Likes: 0
28/12/06 17:45
He experts!!
Ik heb even een beveiligings-vraagje. Wat is een veiligere instelling op een server, magic quotes juist aan of juist uit?
Ik had begrepen dat magic quotes gaat verdwijnen in php6, dus betekend dat dat het geen gewenste of meeste veilige instelling is?
Ook verdwijnt safe_mode, maar waarom dat precies is...is mij nog niet helemaal duidelijk
Alvast bedankt
Steven
28/12/06 18:02
Het zijn beide oplossingen voor luie mensen.
Safe mode vervult een functie die op systeemniveau moet plaats vinden, en magic_quotes is voor programmeurs die nog nooit van sql injection hebben gehoord (of varianten daar op).
Veiliger is uit zetten en de programmeur op zijn/haar plaat laten gaan, dan gebeurt het daarna tenminste goed. Als de hoster de zaakjes op orde heeft dan blijft een eventuele hack beperkt tot die ene site.
28/12/06 18:25
Mee eens.
De instellingen die ik overal in PHP5 maak zijn:
Zo verplicht je de coder netjes te werken.Code:register_globals = Off register_argc_argv = Off register_long_arrays = Off magic_quotes_gpc = Off enable_dl = Off
28/12/06 18:55
Zetten jullie dan ook safe_mode op Off?Oorspronkelijk geplaatst door Wido
Bedankt voor jullie reacties. Netjes programmeren is natuurlijk altijd een vereiste!
safe_mode On
magic_quotes Off
register_globals Off
openbase_dir On
Ik wilde het allemaal gewoon nog even nalopen voordat ik een eigen server neemAls er mensen zijn met tips om de server beveiliging te helpen hoor ik het graag natuurlijk!
28/12/06 18:56
Safemode staat uit, openbasedir ook.
Daarvoor gebruik je iets als mod_ruid, dan kan iedereen zijn files netjes 700 chmodden.
28/12/06 19:04
Wat doet dit dan precies? Is dat een module voor apache die tijdelijk de user_id's veranderd van de vhosts, zodat ze alleen rechten hebben op hun eigen site? Op linux niveau...
Kan het kwaad om safemode en openbasedir aan te zetten? Of alleen lastiger omdat je er soms omheen moet programmeren?
28/12/06 19:32
Zoek even op dit forum naar mod_ruid, dan snap je het wel. Safemode kan geen kwaad, maar maakt het programmeren wel een stuk lastiger.
28/12/06 19:35
Ik heb even gekeken, daarom kwam ik met dat user gedoe
Maar kan ik hieruit opmaken dat safe_mode het niet echt veiliger maakt, of alleen niet zoveel?
28/12/06 19:38
safe_mode is schijnveiligheid
28/12/06 20:30
register_argc_argv = Off
register_long_arrays = Off
vind ik niet echt direct met netheid of veiligheid te maken hebben, maar voornamelijk met het slopen van backwards compatibiliteit.
Safe mode zitten al tijden teveel lekken in om nog enigszins echt veilig genoemd te kunnen worden, helaas zijn er in mijn ogen nog weinig andere opties die ook écht goed geaudit en nagekeken zijn. mod_suid/ruid komen mij nog altijd over als iets wat snel geklust is door een programmeur ergens, wordt tijd dat Apache zelf eens gaat kijken of ze zoiets niet willen bieden (alhoewel ze het natuurlijk deels al doen met suexec)
28/12/06 21:14
Op een gegeven moment moet het eens stoppen, _POST en _GET kennen we al jaren en met die backwards compatibiliteit moet het eens afgelopen zijn in PHP.
We kunnen bezig blijven, maar PHP5 vond ik een mooie aanleiding om met een schone lei te beginnen.
28/12/06 21:35
Hmmm, het scripte zo lekker snel
28/12/06 22:37
Ik typ _POST toch echt sneller dan HTTP_POST_VARS?Hmmm, het scripte zo lekker snel
Quote