets�ges t�mad�sok @@ -86,7 +101,7 @@ A PHP eset�ben az --enable-force-cgi-redirect + linkend="install.configure.enable-force-cgi-redirect">--enable-force-cgi-redirect ford�t�si opci�, a doc_root �s user_dir konfigur�ci�s lehet�s�gek @@ -107,7 +122,7 @@ be�ll�t�sokra. Ha a szerver nem enged�lyezi az �tir�ny�t�sokat, illetve ha a szervernek nincs m�dja biztons�gos �tir�ny�t�ssal k�ldeni a k�r�st a PHP sz�m�ra, megadhatod az --enable-force-cgi-redirect + linkend="install.configure.enable-force-cgi-redirect">--enable-force-cgi-redirect opci�t a "configure" script sz�m�ra. Meg kell gy�z�dn�d arr�l, hogy a PHP script-jeid nem f�ggnek egy speci�lis script h�v�si form�t�l sem, mint a PATH_INFO �s a PATH_TRANSLATED inform�ci�kat, a PHP feldolgoz�t az --enable-discard-path + linkend="install.configure.enable-discard-path">--enable-discard-path "configure" opci�val kell ford�tani. @@ -242,13 +257,317 @@ - Apache modul + Apache modulk�nt telep�tett PHP Ha a PHP-t Apache modulk�nt haszn�lod, �r�kli az Apache - felhaszn�l�i enged�lyeket (tipikusan a "nobody" nev� user alatt fut). + felhaszn�l�i enged�lyeket (tipikusan a "nobody" nev� user + alatt fut). Ennek t�bbf�le hat�sa van a biztons�gra �s az azonos�t�sra. + P�ld�ul ha PHP-t haszn�lsz egy adatb�zis el�r�s�hez, annak ellen�re, + hogy az adatb�zisnak be�p�tett azonos�t�sa van, az adatb�zist el�rhet�v� + kell tenned a "nobody" user sz�m�ra is. Ez azt jelenti, + hogy egy rosszindulat� script el�rheti, �s m�dos�thatja az adatb�zist, + ak�r felhaszn�l�i n�v �s jelsz� n�lk�l is. Lehets�ges, hogy egy + keres�robot beleakadjon az adatb�zis-adminisztr�ci�s lapodba, + �s ki�r�tse az �sszes adatb�zist. Term�szetesen ez ellen + v�dekezhetsz Apache azonos�t�si technik�kkal, vagy elk�sz�theted + a saj�t el�r�si modelledet LDAP seg�ts�g�vel, k�sz�thetsz + .htaccess file-t, stb. �s a PHP k�doddal egy�tt kezelheted + ezeket is. + + + �ltal�ban, ha a biztons�got akkora szintre tudjuk emelni, hogy + a PHP user (ebben az esetben az Apache user) igen kis kock�zattal + fut, nem k�pes p�ld�ul v�rus file-ok �r�s�ra a user k�nyvt�rakba. + Letilthatjuk sz�m�ra egy pr�v�t adatb�zis el�r�s�t vagy + megv�ltoztat�s�t. Tipikusan ebben a helyzetben m�r azokat + a file-okat sem tudja �rni, amit kellene, vagy nem tud + v�grehajtani adatb�zis lek�r�seket. + + + Egy gyakori hiba ezen a ponton, hogy az Apache-nak root jogokat adnak. + + + Az Apache user jogainak root szintre b�v�t�se k�l�n�sen + vesz�lyes, �s t�knreteheti a teljes rendszert, teh�t sudo, + chroot vagy m�s hasonl� eszk�z�k haszn�lata elker�lend�, + ha nem vagy biztons�gi szakember. + + + + + File-rendszer biztons�g + + A PHP tiszteli a rendszerbe �p�tett biztons�gi megold�sokat, + k�l�n�s figyelemmel a file-okra �s k�nyvt�rakra be�ll�tott + jogosults�gokra. Ez lehet�s�get ad arra, hogy megszabd, + mely file-ok olvashat�ak a rendszerben. A mindenki sz�m�ra + olvashat� file-okn�l �gyelni kell arra, hogy ne tartalmazzanak + olyan fontos adatot, amit nem szabad, hogy elolvasson + ak�rmelyik user a rendszeren. + + + Mivel a PHP �gy k�sz�lt, hogy felhaszn�l�i szint� file-rendszer + hozz�f�r�st ad, lehets�ges olyan program k�sz�t�se, ami a + rendszer file-okat olvassa, pl. az /etc/password file-t. Ez + maga ut�n von egy nyilv�nval� k�vetkeztet�st, hogy