welche funktionen deaktivieren

brian johnson · 14.11.2007, 20:37

hi,

da ich rausgefunden hab, dass ich eine eigene php.ini auf meinen server laden kann, hab ich mich entschlossen mal gewisse funktionen zu deaktivieren (jaja die scriptkiddies mit excec gehackt worden..) . im grunde mache ich rein gar nichts mit system aufrufen, verbindugen zu anderen servern, also alles rein intern. meine bisherige liste folgt, fällt euch noch was ein?

Zitat:

chmod (eine der schlimmsten funktionen überhaupt)
eval
exec
passthru
pcntl_exec
system
shell_exec (deaktiviert auch den backtick operator)
fsockopen
stream_socket_server
stream_wrapper_register
stream_socket_client
socket_accept
socket_read
socket_recv
socket_recvfrom

gruß und danke!

p.s. es ist klar, dass ich damit nicht allem aus dem weg gehen kann, aber es ist wenigstens ein hürde für scriptkiddies...

dr.e. · 14.11.2007, 20:41

Ich würde ein

Code:

ini_set
set_time_limit

deaktivieren, den damit lässt sich auch einiges anstellen. Anschließend noch ein

Code:

save_mode = On
url_fopen_wrappers = Off

dann sollte das passen. Problematisch sehe ich das Deaktivieren von fsockopen, da dieses die weitaus bessere Variante zu fopen('http://...') ist, da diese einen Timeout definiert und so die Apachen nicht elend im D verenden lässt, sollte die extern angefragte Ressource mal nicht verfügbar sein.

brian johnson · 14.11.2007, 21:44

Zitat:

Zitat von dr.e.

Ich würde ein

Code:

ini_set
set_time_limit

deaktivieren, den damit lässt sich auch einiges anstellen. Anschließend noch ein

Code:

save_mode = On
url_fopen_wrappers = Off

dann sollte das passen.

jap gute idee.

Zitat:

Zitat von dr.e.

Problematisch sehe ich das Deaktivieren von fsockopen, da dieses die weitaus bessere Variante zu fopen('http://...') ist, da diese einen Timeout definiert und so die Apachen nicht elend im D verenden lässt, sollte die extern angefragte Ressource mal nicht verfügbar sein.

mit url_fopen_wrappers=off lässt sich fopen('http://...') nicht mehr realisieren, also auch so kein zugriff mehr auf andere server, was der tiefere sinn ist, denn benutzen tu ichs nicht. natürlich ist fopen mit tcp oder auch mit ftp usw leider noch möglich....

Zergling-new · 14.11.2007, 22:44

unlink? Aber kann man ab und zu natürlich auch gebrauchen. Letztlich kann man ja nen Haufen Dateifunktionen mißbrauchen ..

brian johnson · 15.11.2007, 09:25

Zitat:

Zitat von Zergling

unlink? Aber kann man ab und zu natürlich auch gebrauchen. Letztlich kann man ja nen Haufen Dateifunktionen mißbrauchen ..

schon, aber nachdem chmod weg ist, hab ich überall mal schreibrechte entfernt.... :wink:
werds aber trotzdem einfügen

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Templatesystem mit Funktionen und Variablen drin?	BartTheDevil89	PHP Tipps 2008	6	01.07.2008 09:32
rekursive Funktionen ??	usima	PHP Tipps 2008	2	04.05.2008 11:25
Klassen und externe Funktionen ?	ssm	PHP-Fortgeschrittene	17	18.07.2007 11:59
eine Variable für alle Funktionen definieren	Wing	PHP Tipps 2007	16	24.06.2007 21:02
Anweisungen, Befehlen und Funktionen	guenterfrosch	PHP Tipps 2006	7	08.10.2006 13:37
Funktionen überprüfen und Grafik Funktionen	hans.karl2	PHP Tipps 2006	10	31.07.2006 20:08
Funktionen in Funktionen - ist das gut?	Schneckenkind	PHP Tipps 2006	23	10.06.2006 13:39
seiten / Funktionen - aktiveren/ Deaktivieren	annaloga	PHP Tipps 2006	4	18.04.2006 09:33
Globale Variabeln in Funktionen	finerip	PHP Tipps 2007	3	28.11.2005 16:00
Javascript funktionen deaktivieren!	Kori	HTML, Usability und Barrierefreiheit	16	10.07.2005 22:28
Funktionen aufrufen		PHP Tipps 2005	5	31.01.2005 10:57
Eure Ideen sind gefragt: eigene Funktionen verwalten		PHP-Fortgeschrittene	12	17.01.2005 15:00
[Erledigt] mysql funktionen nicht verfügbar.		PHP-Fortgeschrittene	7	07.11.2004 10:38
Funktionen auslagern und auf variablen zugreifen	Crypi	PHP Tipps 2004	3	14.10.2004 13:43
Funktionen Erklärung	TheSkaterFriend	PHP Tipps 2004	14	11.06.2004 22:05


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

14.11.2007, 20:41
dr.e. Moderator und Wett-König Registriert seit: 21.05.2008 Beiträge: 3.657 PHP-Kenntnisse: Fortgeschritten	Ich würde ein Code: ini_set set_time_limit deaktivieren, den damit lässt sich auch einiges anstellen. Anschließend noch ein Code: save_mode = On url_fopen_wrappers = Off dann sollte das passen. Problematisch sehe ich das Deaktivieren von fsockopen, da dieses die weitaus bessere Variante zu fopen('http://...') ist, da diese einen Timeout definiert und so die Apachen nicht elend im D verenden lässt, sollte die extern angefragte Ressource mal nicht verfügbar sein. __________________ Viele Grüße, Dr.E. ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 1. Think about software design before you start to write code! 2. Discuss and review it together with experts! 3. Choose good tools (-> Adventure PHP Framework (APF))! 4. Write clean and reusable software only! ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

14.11.2007, 22:44
Zergling-new Erfahrener Benutzer Registriert seit: 21.05.2008 Beiträge: 9.937	unlink? Aber kann man ab und zu natürlich auch gebrauchen. Letztlich kann man ja nen Haufen Dateifunktionen mißbrauchen ..