|
|
 |
Kapitel 22. Safe Mode
Safe Mode ist der Versuch, Sicherheitsprobleme bei gemeinsam
genutzten Servern zu l�sen.
Bezogen auf die Systemarchitektur, ist es der falsche Ansatz,
diese Probleme innerhalb der PHP Schicht l�sen zu wollen.
Da es auf Ebene des Webservers bzw. des Betriebssystems keine
praktischen Alternativen gibt, wird Safe Mode nunmehr von vielen
Leuten, vor allem von Providern, eingesetzt.
Es existieren folgende Direktiven um Safe Mode zu konfigurieren:
safe_mode = Off
safe_mode_gid = 0
safe_mode_include_dir =
safe_mode_exec_dir =
open_basedir =
safe_mode_allowed_env_vars = PHP_
safe_mode_protected_env_vars = LD_LIBRARY_PATH
disable_functions = |
Wenn safe_mode aktiviert ist,
�berpr�ft PHP, ob der Eigent�mer des laufenden Skriptes dem Eigent�mer
der Datei entspricht, an der mit Hilfe der Dateifunktionen gearbeitet
werden soll.
Beispiel:
-rw-rw-r-- 1 rasmus rasmus 33 Jul 1 19:20 script.php
-rw-r--r-- 1 root root 1116 May 26 18:01 /etc/passwd |
Bei der Ausf�hrung dieses Skriptes
<?php
readfile('/etc/passwd');
?> |
erscheint bei aktiviertem Safe Mode folgende Warnung:
Warning: SAFE MODE Restriction in effect. The script whose uid is 500 is not
allowed to access /etc/passwd owned by uid 0 in /docroot/script.php on line 2 |
Wenn anstelle von safe_mode ein
open_basedir
Verzeichnis angegeben wurde, k�nnen Dateioperationen
nur noch unterhalb dieses Verzeichnisses vorgenommen werden.
Beispiel (Apache httpd.conf):
<Directory /docroot>
php_admin_value open_basedir /docroot
</Directory> |
Wenn das Skript script.php mit der
open_basedir
Einstellung ausgef�hrt wird, erscheint folgende Warnung:
Warning: open_basedir restriction in effect. File is in wrong directory in
/docroot/script.php on line 2 |
Dar�berhinaus k�nnen einzelne Funktionen deaktiviert werden.
W�rde man folgenden Eintrag in der php.ini vornehmen:
disable_functions readfile,system |
W�rde diese Warnung erscheinen:
Warning: readfile() has been disabled for security reasons in
/docroot/script.php on line 2 |
Funktionen, die durch Safe Mode deaktiviert oder eingeschr�nkt werden
Dies ist eine Auflistung der Funktionen, die durch
Safe Mode eingeschr�nkt
werden. Diese Liste ist m�glicherweise unvollst�ndig und fehlerhaft!
Tabelle 22-1. Durch Safe Mode eingeschr�nkte Funktionen | Funktion | Einschr�nkungen |
|---|
| dbmopen() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. | | dbase_open() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. | | filepro() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. | | filepro_rowcount() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. | | filepro_retrieve() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. | | ifx_*() | sql_safe_mode restrictions, (!= Safe Mode) | | ingres_*() | sql_safe_mode restrictions, (!= Safe Mode) | | mysql_*() | sql_safe_mode restrictions, (!= Safe Mode) | | pg_loimport() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. | | posix_mkfifo() | �berpr�ft ob das Verzeichnis in dem das Skript
ausgef�hrt werden soll, die gleiche UID hat wie das Skript selbst. | | putenv() |
F�hrt die safe_mode_protected_env_vars und
safe_mode_allowed_env_vars ini-directiven aus.
Siehe auch Dokumentation zu putenv()
| | move_uploaded_file() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. | | chdir() | �berpr�ft ob das Verzeichnis in dem das Skript
ausgef�hrt werden soll, die gleiche UID hat wie das Skript selbst. | | dl() | Diese Funktion ist bei Verwendung von Safe Mode deaktiviert. | |
backtick operator
| Diese Funktion ist bei Verwendung von Safe Mode deaktiviert. | | shell_exec() (funktional gleichwertig zu den
Backtick-Operatoren) | Diese Funktion ist bei Verwendung von Safe Mode deaktiviert. | | exec() | Ausf�hrbare Dateien k�nnen nur innerhalb des durch safe_mode_exec_dir angegebenen
Verzeichnisses ausgef�hrt werden.
Aus praktischen Gr�nden ist es momentan nicht erlaubt, ..
im Pfad zu den ausf�hrbaren Datein anzugeben.
| | system() | Ausf�hrbare Dateien k�nnen nur innerhalb des durch safe_mode_exec_dir angegebenen
Verzeichnisses ausgef�hrt werden.
