Php.ini Mais Seguro - Como ?

[Alexandre Duran]

Caros algumas configs no php.ini vem habilitadas por padrão, gostaria de saber dos nobres colegas quais devem ser removidas/desabilitadas (PHP 5.3.x).

Por exemplo:

; Magic quotes for incoming GET/POST/Cookie data.

;magic_quotes_gpc = Off

A linha vem comentada, deixando o magic_quotes_gpc em on e segundo a prórpia PHP é um recurso inseguro. Deve ser colocado como

magic_quotes_gpc = Off

Quais outras configs são inseguras e continuam ativas por padrão ?

[joaopaulo]

https://www.owasp.org/index.php/PHP_Security_Cheat_Sheet#php.ini

[Jaime Silva]

Siga a dica do JP. Mas acho que desativar as funções system, exec pode prejudicar seus usuários.

Ainda assim, os usuários mesmos podem sobrescrever essa configurações usando um arquivo php.ini customizado.

Existe uma opção chamada Safe PHP CGI -- prevents users from overriding system php.ini mas não sei se seu uso é este mesmo.

[Clebson]

Siga a dica do JP. Mas acho que desativar as funções system, exec pode prejudicar seus usuários.

Ainda assim, os usuários mesmos podem sobrescrever essa configurações usando um arquivo php.ini customizado.

Existe uma opção chamada Safe PHP CGI -- prevents users from overriding system php.ini mas não sei se seu uso é este mesmo.

Também é possível impedir que os usuários substituam o php.ini padrão, usando o suPHP.

_______________________________________________________________________

# vi /opt/suphp/etc/suphp.conf

Procure o código abaixo e pressione I para inserir o texto.

[phprc_paths]

;Uncommenting these will force all requests to that handler to use the php.ini

;in the specified directory regardless of suPHP_ConfigPath settings.

;application/x-httpd-php=/usr/local/lib/

;application/x-httpd-php4=/usr/local/php4/lib/

;application/x-httpd-php5=/usr/local/lib/

Remova o ponto e vírgula ( ; ) das últimos três linhas abaixo.

application/x-httpd-php=/usr/local/lib/

application/x-httpd-php4=/usr/local/php4/lib/

application/x-httpd-php5=/usr/local/lib/

Pressione ESC e digite :wq para salvar o arquivo.

Agora reinicie o servidor Apache:

# /sbin/service httpd restart

_______________________________________________________________________

Pronto! Agora, os usuários não serão mais capazes de substituir o seu arquivo php.ini padrão.

[joaopaulo]

A Oswap indica deixar o safe_mode ON. Assim não é possível o uso de PHP.INI personalizados.

[Jaime Silva]

A Oswap indica deixar o safe_mode ON. Assim não é possível o uso de PHP.INI personalizados.

Nem prestei atenção a isso. Mas deve ter sido escrito a alguns anos, pois as versões mais recentes removeram o tal Safe Mode.

[Jordan Miguel]

Siga a dica do JP. Mas acho que desativar as funções system, exec pode prejudicar seus usuários.

Ainda assim, os usuários mesmos podem sobrescrever essa configurações usando um arquivo php.ini customizado.

Existe uma opção chamada Safe PHP CGI -- prevents users from overriding system php.ini mas não sei se seu uso é este mesmo.

Eu acho que clientes que precisam de funções do tipo de "exec", podem ser convidados a um ambiente isolado como um VPS.

[joaopaulo]

Nem prestei atenção a isso. Mas deve ter sido escrito a alguns anos, pois as versões mais recentes removeram o tal Safe Mode.

O safe_mode só não existe mais a partir da versão 5.4.

[André Van Dal]

Lembre-se de deixar o PDO habilitado e atualizar constante mente o seu PHP.

[Alexandre Duran]

Boa dicas !