meg kell + gy�z�dn�d a programjaidban, hogy az helyes file-okat olvasod + illetve �rod. + + + N�zz�k a k�vetkez� scriptet, ahol a user megadja, hogy + le szeretne t�r�lni egy file-t a k�nyvt�r�ban. Ez t�bbnyire + egy webes fel�letet jelent, ahol egy PHP program haszn�latos + filekezel�sre, ez�rt az Apache usernek enged�lyezni kell + a file-ok t�rl�s�t a user felhaszn�l� k�nyvt�r�ban. + + + + A helytelen v�ltoz� haszn�lat .... + + +]]> + + + Mivel a usern�v egy HTML �rlapb�l �rkezik, a felhaszn�l� be�rhat + tetsz�leges usernevet �s file-t, �gy ak�r m�s k�nyvt�r�t + is manipul�lhatja. Ebben az esetben �ltal�ban valamilyen + felhaszn�l�-azonos�t�si elj�r�st kell alkalmaznod. L�ssuk, + mi t�rt�nik, ha a beadott v�ltoz�k a "../etc/" �s a + "passwd". A k�d akkor �gy alakulna (az adatokat + behelyettes�tve): + + ... file-rendszer t�mad�shoz vezethet + + +]]> + + + K�t fontos komponens van, ami hat�ssal van arra, hogy ilyen + megt�rt�nhet vagy sem: + + + + Csak korl�tozott jogok be�ll�t�sa a PHP web usernek. + + + + + Minden bej�v� file-al kapcsolatos adat ellen�rz�se. + + + + Egy fejlettebb script: + + Biztons�gosabb file ellen�rz�s + + +]]> + + + + + + + Hibajelz�s + + Egy szok�sos t�mad�si technika min�l t�bb inform�ci� begy�jt�se + a rendszerr�l. Ezt �gy pr�b�lj�k megoldani, hogy helytelen + adatokat k�ldenek be, �s r�gz�tik a hiba�zenetek t�pusait + �s k�rnyezet�ket. Ez lehet�s�get ad a crackernek, hogy + el�g inform�ci�t gy�jts�n a rendszerr�l, �s meghat�rozza + a lehets�ges gyenge pontokat. + + + A PHP �ltal visszaadott hiba�zenetek �ltal�ban hasznosak + a hib�kat keres� fejleszt� sz�m�ra, megjel�lve a file-t, �s + a f�ggv�nyt, ami hib�s, megadva a megfelel� programsor sz�m�t. + Ez az �sszes inform�ci�, amit ki lehet nyerni. + + + P�ld�ul a hiba�zenetek nagyr�sz�b�l beazonos�that�, hogy + a rendszer PHP-t haszn�l. Ha a t�mad� egy .html oldalt l�tott, + �s ismert hib�kat kihaszn�lva meg akarta tudni, hogy + milyen alkalmaz�st haszn�l a rendszer, hib�s adatokat bek�ldve + azonos�thatja, hogy az oldalt egy PHP program �ll�totta el�. + + + Egy f�ggv�nyhiba el�rulhatja, hogy a rendszer milyen + adatb�zsimotort haszn�l, vagy hogy milyen programoz�i + st�lussal k�sz�lt az adott weblap. Ez m�lyebb kutat�sokra + ad lehet�s�get nyitott adatb�zisportok ir�ny�ban, vagy + tipikus hib�k illletve gyenges�gek keres�s�t jelentheti. + K�l�nb�z� hib�s adatok k�ld�s�vel a t�mad� meg tudja + �llap�tani, hogy milyen sorrendben v�gzed az azonos�t�sokat + (a hib�k sorsz�maib�l). Ezzel k�nnyen a gyenge pontok is + megtal�lhat�ak egy scriptben. + + + A filerendszer vagy �ltal�nos PHP hib�k jelezhetik, hogy + milyen jogokkal rendelkezik a webszerver, �s megmutathatja + a file-ok elrendez�s�t �s strukt�r�j�t. + + + H�rom megold�si lehet�s�g ad�dik erre a probl�m�ra. Az els�, + hogy vizsg�ld meg alaposan a f�ggv�nyeidet, �s pr�b�ld + meg elker�lni a hib�kat. A m�sodik, hogy kapcsold ki a + hibajelent�st a teljes k�dra. A harmadik, hogy haszn�ld + a PHP testreszabhat� hibajelent�si funkci�it, hogy saj�t + hibakezel�ket defini�lj. A m�r megtett biztons�gi + int�zked�sekt�l f�gg�en esetleg mindh�rom fenti m�dszer + k�z�l v�laszthatsz. + + + + + Felhaszn�l�t�l �rkez� adatok + + A legt�bb probl�ma sok PHP programban nem a