Aus praktischen Gr�nden ist es momentan nicht erlaubt, ..
im Pfad zu den ausf�hrbaren Datein anzugeben.
| | passthru() | Ausf�hrbare Dateien k�nnen nur innerhalb des durch safe_mode_exec_dir angegebenen
Verzeichnisses ausgef�hrt werden.
Aus praktischen Gr�nden ist es momentan nicht erlaubt, ..
im Pfad zu den ausf�hrbaren Datein anzugeben.
| | popen() | Ausf�hrbare Dateien k�nnen nur innerhalb des durch safe_mode_exec_dir angegebenen
Verzeichnisses ausgef�hrt werden.
Aus praktischen Gr�nden ist es momentan nicht erlaubt, ..
im Pfad zu den ausf�hrbaren Datein anzugeben.
| | mkdir() | �berpr�ft ob das Verzeichnis in dem das Skript
ausgef�hrt werden soll, die gleiche UID hat wie das Skript selbst. | | rmdir() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. | | rename() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. �berpr�ft ob das Verzeichnis in dem das Skript
ausgef�hrt werden soll, die gleiche UID hat wie das Skript selbst.
| | unlink() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. �berpr�ft ob das Verzeichnis in dem das Skript
ausgef�hrt werden soll, die gleiche UID hat wie das Skript selbst. | | copy() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. �berpr�ft ob das Verzeichnis in dem das Skript
ausgef�hrt werden soll, die gleiche UID hat wie das Skript selbst. (on
source and
target) | | chgrp() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. | | chown() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. | | chmod() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. In addition, you cannot
set the SUID, SGID and sticky bits | | touch() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. �berpr�ft ob das Verzeichnis in dem das Skript
ausgef�hrt werden soll, die gleiche UID hat wie das Skript selbst. | | symlink() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. �berpr�ft ob das Verzeichnis in dem das Skript
ausgef�hrt werden soll, die gleiche UID hat wie das Skript selbst. (note: only the target is
checked) | | link() | �berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. �berpr�ft ob das Verzeichnis in dem das Skript
ausgef�hrt werden soll, die gleiche UID hat wie das Skript selbst. (note: only the target is
checked) | | getallheaders() |
Header die mit 'authorization' (unabh�ngig von Gro�- oder Kleinschreibung)
beginnen, werden bei Verwendung von Safe Mode nicht zur�ckgegeben.
Achtung: Dies ist fehlerhaft bei der AOL-Server Implementation
der Funktion getallheaders()!
| |
highlight_file(),
show_source()
|
�berpr�ft ob die Dateien/Verzeichnisse, die mit dem Skript
bearbeitet werden sollen, die gleiche UID haben wie das Skript selbst. �berpr�ft ob das Verzeichnis in dem das Skript
ausgef�hrt werden soll, die gleiche UID hat wie das Skript selbst. (Hinweis: gilt nur ab Version PHP 4.2.1)
| | Jede Funktion, die
php4/main/fopen_wrappers.c
benutzt...
| ?? |
User Contributed Notes
Safe Mode |
 |
jedi at tstonramp dot com
08-Sep-2001 02:17 |
|
Many filesystem-related functions are not appropriately restricted when
Safe Mode is activated on an NT server it seems. I would assume that this
is due to the filesystem not making use of UID.
In all of my
scripts, no matter WHO owns the script (file Ownership-wise) or WHO owns
the directory/file in question; both UIDs display
(getmyuid() and
fileowner()) as UID = 0
This has the rather nasty side effect of
Safe Mode allowing multiple filesystem operations because it believes the
script owner and file/dir owner are one and the same.
While this
can be worked around by the judicious application of proper filesystem
privileges, it's still a "dud" that many of Safe Mode's
securities are simply not there with an NT implementation.
|
|
devik at cdi dot cz
24-Jan-2002 11:45 |
|
Just to note, I created patch which allows VirtualHost to set User under
which all (PHP too) runs. It is more secure than safe_mode. See
luxik.cdi.cz/~devik/apache/ if you are interested
|
|
zebz at ihaveenoughspam_hotmail dot com
28-Apr-2002 03:42 |
|
All the filesystem-related functions (unlink, fopen, unlink, etc) seems to
be restricted the same way in safe mode, at least on PHP 4.2. If the file
UID is different *but* the directory (where the file is located) UID is
the same, it will work.
So creating a directory in safe mode is
usually a bad idea since the UID will be different from the script (it
will be the apache UID) so it won't be possible to do anything with the
files created on this directory.
|
|
dw at null dot ca
13-Jun-2002 10:37 |
|
You can a vhost.conf file.
