تأمين الـphp على سيرفرات اللينكس(تجارب وحلول)

safe_mode_gid :
قلنا
بالسابق انه في حاله تفعيل safe_mode فأن المترجم سيتأكد من مالك الملف عن
طريق كل من UID و GID وعند تفعيل safe_mode_gid سيقوم النظام بالتأكد من
UID فقط وسيتجاهل قيمه GID .

safe_mode_include_dir :
بهذا الخيار نقوم بتحديد مسار معين وهذا المسار سيكون متجاهلا من قبل مترجم الphp أي انه لن يقوم بعمل مقارنه للUID والGID

safe_mode_exec_dir :
بهذا
الخيار يمكنك وضع مسار امن يمكن للدوال مثل system() من تشغيل البرامج حيث
سيقوم المترجم بتجاهلها داخل مجلد المسار والملفات الموجوده بداخله

open_basedir:
هنا بأمكاننا اعطاء المسارات الامنه اللتي نريد السماح لملفات الـphp بالتعامل معها وهذا الخيار ليس مرتبطا بحاله safe_mod
وعموما في حاله تفعيلنا للخيار يجب السماح لملفات الـphp بالعبور للمسارات الاتية
كود:
/usr/lib/php
/usr/local/lib/php
/tmp

بالاضافه الى مجلدات المستخم طبعا
وعموما تكون تحت المسار /home
لكني
افضل استخدام هذا الخيار من الـwhm وانصح الجميع بأستخدامة من هناك لكن
قمت بالتوضيح لكي يكون الشرح عام لأغلب الانظمة ولوحات التحكم

disable_functions:

هنا نقوم بتحديد الدوال اللتي نريد اغلاقها واللتي تشكل خطرا على النظام وستم ذكرها بالقسم التطبيقي من الشرح

register_globals:
عندما
تكون قيمة هذا الخيار On فأنه قد يشكل خطرا كبيرا على برامج حيث يقوم
بتسجيل كل المدخلات سواء كانت من البيئه او GET او POST او COOKIES كـ
global variable وينصح بشده وضع الخيار بحاله off ولتفاصيل اكثر يمكنك
سؤال مبرمجي الـphp

:allow_url_fopen
اغلبنا لاحظ انتشار
ثغرات الـfile include واغلب الاخطاء البرمجيه تمكن المخترق من اسدعاء ملف
داخلي وتكون الثغره local او محلية اي انه يمكنه اسدعاء ملف passwd لكن
قمنا بتقليل خطورتها بتفعيل safe_mode لكن تبقى ثغرات الـremote ويأتي دور
الداله هنا حيث تمنع ذلك مما يقلل من خطوره هذه الثغرات الى ابعد حد ولن
يتمكن المخترق من سحب الشل من مواقع خارج السيرفر وسنتعلم تفعيلها للمواقع
اللتي تحتاجها لتجنب حدوث التضارب مع برامج العملاء .

اخيرا وليس اخرا expose_php :
سنقوم بأعطائها قيمه off لكي لا يقوم مترجم الـphp بأرسال معلومات عن نفسه بداخل HTTP header

بعد ان اخذنا جوله جيده على اساسيات وميكانيكيات
الحماية بالـphp سنتجه الى الجانب التطبيقي وكيف يمكننا اعداد الphp لكي
تعمل بأمان على سيرفراتنا بدون ادنى جهد.
واريد ان اذكر هنا انه يجب
الحذر الشديد عند التعامل مع ملفات الاعداد مثل php.ini و httpd.conf اوا
اي ملف مرتبط بها حيث انها حساسه جدا واي خطأ بأدخال البيانات سوف يسبب
خطأ عند اعاده تشغيل الapache لذلك يجب الانتباه .

سينقسم الشرح الى جانبين
الاول
تركيب الحماية والثاني سوف يكون عن تهيئه بيئه الphp للعملاء على السيرفر
فيما يتناسب مع احتياجات برامجهم ,,, فيوجد بعض البرامج اللتي تطلب تفعيل
الـregister_globals او الـsafe_mode على سبيل المثال وبالتأكيد لن نريد
خساره العميل لعدم توافق بيئه السيرفر مع سكربتات موقعه ومن جانب اخر لا
نريد فقدان الحماية على السيرفر اي يجب ان نبقي عى شعرة معاوية بيننا وبين
العميل


اولا تركيب الحماية :
___تنبيه____تنبيه___تنبيه___
تأكد من عمل نسخه احتياطية لملف php.ini قبل الشروع بالتعديل عليه
___تنبيه____تنبيه___تنبيه___

يلزم لكل ما سبق انا نقوم بتحرير ملف php.ini على حسب احتياجاتك الخاصه (سأقوم هنا بوضع اعدادات سيرفري) وسوف تجده بالمسار التالي
كود:
/usr/local/lib

او بالمسار التالي اذا كنت تملك الـZend_optemizer على سيرفرك
كود:
/usr/local/Zend/etc/


قم بتطبيق الامر التالي
nano php.ini او pico php.ini على حسب المحرر الموجود على سيرفرك
الان سنعدل على الخيارات خطوه وخطوه وافضل عمل رستارت للـapache بعد كل تعديل لكي نتمكن من تعديل الخطأ بسرعة في حاله حدوثه

