Einstellungen in .htaccess

Der_Gerhard · 11.09.2007, 18:01

Hi,

ich bin gerade durch einen anderen Thread auf den hier aufmerksam geworden:
http://www.phpfriend.de/forum/ftopic60488.html

Natürlich gab es auch gleich ein paar Felder, dich ich grün kriegen wollte.

Diese sind u.a.: allow_url_fopen, expose_php, post_max_size etc.

Bisher hatte ich in .htaccess die Option register_globals deaktiviert.
Auf gleiche Weise wollte ich allow_url_fopen und expose_php deaktivieren.

Daher steht in meiner .htaccess im htdocs-Verzeichnis nun das hier:

Code:

php_flag register_globals off
php_flag expose_php off
php_flag allow_url_fopen off
php_value post_max_size 1024000

Auch mit

Code:

php_value expose_php off
php_value allow_url_fopen off

bzw.

Code:

php_value expose_php 0
php_value allow_url_fopen 0

habe ich es probiert.
In allen Fällen ist das Ergebnis das gleiche:
- register_globals ist deaktiviert,
- post_max_size ist reduziert,
aber
- allow_url_fopen ist weiterhin aktiviert und
- expose_php ist weiterhin aktiviert.

Zur Sicherheit, dass ich auch an der richtigen Datei herumspiele, hab ich sie mal umbenannt und danach war register_globals an. Die Datei ist also die richtige.

Kann ich diese Werte wirklich nicht ändern?
Gilt die Einschränkung für allow_url_fopen: "Note: This setting can only be set in php.ini due to security reasons." auch beim Ausschalten? Das ist ja eher ein Sicherheitsgewinn.

Für expose_php hab ich keine solche Einschränkung gefunden. Klappt aber trotzdem nicht.

Kann mir hier jemand verraten, wie ich die Felder grün kriege?

Zergling-new · 11.09.2007, 18:52

Code:

Name	Standardwert	Änderbar
allow_url_fopen	"1"	PHP_INI_ALL
expose_php	"1"	nur php.ini

expose_php kannst du nur direkt in der php.ini setzen, allow_url_fopen sollte funktionieren. Vertausch mal die Reihenfolge, vielleicht provoziert das unerlaubte expose_php einen Fehler in der weiteren Abarbeitung.

http://de3.php.net/manual/de/ref.filesystem.php
http://php.net/manual/de/ini.core.php

Wie liest du die Werte aus?

Der_Gerhard · 12.09.2007, 00:38

Hmmm. Gerade bei allow_url_fopen steht der Hinweis in der Doku, dass es nur in php.ini geht. Nicht bei expose_php.

Diese Tabelle habe ich bisher gar nicht beachtet. In der englischen Doku sieht die aber so aus:

Code:

Name	Default	Changeable	Changelog
allow_url_fopen	"1"	PHP_INI_SYSTEM	PHP_INI_ALL in PHP <= 4.3.4. Available since PHP 4.0.4.
expose_php	"1"	php.ini only

Schon irre. Warum kann man sowas nicht auch einzeln ausschalten?

Die weitere Abarbeitung funktioniert, weil die Werte danach korrekt ausgelesen werden.

Das Auslesen geschieht in der Software, die hier: http://phpsec.org/projects/phpsecinfo/ zu finden ist, wie in dem genannten Thread auch.

Sieht so aus, als würden die roten Felder auch weiterhin rot bleiben.

Zergling-new · 12.09.2007, 02:02

OK nochmal englische Doku nachgeschlagen,
http://www.php.net/manual/en/ini.php

Code:

allow_url_fopen	"1"	PHP_INI_SYSTEM	PHP_INI_ALL in PHP <= 4.3.4. Available since PHP 4.0.4.

Code:

expose_php	"1"	php.ini only

http://www.php.net/manual/en/ini.php#id3855705

Zitat:

PHP_INI_SYSTEM 4 Entry can be set in php.ini or httpd.conf
PHP_INI_ALL 7 Entry can be set anywhere

Damit wäre also die Frage beantwortet.
Warum das so ist, ich nehme an technische Gründe, einfach die Reihenfolge der Abarbeitung, expose_php wird wahrscheinlich relativ früh für das Erstellen der Server-Signatur etc. benötigt, macht ja keinen Sinn bei jedem PHP-Request die Signatur neu zu berechnen.

