Newsgroup: it.comp.www.php
Titolo: Php e sicurezza

Ciao a tutti,
mi serviva chiarire dei problemi di sicurezza legati a PHP.
Volevo sapere se un altro sito può includere tipo il mio file per la
connesione al db e connettirsi ad esso.
Se questo è possibile come posso fare per impedirlo?
C'è una giuda che spiega queste cose in modo approfondito.
Grazie
Crimea

 Crimea
Ciao!

Allora tu mi dici di proteggere tutto con i permessi,
quindi impostando il permesso sul file 700, non dovrei avere nessun
problema,giusto?
Grazie ancora
Crimea

 ai permessi sui file.
Scusate se mi intrometto ma l'argomento mi interessa..
Il server web deve deve poter leggere il file di connessione al db e se lo
può fare per un utente lo potrà fare per tutti coloro che lo richiedono..
on penso sia possibile impostare i permessi di tale file in maniera troppo
restrittiva..


Ciao,
se il server non presenta improbabili problemi anche se uno da remoto
provasse ad includere un file contentente dati riservati, a meno che tu non
faccia un echo di questi dati, l'unica cosa che vedrebbe è una pagina
bianca.
Rimane comunque una buona pratica inserire i file contenenti dati di quel
tipo dentro una directory protetta dall'accesso HTTP, meglio ancora se si
trova fuori dalla document root del webserver
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

crimea wrote:
 > Allora tu mi dici di proteggere tutto con i permessi,
 > quindi impostando il permesso sul file 700, non dovrei avere nessun
 > problema,giusto?
Come al solito, dipende.
parlo per linux, ma su microsoft mi pare sia quasi la stessa cosa (visto 
che stanno scopiazzando tuto..
1) caso:
Hai un webserver culo e i tuoi file sono dell'utente "apache".
a questo punto, se seti 700 apparentemente funziona tutto e ti senti 
sicuro, peccato che anche gli altri utenti sono l'utente "apache" (es: 
nei web hosting su cui fa l'upload via browser questo č frequentissimo, 
infati li hackeri come vuoi)
2)hai un webserver decente, tu sei l'utente pippo e apache fa solo il 
webserver.
Se setti a 700 non puň leggere nenche apache oltre agli altri utenti perň.
3)Hai un buon webserver: tu sei pippo e il webserver viene eseguito come 
  utente pippo. (in pratica hai un server dedicato). Allora setti tutto 
a 700 e stai tranquillissimo.
Comunque, se mi dici qualcosa di piů sulla tua situazione, ti posso 
aiutare di piů. webserver virtuale? dedicato? con che compagnia? o ti 
servivano solo i concetti?
 > Grazie ancora
 > Crimea
 >

  > Crimea
Allora per prima cosa rigrazio tutti.
Mia situazione:
Ho un sito su aruba in php su server apache piattaforma linux.
Poichè volevo fare un sito diciamo "sicuro", mi chiedevo se
creando file php con all'interno funzioni tipo gestione db ftp ecc...
a che punto il sito sarebbe stato sicuro.
Ora la mia domanda era, quando eseguo un file php chi sono?
Possono utilizzare i miei file php includendoli, o eseguendoli?
Se si come posso fermare questi tentativi.
Grazie
Crimea

Scusate se mi intrometto....in tutti i miei siti io faccio un file dove 
metto i dati della connessione al db e poi lo includo nei file dove devo 
fare chiamate al db...secondo quello che dite voi chiunque potrebbe fare la 
cosa che faccio io con questo stesso file, č cosě? Come evito che possano 
fare una cosa del genere? Tnx 

 ha scritto:

Sembra che sia andata persa una parte del messaggio che avevo scritto...
Come dicevo:
il problema delle inclusioni da remoto, se il file ha estensione PHP č
abbastanza inesistente (rimane comunque buona pratica mettere i file
sensibili in directory inacessibili da WEB, ma accessibili da PHP), invece
nel caso delle inclusioni da parte di altri siti che convivono sullo stesso
server (quindi un server condiviso, e non virtual server) ci sono soltanto
due soluzioni sicure adottabili in ambiente di produzione:
- open_basedir restriction + disabilitazione delle funzioni come exec,
system etc.etc. (altrimenti l'open_basedir puň esere aggirato)
oppure
- abilitare il safe_mode
oppure
- PHP CGI e suexec wrapper
