Aanbieden gratis PHP hosting. Hoe te beveiligen?

[cdgrit]

Wij zijn plannen aan het maken om in de toekomst gratis hosting aan te bieden met gratis PHP en tegen betaling ook MySQL.

We zetten 1 server neer voor alleen dit doel. Hoe kunnen we de volgende 2 gevaren voorkomen?:

- Als iedereen toegang kan krijgen tot PHP kan iemand een PHP scriptje maken die vast blijft zitten in een loop. In deze loop laat hij een aantal zware berekeningen uitvoeren zodat de server zwaar belast wordt. Nu zorgt hij ervoor dat 10 of meer mensen tegelijk dit scriptje achter elkaar gaan runnen en........ Ik kan natuurlijk een timeout instellen van 10 sec., maar dan refreshen ze iedere 10 sec. even de pagina...

- We willen de mail() functie liever niet uitschakelen, maar we willen natuurlijk wel voorkomen dat ze hier misbruik van maken. Ze kunnen dus een scriptje schrijven om even een spammailtje te versturen naar 1.000 e-mail adressen. Daar worden wij niet blij van

Lycos biedt ook gratis PHP hosting. Hou zou Lycos dit opgelost hebben? Zijn er nog meer grote gevaren?

[Infinitive]

Een ander gevaar is het spieken in andermans script files. Vooral als je tegen betaling mysql aanbied, is het wel handig als de mysql usernames and passwords privé blijven...

Kijk daarom ook naar save_mode en in hoeverre dit het bovenstaande probleem kan voorkomen/inperken.

[chem]

Heb je al gekeken nar safe_mode?

Je kan anders gewoon zelf ff hacken in de source en daar limieten inbouwen. Ook zijn er apache modules tegen misbruik.

[RedRose]

• Maximaal aantal concurrent connecties naar je smtp-server op 10 zetten ofzo. In ieder geval dat over mail() op de mailserver regelen;
• Geheugenlimiet instellen;
• Toegang tot php.ini uitschakelen;
• Check bij een provider die PHP/MySQL aanbiedt wat zij allemaal hebben dichtgegooid;
• Server inlogaccounts _goed_ regelen en dichttimmeren;

Enzovoort, enzovoort.

[cdgrit]

De safe moet gaat natuurlijk 'aan' en met open_basedir kan ik voorkomen dat ze in elkaars scripts kunnen neuzen...

[it0]

Welk besturings systeem ga je gebruiken? Daarmee kan je ook weer dingen sandboxen

[gorgi_19]

Het wordt me allemaal iets te veel configuratie en te weinig programmeren

>> Software Algemeen

[cdgrit]

it0 schreef op 13 juli 2004 @ 11:35:
Welk besturings systeem ga je gebruiken? Daarmee kan je ook weer dingen sandboxen

Debian Linux 3.0, Apache 2.0.x, PHP 4.x, MySQL 4.0.x

[cdgrit]

Wat als mensen een PHP script achter elkaar uitvoeren die in een loop blijft hangen. Hoe is dit te voorkomen?

Is het misschien mogelijk om ieder script nooit de volle CPU capaciteit te geven?

Lycos biedt ook gratis PHP hosting en die zullen hier toch ook maatregelen tegen genomen hebben lijkt me...

[jurri@n]

PHP heeft de mogelijkheid om bepaalde commando's uit te schakelen. Hierbij denk ik niet alleen aan mail() maar ook aan exec() (uitvoeren systeemcommando's). Dit zat in de ini-file als ik me niet vergis. En anders geef je in je php-configuratie gewoon een andere applicatie op i.p.v. sendmail (en die kan dan uiteraard geen mail versturen).

Verder kun je met de memory-limit en evt. een lage timeout een hoop problemen voorkomen.

Denk er ook even aan om evt. fsock-commando's uit te schakelen of om uitgaande connecties met een firewall te blokkeren. Een beetje spammer connect anders gewoon met fsock naar een mailserver en gaat alsnog spammen.

[off-topic]
Hoe denk je overigens de boel te kunnen bekostigen? Ik denk hierbij niet alleen aan hardware, maar b.v. het dataverkeer.... Ik neem aan dat je je server ergens bij een colo-provider neerzet.
[/off-topic]

[ Voor 68% gewijzigd door jurri@n op 13-07-2004 15:32 ]

[cdgrit]

jurri@n schreef op 13 juli 2004 @ 15:19:
Verder kun je met de memory-limit en evt. een lage timeout een hoop problemen voorkomen.

Ja, dat denk ik ook wel, maar nog niet alles. Een simpele never-ending while() lus met wat berekeningen ertussen zorgt al voor flink wat cpu-load. Als iemand zo'n scriptje straks achter elkaar gaat uitvoeren gaat dat zeker voor problemen zorgen lijkt me. Maar zou dit wel te voorkomen zijn?

[off-topic]
Hoe denk je overigens de boel te kunnen bekostigen? Ik denk hierbij niet alleen aan hardware, maar b.v. het dataverkeer.... Ik neem aan dat je je server ergens bij een colo-provider neerzet.
[/off-topic]

Komt goed Gaat inderdaad aardig wat kosten in het begin, maar het is even een investering die zich later weer terug gaat verdienen... Het zal waarschijnlijk niet eeuwig gratis blijven Maar das offtopic...