php.ini richtig sicher einstellen

[mulipo43]

Hoi.

Bin gerade bei den php.ini Einstellungen und frage mich als Anfänger ob ich groß was verändern soll oder alles "so gut ist". Ich betreibe auf dem Server nur 1 Website (vBulletin) und habe die Einstellungen nur für das Board angepasst. Verwende CentOS 5.X, PHP 5 - Server ist frisch installiert ...

Habt ihr da allgemeine Empfehlungen was man beachten sollte und/oder Tipps?

Thx-

 

[Roger Wilco]

http://cvs.php.net/viewvc.cgi/php-src/php.ini-recommended?view=co ist eine gute Grundlage für deine eigenen Einstellungen.

 

[mulipo43]

Thx, aber ohne die ganze Datei jetzt durch checken zu wollen, was ist den die Konfi. in dieser?

Andere Frage: Gibt es eigentlich eine Möglichkeit eine info.php (also sowas) wieder in eine php.ini "zu verwandeln"/ zu konvertieren, ohne alles einzeln einzutragen?

 

[marneus]

Könntest Du das konkretisieren?

--marneus

 

[mulipo43]

Ja klar. Also wenn man eine Datei macht Name egal, Endung muss nur .php sein und der Inhalt ist:

<?php phpinfo(); ?>

Dann sieht man doch die aktuellen Einstellungen und Optionen die in der php.ini gemacht wurden sind (oder liege ich da falsch)? Nun ich möchte das sozusagen "zurück konvertieren" also eine php.ini haben die den Inhalt der info.php hat.

Hoffe so ist's verstehbar.

 

[d4f]

Wenn du PHP beherrschst:
http://lu.php.net/manual/en/function.ini-get-all.ph

 

[phor]

Die PHP Funktion infophp zeigt doch nur den Inhalt deiner php.ini an. Die php.ini bleibt php.ini - ob du jetzt per infophp dir diese anzeigen lässt oder nicht. In der infophp findest du unter "Configuration File (php.ini) Path" den Pfad zu deiner php.ini, die du editieren musst.

Zur Sicherheit... Nun ja... Ich schließe z.B. per disable_functions folgende Funktionen aus. Musst du halt selber prüfen, ob du welche der kritischen Funktionen unbedingt brauchst. Aber mit dieser Konfiguration habe ich eigentlich bisher keine Probleme mit gängigen CMS&Co festgestellt:

disable_functions = show_source, system, shell_exec, passthru, exec, popen, proc_open, symlink, wordwrap, url_fopen, phpcredits, escapeshellarg, escapeshellcmd, proc_close, proc_get_status, proc_nice, proc_terminate, virtual, ini_alter, ini_restore, set_include_path, php_ini_scanned_files, memory_get_usage

Register Globals sollte auf jeden Fall OFF sein. Safe Mode ist so ein Streitfall und wird in PHP6 auch wegfallen. Ich bin mir allerdings sicher, dass wenn du den Safe Mode auf ON stellst, du keine geringere Sicherheit hast, als wenn er OFF ist ;-)

Im Endeffekt kommt es eh drauf an, was du auf dem Server für Skripte laufen lassen möchtest. Die Grundlage von Roger Wilco halte ich im übrigen für eine weniger empfehlenswerte Grundlage als die default php.ini.

 

[Roger Wilco]

Die Grundlage von Roger Wilco halte ich im übrigen für eine weniger empfehlenswerte Grundlage als die default php.ini.

Und wieso?

 

[phor]

Weil da so gut wie nix drin steht. Register Globals und Safe Mode wohl auf Std-Setting - was auch immer das bei php is. Keine Funktionen deaktiviert - nich mal so Dinge wie "exec" oder "shell_exec"...

Sag mir doch mal, warum es ne gute Basis sein soll?

 

[Roger Wilco]

Register Globals und Safe Mode wohl auf Std-Setting

Richtig. Beides deaktiviert, wie es sein soll.

Keine Funktionen deaktiviert - nich mal so Dinge wie "exec" oder "shell_exec"...

Richtig. Beide Funktionen werden von manchen Skripten benötigt und sollten nicht pauschal deaktiviert werden. Wenn dann nur als Teil einer individuellen Konfiguration.

Sag mir doch mal, warum es ne gute Basis sein soll?

Weil da so gut wie nix drin steht.

...und somit eine geeignete Basis für eine eigene Konfiguration darstellt.