Hi Leute!

Hätte ein paar Fragen zur Sicherheit!

1. In wie weit ist PHP sicher? Wo liegen da die Sicherheitslücken?

2. In wie weit kann man in eine Datenbank eindringen z.B. bei einem Provider wie 1und1?

3. Sind Bilderuploads ein Sicherheitsrisiko? (Nach meinem Kenntnisstand kann man Textdateien als jpg oder gif hochladen)

Wäre vielleicht eine Idee für eine neue Kategorie hier bei phpfriend.de?

Gruß alter mann

Mister Ad

Waq

Wonach fragst Du? Nach den Sicherheitslücken in PHP selbst oder nach denen, die man mit PHP bauen kann?
Für PHP selbst sollte man darauf achten, dass man möglichst aktuelle Versionen von PHP verwendet, bei älteren ist da doch das eine oder andere Problem.
Und die Sicherheitslücken, die man mit PHP selbst bauen kann, sind ein weeeeeeiiiiiites Feld, grossteils gar nicht PHP-Spezifisch sondern die allgemeinen Sicherheitsprobleme beim Programmieren sowie die Sicherheitsprobleme, die aus dem Anwendungsbereich und dem Umfeld kommen, also den Gegebenheiten des Internets, mit dem ja interagiert werden muss sowie mit dem System, auf dem PHP läuft, also Betriebssystem, Webserver, Datenbank...

Kommt auf den Provider an. Wenn die das gut machen, sind die Risiken da sehr gering. Es gibt da aber auch viele Stümper... wobei man von 08/15-Webspace nicht zuviel Sicherheit erwarten sollte und bei Root-Servern sowieso selbst dafür zuständig ist.
Bei 1&1 sollte man ganz gut aufgehoben sein sollte, die machen AFAIK relativ saubere CGI-Sandboxen.

Wenn man eine Datei hochladen lässt ohne diese von der Dateiendung her zu prüfen, und dann hat man eine .php-Datei auf dem Server liegen und diese ist über den Browser aufrufbar, dann ist das natürlich eine Sicherheitslücke. Wenn man diese Zusammenhänge nicht versteht, wird man immer Sicherheitslücken bauen.
Allerdings ist dieses Beispiel nichts weiter als ein Beispiel einer ungeprüften Eingabe vom Nutzer und damit ein Verstoss gegen ein Grundprinzip der IT-Sicherheit.

__________________
mod = master of disaster

Zu 3.
Ja da hast Du Recht!
Man kann nach meinen Tests her eine html Seite als gif abspeichern und dann uploaden! Das Funktioniert wunderbar! Ich hab das mal mit PHP Code versehen und dann ging es aber nicht das der PHP Code läuft!
Glaubst du es gäbe eine Möglichkeit den Code doch zum Laufen zu bringen?
(Ich hoffe nicht!)

Gruß alter mann

Waq

Wenn ausgeschlossen wird, dass die Datei die Endung .php bekommt (oder eine andere, die vom Webserver als PHP ausgeführt wird), sollte das keine Sicherheitslücke sein.

__________________
mod = master of disaster

Danke für deine Mühen!
Kannst Du mir wenn Du mal Lust hast zu Punkt 1 ein paar Beispiele für die allgemeinen Sicherheitsprobleme beim Programmieren sowie die Sicherheitsprobleme, die aus dem Anwendungsbereich und dem Umfeld kommen schreiben?

Das ich mir da was vorstellen kann!



Danke

Waq

Um es mal zu Verallgemeinern hat man immer dann ein Problem, wenn der Programmierer sein Programm nicht unter Kontrolle hat. Ein Sicherheitsproblem hat man dann, wenn zuätzlich noch ein böser Bube ein gewisses Mass an Kontrolle erlangen kann.
Um dass zu Verhindern, muss der Programmierer seine Werkzeuge kennen, denn wenn er nicht weiss, wie sie funktionieren, kann er sie nicht kontrollieren. Und er muss die Zusammenhänge durchschauen, sowohl die gegebenen (z.B. des Internets), als auch die, die er in Form des Programmes selbst schafft. Und er muss aufpassen, sonst passieren Flüchtigkeitsfehler. Ein mit heisser Nadel gestricktes Programm wird immer irgendwelche Fehler enthalten, und der eine oder andere davon wird schon sicherheitsrelevant sein.
Dazu kommt beim Thema Sicherheit immer noch, dass man niemandem vertrauen darf. Jeder Internet-Nutzer ist ein potentieller Angreifer und muss auch so behandelt werden. Berechtigungen und Vertrauen dürfen nicht mit der Gieskanne verteilt werden, sondern nur an die, die es auch brauchen, und die sollten sich dann über einen möglichst sicheren Login dem Programm gegenüber identifizieren.

Mir fällt grade auf, dass dieser Abschnitt des Manuals gar nicht mal so schlecht aussieht:
http://php3.de/manual/de/security.php
Ansonsten würde ich google empfehlen, da findet sich einiges.
Hervorgehoben seien v.a. die SQL-Injections, dass dürften die häufigsten Sicherheitslücken im Zusammenhang mit PHP/MySQL sein.

__________________
mod = master of disaster