nyelvben rejlik, hanem + abb�l fakad, hogy a k�d nem a biztons�goss�got szem el�tt tartva + k�sz�lt. Ez�rt te mindig sz�nj megfelel� id�t arra, hogy ellen�rizd, + hogy egy adott k�dr�szletre milyen hat�ssal lehet egy v�ratlan hib�s + adat. + + Vesz�lyes v�ltoz�haszn�lat + + +]]> + + + Mindig alaposan meg kell vizsg�lnod a feljhaszn�l�k + �ltal beadott adatokat, felt�ve magadnak a k�vetkez� k�rd�seket: + + + + Biztos, hogy ez a script csak a k�v�nt file-okat fogja m�dos�tani? + + + + + El�fordulhat azon a ponton, hogy szokatlan vagy nem k�v�natos + adat jelenjen meg? + + + + + Haszn�lhat�-e az adott script nem k�v�natos form�ban? + + + + + Felhaszn�lhat�-e m�s scriptekkel egy�tt egy negat�v + hat�s el�r�s�re? + + + + + Megfelel�en napl�z�sra ker�lnek-e a tranzakci�k + (el�r�sek, v�ltoztat�sok)? + + + + Kell�k�ppen �tgondolva a fenti k�rd�seket a script �r�sakor, + megk�m�lheted magad, hogy k�s�bb v�giggondolva a probl�m�kat + szerencs�tlen m�don �jra kelljen �rnod a teljes k�dot + a biztons�goss�g n�vel�se �rdek�ben. Ezzel sem tudod + garant�lni a rendszer biztons�g�t, de seg�thetsz a + n�vel�s�ben/fenntart�s�ban. + + + + + �ltal�nos meggondol�sok + + Lehetetlen megalkotni egy teljesen biztons�gos rendszert, ez�rt + az �ltal�nos hozz��ll�s a kock�zat �s haszn�lhat�s�g megfelel� + s�lyoz�sa. Ha minden felhaszn�l� �ltal beadott adat elfogad�s�hoz + k�tf�le biometrikus azonos�t�s sz�ks�ges (mint a retina vagy + ujjlenyomat ellen�rz�s), akkor rendk�v�l alapos rendszert + k�sz�tett�l. Azonban �gy egy alapos k�rd��v kit�lt�se f�l �r�ba + is beletelhet, ami arra fogja sarkalni a felhaszn�l�t, hogy + megpr�b�lja megker�lni az azonos�t�st. A j� biztons�g el�g + ahhoz, hogy megfeleljen az elv�r�soknak an�lk�l, hogy + megakad�lyozn� a felhaszn�l�t abban, hogy elv�gezze a munk�j�t. + Val�j�ban n�h�ny biztons�gi t�mad�s csup�n az eredeti c�lon + t�ll�t biztons�gi rendszerek kihaszn�l�s�b�l �ll. + + + Egy mod�s, amire eml�kezned kell: A rendszer olyan er�s, mint + a leggyeng�bb l�ncszem. Ha minden m�velet napl�z�sra ker�l, + id�vel, el�r�ssel, t�pussal, stb., de a felhaszn�l�t csak + egy egyszer� cookie-val azonos�tod, keveset �rsz a a + napl�kkal. + + + Amikor tesztelsz, vedd figyelembe, hogy nincs lehet�s�ged + minden hib�t figyelembe venni, m�g a legegyszer�bb oldalakon + sem. A bej�v� adat ak�r teljesen m�s is lehet, mint amit + elv�rsz, pl. egy rosszkedv� alkalmazott, vagy egy t�bb h�napos + szabadid�vel rendelkez� cracker, ak�r egy billenty�zeten + v�gigs�t�l� macska hat�sak�nt. Ez�rt c�lszer� logikusan + v�gigtekinteni a k�don, �s megkeresni azokat a pontokat, + ahol nem v�rt adatok l�phetnek be, �s megn�zni, hogy + milyen manipul�ci�kon megy kereszt�l cs�kkentve vagy + feler�s�tve a hiba jelent�s�g�t. + + + Az Internet tele van olyan emberekkel, akik �gy akarnak + nevet szerezni maguknak, hogy felt�rik a k�dodat, + m�k�d�sk�ptelenn� teszik a site-odat, �rtelmetlen adatokat + k�ldenek be, �s m�s m�dokon teszik �rdekess� a napodat. + Nem �rdekes, hogy nagy vagy kis site-od van, c�lpont lehetsz, + mert online vagy, mivel van szervered, amihez csatlakozni + lehet. Sok cracker program nem tesz k�l�nbs�get m�ret + szerint, csak v�gigl�pkednek az IP blokkokon �ldozatokat + keresve. Pr�b�lj meg nem k�z�tt�k lenni. -