PDA

Bekijk Volledige Versie : magic quotes on/off?



thrunx
28/12/06, 18:45
He experts!! :) :lovewht:

Ik heb even een beveiligings-vraagje. Wat is een veiligere instelling op een server, magic quotes juist aan of juist uit?

Ik had begrepen dat magic quotes gaat verdwijnen in php6, dus betekend dat dat het geen gewenste of meeste veilige instelling is?

Ook verdwijnt safe_mode, maar waarom dat precies is...is mij nog niet helemaal duidelijk ;)

Alvast bedankt :)
Steven

gjtje
28/12/06, 19:02
Het zijn beide oplossingen voor luie mensen.

Safe mode vervult een functie die op systeemniveau moet plaats vinden, en magic_quotes is voor programmeurs die nog nooit van sql injection hebben gehoord (of varianten daar op).

Veiliger is uit zetten en de programmeur op zijn/haar plaat laten gaan, dan gebeurt het daarna tenminste goed. Als de hoster de zaakjes op orde heeft dan blijft een eventuele hack beperkt tot die ene site.

Wido
28/12/06, 19:25
Mee eens.

De instellingen die ik overal in PHP5 maak zijn:

register_globals = Off
register_argc_argv = Off
register_long_arrays = Off
magic_quotes_gpc = Off
enable_dl = Off

Zo verplicht je de coder netjes te werken.

thrunx
28/12/06, 19:55
Mee eens.

De instellingen die ik overal in PHP5 maak zijn:

register_globals = Off
register_argc_argv = Off
register_long_arrays = Off
magic_quotes_gpc = Off
enable_dl = Off

Zo verplicht je de coder netjes te werken.

Zetten jullie dan ook safe_mode op Off?

Bedankt voor jullie reacties. Netjes programmeren is natuurlijk altijd een vereiste! :) Ik ben van plan een eigen managed dedicated server te nemen. Ik heb op dit moment een server samen met 2 partners, onze instellingen zijn daar als volgt:

safe_mode On
magic_quotes Off
register_globals Off
openbase_dir On

Ik wilde het allemaal gewoon nog even nalopen voordat ik een eigen server neem ;) Als er mensen zijn met tips om de server beveiliging te helpen hoor ik het graag natuurlijk! :D

Wido
28/12/06, 19:56
Safemode staat uit, openbasedir ook.

Daarvoor gebruik je iets als mod_ruid, dan kan iedereen zijn files netjes 700 chmodden.

thrunx
28/12/06, 20:04
Safemode staat uit, openbasedir ook.

Daarvoor gebruik je iets als mod_ruid, dan kan iedereen zijn files netjes 700 chmodden.

Wat doet dit dan precies? Is dat een module voor apache die tijdelijk de user_id's veranderd van de vhosts, zodat ze alleen rechten hebben op hun eigen site? Op linux niveau...

Kan het kwaad om safemode en openbasedir aan te zetten? Of alleen lastiger omdat je er soms omheen moet programmeren? ;)

Wido
28/12/06, 20:32
Zoek even op dit forum naar mod_ruid, dan snap je het wel. Safemode kan geen kwaad, maar maakt het programmeren wel een stuk lastiger.

thrunx
28/12/06, 20:35
Zoek even op dit forum naar mod_ruid, dan snap je het wel. Safemode kan geen kwaad, maar maakt het programmeren wel een stuk lastiger.

Ik heb even gekeken, daarom kwam ik met dat user gedoe :D :p

Maar kan ik hieruit opmaken dat safe_mode het niet echt veiliger maakt, of alleen niet zoveel?

Wido
28/12/06, 20:38
safe_mode is schijnveiligheid :)

MikeN
28/12/06, 21:30
register_argc_argv = Off
register_long_arrays = Off

vind ik niet echt direct met netheid of veiligheid te maken hebben, maar voornamelijk met het slopen van backwards compatibiliteit.

Safe mode zitten al tijden teveel lekken in om nog enigszins echt veilig genoemd te kunnen worden, helaas zijn er in mijn ogen nog weinig andere opties die ook écht goed geaudit en nagekeken zijn. mod_suid/ruid komen mij nog altijd over als iets wat snel geklust is door een programmeur ergens, wordt tijd dat Apache zelf eens gaat kijken of ze zoiets niet willen bieden (alhoewel ze het natuurlijk deels al doen met suexec)

Wido
28/12/06, 22:14
register_argc_argv = Off
register_long_arrays = Off

vind ik niet echt direct met netheid of veiligheid te maken hebben, maar voornamelijk met het slopen van backwards compatibiliteit.Op een gegeven moment moet het eens stoppen, _POST en _GET kennen we al jaren en met die backwards compatibiliteit moet het eens afgelopen zijn in PHP.

We kunnen bezig blijven, maar PHP5 vond ik een mooie aanleiding om met een schone lei te beginnen.

Glenn
28/12/06, 22:35
Op een gegeven moment moet het eens stoppen, _POST en _GET kennen we al jaren en met die backwards compatibiliteit moet het eens afgelopen zijn in PHP.

We kunnen bezig blijven, maar PHP5 vond ik een mooie aanleiding om met een schone lei te beginnen.
Hmmm, het scripte zo lekker snel ;)

Wido
28/12/06, 23:37
Hmmm, het scripte zo lekker snel ;)Ik typ _POST toch echt sneller dan HTTP_POST_VARS?