[Apache] alternatief voor safe_mode van php.ini

[Verwijderd]

Weet er iemand een alternatief voor de safe_mode van php.ini ? Sommige scripts willen namelijk dat safe_mode afstaat, maar dat is een security hole. Ik heb gehoord dat er alternatieven zijn. Weet er iemand raad?

[intoxicated]

Verwijderd schreef op 24 november 2002 @ 19:22:
Sommige scripts willen namelijk dat safe_mode afstaat, maar dat is een security hole.

Waarom zou dat een security hole zijn? Safe_mode zet juist extra beveiligingen aan. Wel is het zo, dat in sommige versies van PHP door safe_mode opgelegde restricties kunnen worden omzeild.

[Verwijderd]

intoxicated schreef op 24 november 2002 @ 19:39:
[...]
Waarom zou dat een security hole zijn? Safe_mode zet juist extra beveiligingen aan. Wel is het zo, dat in sommige versies van PHP door safe_mode opgelegde restricties kunnen worden omzeild.

Kwaadaardige scripts enzo die vrij spel krijgen?

[intoxicated]

Verwijderd schreef op 24 November 2002 @ 20:05:
Kwaadaardige scripts enzo die vrij spel krijgen?

Lamaar, ik las 'aanstaat', inplaats van 'afstaat'.

[GiLuX]

het is niet perse een security hole.
safe_mode is meer een extra stok achter de deur.

je kan safemode ook nuanceren met een aantal opties,
ik zou daar eest eens naar kijken:
http://www.php.net/manual/en/features.safe-mode.php

[Verwijderd]

GiLuX schreef op 24 November 2002 @ 20:24:
het is niet perse een security hole.
safe_mode is meer een extra stok achter de deur.

je kan safemode ook nuanceren met een aantal opties,
ik zou daar eest eens naar kijken:
http://www.php.net/manual/en/features.safe-mode.php

Iets concreter mss?

[Kees]

base_dir restrictie bijv.

maar waarom zou je kwaardaardige scripts op je server krijgen?

[Verwijderd]

Kees schreef op 24 November 2002 @ 23:42:
base_dir restrictie bijv.

maar waarom zou je kwaardaardige scripts op je server krijgen?

Er staan redelijk wat accounts op en passwd's over ftp zijn gewoon text

[Treenaks]

Waarom draai je niet gewoon de CGI-versie van PHP? Dan draait alles als de user waarvan het script is en als daar (security-)bugs in zitten kan iemand niet je webserver om zeep helpen ofzo.

[intoxicated]

Treenaks schreef op 25 november 2002 @ 12:27:
Waarom draai je niet gewoon de CGI-versie van PHP?

Dat lijkt me i.v.m. de performance niet zo interessant.

[Verwijderd]

Neem bv het script gallery. Volkomen onschuldig maar toch mag safe_mode niet aanstaan anders werkt het niet ( ik heb het getest ).

[Gomez12]

wat geeft hij dan als foutmelding??? Meeste "foutmeldingen" die door safe mode komen hebben meer te maken met het feit dat het script onnodige dingen doet. En dat is makkelijk af te vangen.

[ Voor 68% gewijzigd door Gomez12 op 26-11-2002 16:36 ]

[Verwijderd]

Gomez12 schreef op 26 November 2002 @ 16:32:
wat geeft hij dan als foutmelding??? Meeste "foutmeldingen" die door safe mode komen hebben meer te maken met het feit dat het script onnodige dingen doet. En dat is makkelijk af te vangen.

code:

Warning: SAFE MODE Restriction in effect. The script whose uid is 1140 is not allowed to access /home/stuartje/www.***/albums/.users/userdb.dat owned by uid 65534 in /home/stuartje/www.***/****/gallery/platform/fs_unix.php on line 53

Warning: fopen("/home/stuartje/www.***/albums/.users/userdb.dat", "r") - Inappropriate ioctl for device in /home/stuartje/www.***/****/gallery/platform/fs_unix.php on line 53

Fatal error: Call to undefined function: geteverybody() in /home/stuartje/www.***/****/gallery/init.php on line 205

[Gomez12]

c'est la problem??? Je user waaronder php de directory aanspreekt is niet gemachtigd om in je plaatjes-user directory te gaan lezen. Gewoon directory rechten aanpassen.

[Verwijderd]

Treenaks schreef op 25 november 2002 @ 12:27:
Waarom draai je niet gewoon de CGI-versie van PHP? Dan draait alles als de user waarvan het script is en als daar (security-)bugs in zitten kan iemand niet je webserver om zeep helpen ofzo.

weet jij toevallig hoe je dit onder freebsd kan doen ? , bedankt

[Verwijderd]

Je kunt ook in een directory of virtualhost directive de volgende opties zetten om de safe mode alleen uit te zetten voor die directory.

code:

php_admin_value safe_mode 0
php_admin_value open_basedir /home/blaat

[ Voor 5% gewijzigd door Verwijderd op 26-11-2002 22:19 ]

[Verwijderd]

Verwijderd schreef op 26 november 2002 @ 22:18:
Je kunt ook in een directory of virtualhost directive de volgende opties zetten om de safe mode alleen uit te zetten voor die directory.

code:

php_admin_value safe_mode 0
php_admin_value open_basedir /home/blaat

En waar moet die optie komen te staan?

[UPDATE]
Ok, ik heb het gevonden maar het haalt niets uit. Heb er dus niets beter op gevonden dan de directory van het gallery script te chownen als nobody.nogroup ( Apache draait als die user ). Ik hoop dat dit veilig is?
[/UPDATE]

[ Voor 25% gewijzigd door Verwijderd op 26-11-2002 22:55 . Reden: update ]

[Verwijderd]

Het gallery script werkt redelijk, ik krijg alleen nog als error bij het uploaden van nieuwe pics:
Cannot set time limit in safemode.