Tez-tez baş verən haker hücumları, veb təhlükəsizliyinin İnternetdə işləyən hər kəs üçün ən vacib məsələ olaraq qaldığını sübut edir. Serverlər, əksər hallarda saxladıqları məlumatlara görə bu hücumların hədəfidir. Buna görə etibarlı server qorunmasını təmin etmək lazımdır.
Apache-də PHP-nin qorunması
"Phpinfo ()" protokoluna başlayın və "open_basedir" əmri ilə xətti yoxlayın. Bu əmrlə bütün istifadəçilər üçün əsas qovluğu təyin edə bilərsiniz. Bu dəyəri təyin etdikdən sonra, bu kök qovluqdan və ya "C: / Windows" kimi alt katalizlərdən kənar faylları aça bilməyəcəklər.
Digər struktur qovluqlarınız varsa, onları "www_root" əmri ilə əsas qovluq olaraq təyin edin. Bununla birlikdə, bir istifadəçi başqa bir istifadəçinin sənədlərini oxuya və dəyişdirə biləcək. Bunun qarşısı alınmalıdır.
Təəssüf ki, php.ini faylında bir istifadəçinin başqasının məlumatlarına girişini əngəlləyən heç bir seçim yoxdur.
Ancaq PHP-nin Apache-də işləməsinin maraqlı bir yolu var. Phpinfo () -da iki sütun tapacaqsınız: Əsas Dəyər və Yerli Dəyər. Birincisi, "php.ini" dəki dəyərdir. İkincisi, server işləyərkən təyin olunan bir dəyərdir.
Əsas dəyər ədədi baxımdan kiçikdirsə, "ini_set ()" əmrindən istifadə edərək skriptdə dəyişdirilə bilər. Bu, "open_basedir" üçün tətbiq olunmur, çünki bu dəyər təhlükəsizlik baxımından vacibdir və yalnız administrator tərəfindən dəyişdirilə bilər.
Apache-də "httpd.conf" konfiqurasiya faylı təlimatda yerli "open_basedir" altında göstərilə bilər.
Digər PHP parametrləri
"Php.ini" sənədində "disable_functions" parametrini təyin etməklə potensial təhlükəli funksiyaları söndürməlisiniz.
Gördüyünüz hər bir hərəkət haqqında diqqətlə düşünün. Funksiyanın söndürülməsi bəzi skriptlərin işini dayandırması deməkdir.
Bəzi xüsusiyyətlər həqiqətən təhlükəlidir və ssenari üçün ümumiyyətlə tələb olunmur. Digərlərinə xüsusi məqsədlər üçün ehtiyac ola bilər. Buna görə təhlükəli ola biləcək bütün funksiyaları aradan qaldırmaq asan deyil, eyni zamanda qərarlarınızı da diqqətlə çəkin.
Yalnız "safe_mode = On" funksiyasının kifayət edəcəyinə inanmayın. Bəzi faydalı xüsusiyyətləri söndürə bilər və yuxarıda təsvir olunan təhlükəsizlik problemini həll edə bilməz. Təhlükəsiz rejim PHP 5.3.0-da ləğv edilir və PHP 6.0.0-da silinir.
Müdafiə məsələləri
Bir veb geliştiricinin veb saytını etibarsız hala gətirə biləcəyi bir neçə səhv var.
Məsələn, blogunuzu yaratsanız və istifadəçilərin şəkillər yükləməsinə icazə verərsinizsə, bu kod bir başlanğıc tərəfindən yazıldıqda ciddi bir təhlükə ola bilər. Bir proqramçının giriş səhifəsində edə biləcəyi bir neçə səhv var və s. Ən çox yayılmışlardan biri zərərli alqoritmlərin yüklənməsinə qadağanın olmamasıdır.
Vacib məqam ondan ibarətdir ki, ictimai hostingdəki bir etibarsız sayt bütün server üçün təhlükədir. PHP-Nuke kimi Açıq Mənbə layihələrinin quraşdırılması da riskli ola bilər. Bənzər layihələrdə bir neçə boşluq artıq aşkar edilmişdir.
