[php] Cronjob beveiligen

[verytallman]

Ik heb een cronjob waarvan ik niet wil dat mensen hem vanuit hun browser kunnen aanroepen.

Normaal gesproken kan je dit soort bestanden in /private zetten, maar ik niet. Omdat mijn host php als module heeft geinstalleerd kan ik in de command line van de job alleen naar bestanden wijzen in /httpdocs. (omdat het path moet beginnen met http://....)

Nu heb ik een beetje lopen kutten met chmod, maar als ik het bestanden bescherm van de buitenwereld kan de cronjob zelf ook niet meer worden uitgevoerd.

Een oplossing is om een .htaccess bestand in de map te zetten maar dat soort oplossingen vind ik veel te omslachtig.

Iemand een idee?

[NMe]

Dit bovenaan je script zetten?

PHP:

if ($_SERVER['REQUEST_METHOD'] == 'GET') {
  die();
}

Overigens in de .htaccess oplossing veel netter en bovendien ook juist veel minder omslachtig dan dit.

[verytallman]

Eigenlijk vind ik die .htaccess optie ook mooier. Maar ik heb slecht nieuws, de cronjob verteld me dat hij geen toegang heeft opeens

Jouw optie lijkt me ook wel goed, maar kan je precies uitleggen wat deze code doet?

PHP:

if ($_SERVER['REQUEST_METHOD'] == 'GET') {

[verytallman]

Ik heb nu daarvoor ook een oplossing gevonden:

plak
-auth=username:password
achter het commando

[Rodyman]

Je kunt ook je cronjob in een beveiligde directory zetten (htaccess) en dan met behulp van het volgende stukje code de cronjob aanroepen:

wget --http-user=<USERNAME> --http-passwd=<PASSWORD> http://www.server.com/secure/cronjob.php

[NMe]

verytallman schreef op woensdag 19 april 2006 @ 19:25:
Eigenlijk vind ik die .htaccess optie ook mooier. Maar ik heb slecht nieuws, de cronjob verteld me dat hij geen toegang heeft opeens

Jouw optie lijkt me ook wel goed, maar kan je precies uitleggen wat deze code doet?

PHP:

if ($_SERVER['REQUEST_METHOD'] == 'GET') {

REQUEST_METHOD is een header die door de webserver gezet wordt. Als je je PHP-script via Apache serveert dan zul je altijd een REQUEST_METHOD hebben. Wanneer je via de commandline (en dus ook met behulp van een cronjob) een PHP-script draait is je webserver er niet bij betrokken en wordt die header niet gegenereerd.

Overigens is dit completer:

PHP:

if (isset($_SERVER['REQUEST_METHOD']) &&
     in_array($_SERVER['REQUEST_METHOD'], array('GET', 'POST', 'HEAD'))) {
  die();
}

[JayVee]

Ik heb dit ooit gebruikt:

PHP:

if (!isset($_SERVER['SHELL'])) {
    echo 'Dit script werkt alleen via CLI';
    exit;
}

Ik weet niet of het 100% veilig is, aangezien het niet gedocumenteerd is op php.net

[XWB]

Rodyman schreef op woensdag 19 april 2006 @ 19:31:
Je kunt ook je cronjob in een beveiligde directory zetten (htaccess) en dan met behulp van het volgende stukje code de cronjob aanroepen:

wget --http-user=<USERNAME> --http-passwd=<PASSWORD> http://www.server.com/secure/cronjob.php

Lijkt me nuttige info, maar "page not found" ?

[Verwijderd]

omdat die url een voorbeeld was, geen link naar een document met meer info

[Rodyman]

Precies, ik bedoelde natuurlijk dat je dit als cronjob zou kunnen maken:

code:

wget --http-user=<USERNAME> --http-passwd=<PASSWORD> http://www.server.com/secure/cronjob.php

[NMe]

Beetje een rare oplossing om je http daemon extern te gaan benaderen als je al shelltoegang hebt op de lokale host, niet?

[Janoz]

Waarschijnlijk kan het niet anders omdat de host php enkel door apache uit laat voeren. Dan ben je inderdaad aangewezen op het gebruik van wget (en heb je dus weinig aan de request method oplossing die -NMe- gaf)

[NMe]

Hmm, idd. Stom van me.

[Icey]

Kijk naar een ipadres? Of zeg ik nu iets doms.. Die server zal toch altijd hetzelfde ipadres hebben (dan ga ik dus uit van het feit dat je iets als wget gebruikt).

PHP:

<?php
if($_SERVER['REMOTE_ADDR'] == 'ipadres webserver')
{
// doe iets
}
?>

[ Voor 8% gewijzigd door Icey op 19-04-2006 23:04 ]

[Stoppel]

Hmmm koppel je dan je code niet teveel met de server?
Stel dat je code naar een nieuwe server verhuist (met nieuw ip) of stel dat je meerdere servers gebruikt en dan m.b.v. een loadbalancer je traffic verdeelt.

Hard een ip adres erin zetten lijkt mij niet de juiste weg. IMHO

[Brons]

Misschien kan je het koppelen aan het adres. Dus als je host een cluster heeft staan kan je het altijd nog controleren op *.hostbedrijf.ext.

Volgens mij is er trouwens geen perfecte manier om dit te beveiligen, omdat je dit het beste gewoon buiten de webserver kan doen.

My 2 cents.

[vakantieman]

Ik gebruik op mijn website het volgende script om te bekijken of het via de browser wordt uitgevoerd. Werkt als een trein:

PHP:

if (!isset($_SERVER["argv"][0])) {
    die("<br><strong>Dit script kan alleen maar gedraaid worden via de command-line.</strong>");
}

Ik hoop dat je er iets mee kunt.

[DizzyWeb]

Ik ben bang dat alle oplossingen met $_SERVER["argv"] en $_SERVER['REQUEST_METHOD'] niet gaan werken aangezien de TS aangeeft de cronjob met wget te moeten starten en DUS "via de browser" werkt.

Ik denk dat een .htaccess toch de simpelste oplossing is.

[verytallman]

Zoals ik hierboven al aangaf heb ik de htaccess oplossing gekozen.
Uiteindelijk vind ik die nog netter dan een PHP oplossing. Ook omdat ik nu zelf ook de optie heb de cronjob handmatig aan te roepen via de browser.

Allen bedankt !

[ Voor 5% gewijzigd door verytallman op 21-04-2006 09:48 ]

[LauPro]

Waarom niet php_sapi_name() gebruiken?

[DizzyWeb]

LauPro schreef op vrijdag 21 april 2006 @ 14:22:
Waarom niet php_sapi_name() gebruiken?

Zie mijn post hierboven