Security: PHP Funktionen mit Suhosin einschränken

[carsten]

Von dem Hardened PHP Project kommt eine PHP-Erweitertung namens Suhosin, die verschiedene konfigurierbare Möglichkeiten zum Einschränken des Funktionsumfangs aus Security-Gründen bietet.

So sind z.B. die Funktionen system(), exec().. in PHP gefährlich, weil darüber über ein kompromittiertes Script das Ausführen von Systembefehlen möglich wäre.

Mittels Suhosin kann man dies einfach einschränken.

Als erstes muss PHP mit Suhosin installiert sein. In der PHP.INI fügt man dann z.B. folgende Zeile hinzu:

suhosin.executor.func.blacklist = "exec, passthru, shell_exec, system, pcntl_exec, proc_open, proc_nice, proc_terminate, proc_get_status, proc_close, leak, apache_child_terminate, posix_kill, posix_mkfifo, posix_setpgid, posix_setsid, posix_setuid, escapeshellcmd, escapeshellarg"

Schon lassen sich die genannten Funktionen nicht mehr ausführen. Jeder Versuch wird geloggt.

[Bo)Combo]

Im Gegensatz zu

disable_functions = exec, passthru,...

in der php.ini ist dann nur das Logging ein Vorteil.