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
[Erledigt] .htaccess Problem mit subdomains.	c01001	Server, Hosting und Workstations	3	03.06.2008 19:59
.htaccess: alle umleiten auf info.html bis auf best. IPs	Gumfuzi	Server, Hosting und Workstations	8	17.02.2008 19:07
.htaccess login schlägt fehl	sternschnuppe99	Server, Hosting und Workstations	6	07.02.2008 13:37
.htaccess Verzeichnisschutz oder Umleitung	Igäl	Server, Hosting und Workstations	2	24.08.2007 17:23
.htaccess	LA-Finest	HTML, Usability und Barrierefreiheit	4	28.02.2007 22:39
.htaccess Ausnahme für einzelne Verzeichnisse	ssm	Server, Hosting und Workstations	0	25.02.2007 19:24
register_globals per .htaccess auf off stellen	A Hoppe	PHP Tipps 2006	4	26.03.2006 12:58
Error 500 bei .htaccess	test022	PHP Tipps 2005	18	10.02.2005 17:11
[Erledigt] .htaccess verweigert meinen zugriff		HTML, Usability und Barrierefreiheit	4	22.09.2004 17:28
.htaccess wird ignoriert	PHS	PHP Tipps 2004	5	05.09.2004 15:51
[Erledigt] problem mit .htaccess (Rewrite Rule) ! plz help		Server, Hosting und Workstations	2	30.08.2004 12:34
uploadberechtigung mit .htaccess		PHP Tipps 2004	2	13.08.2004 07:52
Sicherer Bereich mit .htaccess + phpskript auf einem Server		PHP Tipps 2004	2	23.07.2004 18:25
Problem mit .htaccess und php		PHP Tipps 2004	2	05.07.2004 14:06

11.09.2007, 18:01
Der_Gerhard Erfahrener Benutzer Registriert seit: 08.11.2004 Beiträge: 2.079	Einstellungen in .htaccess Hi, ich bin gerade durch einen anderen Thread auf den hier aufmerksam geworden: http://www.phpfriend.de/forum/ftopic60488.html Natürlich gab es auch gleich ein paar Felder, dich ich grün kriegen wollte. Diese sind u.a.: allow_url_fopen, expose_php, post_max_size etc. Bisher hatte ich in .htaccess die Option register_globals deaktiviert. Auf gleiche Weise wollte ich allow_url_fopen und expose_php deaktivieren. Daher steht in meiner .htaccess im htdocs-Verzeichnis nun das hier: Code: php_flag register_globals off php_flag expose_php off php_flag allow_url_fopen off php_value post_max_size 1024000 Auch mit Code: php_value expose_php off php_value allow_url_fopen off bzw. Code: php_value expose_php 0 php_value allow_url_fopen 0 habe ich es probiert. In allen Fällen ist das Ergebnis das gleiche: - register_globals ist deaktiviert, - post_max_size ist reduziert, aber - allow_url_fopen ist weiterhin aktiviert und - expose_php ist weiterhin aktiviert. Zur Sicherheit, dass ich auch an der richtigen Datei herumspiele, hab ich sie mal umbenannt und danach war register_globals an. Die Datei ist also die richtige. Kann ich diese Werte wirklich nicht ändern? Gilt die Einschränkung für allow_url_fopen: "Note: This setting can only be set in php.ini due to security reasons." auch beim Ausschalten? Das ist ja eher ein Sicherheitsgewinn. Für expose_php hab ich keine solche Einschränkung gefunden. Klappt aber trotzdem nicht. Kann mir hier jemand verraten, wie ich die Felder grün kriege? __________________ ******************************** Nein, ich bin nicht die Signatur. Ich putze hier nur. ********************************


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

11.09.2007, 18:52
Zergling-new Erfahrener Benutzer Registriert seit: 21.05.2008 Beiträge: 9.937	Code: Name Standardwert Änderbar allow_url_fopen "1" PHP_INI_ALL expose_php "1" nur php.ini expose_php kannst du nur direkt in der php.ini setzen, allow_url_fopen sollte funktionieren. Vertausch mal die Reihenfolge, vielleicht provoziert das unerlaubte expose_php einen Fehler in der weiteren Abarbeitung. http://de3.php.net/manual/de/ref.filesystem.php http://php.net/manual/de/ini.core.php Wie liest du die Werte aus?

12.09.2007, 00:38
Der_Gerhard Erfahrener Benutzer Registriert seit: 08.11.2004 Beiträge: 2.079	Hmmm. Gerade bei allow_url_fopen steht der Hinweis in der Doku, dass es nur in php.ini geht. Nicht bei expose_php. Diese Tabelle habe ich bisher gar nicht beachtet. In der englischen Doku sieht die aber so aus: Code: Name Default Changeable Changelog allow_url_fopen "1" PHP_INI_SYSTEM PHP_INI_ALL in PHP <= 4.3.4. Available since PHP 4.0.4. expose_php "1" php.ini only Schon irre. Warum kann man sowas nicht auch einzeln ausschalten? Die weitere Abarbeitung funktioniert, weil die Werte danach korrekt ausgelesen werden. Das Auslesen geschieht in der Software, die hier: http://phpsec.org/projects/phpsecinfo/ zu finden ist, wie in dem genannten Thread auch. Sieht so aus, als würden die roten Felder auch weiterhin rot bleiben. __________________ ******************************** Nein, ich bin nicht die Signatur. Ich putze hier nur. ********************************