<Directory
/vhosts/domain.com/httpdocs/>
php_admin_value safe_mode
0
php_admin_value open_basedir "/"
</Directory>
|
|
tom at tom420 dot com
19-Jul-2002 08:33 |
|
open_basedir only restricts file operations to files and directories under
a specified directory, but you can still user system ("vi
/home/somedir/somefile"), so safe_mode still has a place here as it
is much more restrictive then open_basedir.
Also, to reply to
someone who said that 'above' and 'below' was a matter of perspective,
sure it is. Of course, a file is not under another one, etc, it just
pointed by some inode. But in the common language we consider the root (/)
to be above everything else, and /home is below root, and /home/myfile is
below /home. There is no written standard, but most people (those I know
anyway) agree on that syntax.
|
|
|
10-Sep-2002 10:19 |
|
disk_free_space($directory) is also restricted by the safe_mode ! It can
also be completely forbidden as this would allow a script to test the
available space in order to fill it with a giant file, preventing other
scripts to use that space (notably in
"/tmp").
disk_free_space() is then informational, and this
does not prevent system quotas to limit the size of your files to a value
lower than the available free space!
Most web server admins that
propose PHP hosting, will implement quotas for your hosting account, but
also on any shared resources such as temporary folders.
|
|
|
10-Sep-2002 10:30 |
|
Some paranoid web managers also restrict the set_user_abort()
function.
This constitutes a security issue for hosted web sites,
because the hosted script cannot guarantee safe atomic operations on files
in a reasonnable time (the time limit may still be in effect):
If
set_user_abort() is disabled by the web admin, a user can corrupt the
files of a hosted web site by simply sending many requests to the PHP
script, and aborting it fast. In some cases that can be easily reproduced
after a dozen of attempts, the script will be interrupted in the middle of
a file or database update!
The only way for the hosted web site to
protect itself in this case is to use a sleep() with a random but not null
short time before performing atomic operations.
Web admins should
then definitely NOT disable the set_user_abort() function which is vital
to ensure atomic operations on hosted critical files or
databases.
Instead they should only disable the set_time_limit()
function, and set a constant but reasonnable time for any script to
complete their atomic operations.
|
|
dizzy at roedu dot net
16-Jan-2003 06:25 |
|
For people using linux there is a very nice solution to the shared server
problem. It's called vserver/ctx. Here is the URL:
|
|
Daniel
20-Jan-2003 03:51 |
|
Vserver isn't viable if you need name based hosting. Or if you don't want
to run a seperate apache for each host. In a world with unlimited IP
addresses and RAM, it would be great. I don't live in that world though.
:(
|
|
dizzy at roedu dot net
21-Jan-2003 01:03 |
|
Daniel, but who stops you of running a proxy on the one IP address you wish
name based vhosting, and configure that proxy to map hosts to private IPs
on the vhost machine. Apache, mod_rewrite with its map based lookup does
the trick.
|
|
gtg782a at mail dot gatech dot edu
26-Jan-2003 04:14 |
|
zebz: The user would not be able to create a directory outside the
namespace where he/she would be able to modify its contents. One can't
create a directory that becomes apache-owned unless one owns the parent
directory.
Another security risk: since files created by apache are
owned by apache, a user could call the fputs function and output PHP code
to a newly-created file with a .php extension, thus creating an
apache-owned PHP script on the server. Executing that apache-owned script
would allow the script to work with files in the apache user's namespace,
such as logs. A solution would be to force PHP-created files to be owned
by the same owner/group as the script that created them. Using
open_basedir would be a likely workaround to prevent ascension into
uncontrolled areas.
|
|
sj at sjaensch dot org
18-Feb-2003 12:33 |
|
safe_mode_include_dir only works when INCLUDING files, it has no effect
when you access them by other means (eg. with fopen())! Your only solution
then is to set the user or group (if safe_mode_gid is activated) of the
file to the same as the script you are executing or disable safe mode
altogether.
See bug 20054 ().
|
|
info at phpcoding dot net
08-Mar-2003 01:44 |
|
readfile() seems not always to take care of the safe_mode setting.
When
the file you want to read with readfile() resides in the same directory as
the script itself, it doesn`t matter who the owner of the file is,
readfile() will work.
|
|
gk at proliberty dot com
27-Apr-2003 09:05 |
|
The documentation on safe_mode is wrong. It says:
>When safe_mode is
on, PHP checks to see if the owner of the current script matches the owner
of the file to be operated on by a file function.
In truth, it also
checks the ownership of the current directory: directory ownership
overrides file UID - i.e., if you own the directory, your script can read
any files in the directory, regardless of file UID. Rasmus has confirmed
that this is not a bug, it is by design. The documentation should be
updated to reflect this.
|
|
|
|
| |
PHP Handbuch
Features
HTTP-Authentifizierung mit PHP
Safe Mode
Persistente Datenbankverbindungen