1-الان قم بالبحث عن safe_mode بواسطة ctrl+w او بالبحث يدويا عنه
وقم بالتعديل عليه لكي يصبح
كود:
safe_mode = On


2- ابحث عن safe_mode_gid وتأكد من ان قيمته كالاتي
كود:
safe_mode_gid = Off

3- ابحث عن disable_functions
وهنا
سوف نقوم بتعطيل الدوال الخطره + تعطيل الدوال تخطي الـsafe_mode حيث
للأسف لم يقم فريق الـphp بفعل اي شيء حيال الثغرات المكتشفه على حسب علمي

عموما من الافضل ان تعطل الدوال التالية
دوال ثغره تخطي السيف مود : كود:
copy,error_log,tempnam,curl_init

دوال php الخطيره:

كود:
system,passthru,exec,popen,proc_close,proc_get_status,proc_nice,proc_open,proc_terminate,shell_exec,highlight_file,escape
shellcmd,pclose,pfsockopen,chgrp,chmod,debugger_off,debugger_on,leak,listen,define_syslog_variables,ftp_exec,posix_uname,posix_getpwuid,get_current_user,getmyuid,getmygid,apache_child_terminate,posix_kill,posix_mkfifo,posix_setpgid,posix_setsid,posix_setuid,pfsockopen,chgrp,chmod,debugger_off,debugger_on,leak,listen,define_syslog_variables,ftp_exec,posix_uname,posix_getpwuid,get_current_user,getmyuid,getmygid,apache_child_terminate,posix_kill,posix_mkfifo,posix_setpgid,posix_setsid,posix_setuid,escapeshellarg,getservbyport,getservbyname,myshellexec,escapeshellarg

وتأكد من كتابتها على سطر واحد عند تحريرها داخل ملف php.ini والا ستسبب مشكله عند التشغيل (اكرر على سطر واحد)

4- قم بالبحث عن register_globals وتأكد من ان قيمتها كالاتي
كود:
register_globals = Off


5- قم بالبحث عن allow_url_fopen وتأكد من ان قيمتها كالاتي
كود:
allow_url_fopen = Off


6-قم بالبحث عن expose_php وتأكد ان قيمتها كالاتي
كود:
expose_php = off


والان قم بعمل اعادة تشغيل للـapache سواء عن طريق لوحة تحكم السيرفر او عن طريق الامر التالي
كود:
httpd restart

وسوف يكون المخرج كالتالي
كود:
/usr/sbin/httpd restart: httpd restarted


وفي حالة ظهور اي خطأ سوف تكون المشكله بسبب التعديل بطريقه خاطئه فقم بمراجعة تعديلاتك


ثانيا تهيئه بيئه الـphp لكي تناسب احتياجات العملاء

لقد
ذكرنا من قبل ان بعض خيارات الـphp قد لا تناسب سكربتات العملاء على
السيرفر ولذلك يجب تغييرها وهنا سنتعلم معا كيفيه تغييرها لكل موقع على
حده بمعنى,,, لو طلب منك احد العملاء ان تفعل الـregister_globals لموقعة
سوف تقوم بتفعيله لملفات موقعه فقط بدون الحاجة لتفعيلة على السيرفر بأكمل
ويجدر بي هنا ان اذكر ان هنالك قيمتين لخيارات ملف php.ini واحده تكون
local value وهي للموقع فقط والثانية تكون Master value وهي قيمه الخيار
للسيرفر بأكمله ويمكنك معرفه كل ذلك بوضع الملف التالي في احد المواقع
وطلبه عن طريق المتصفح

كود:

phpinfo();

?>


((سوف نتفق على كلمه "تخصيص" على ان تعني تعديل الخيار او تخصيصه لموقع معين))
((نقصد بالخيارات القيم الموجوده بداخل ملف php.ini كالـsafe_mode على سبيل المثال))
تنقسم الخيارات الموجوده بداخل ملف php.ini الى عده اقسام وهي:

PHP_INI_USER : ويمكننا تخصيصها من الرجستري في حاله سيرفرات الوندوز.
PHP_INI_PERDIR
: ويمكننا تخصيصها بواسطة ملف .htaccess يوضع بداخل مجلد السكربت او
الموقع ويمكننا التعديل عليها ايضا عن طريق ملف httpd.conf
PHP_INI_SYSTEM : ويمكننا تخصيصها عن طريق ملف httpd.conf فقط
PHP_INI_ALL : يمكننا تخصيصها عن طريق كل ما سبق

((لاحظ ان القيم الاساسيه او الـMaster value نحددها عن طريق ملف php.ini))

ويمكنك معرفه الخيار والى اي قسم ينتمي عن طريق الوصله التالية http://www.php.net/manual/en/ini.php

ويتم اعطاء القيم بشكلين مختلفين
On او Off عن طريق php_flag
اي سلسه قيم او مسار عن طريق php_value

بفرض انه بأمكانك تخصيص الخيار عن طريق ملف .htaccess
يمكنك عمل ملف .htaccess عادي في موقعك واضافه التالي الية
كود:
php_flag register_globals on

وهنا سوف يكون الـlocal value او القيمه المحلية للخيار register_globals بحالة On بالنسبه لملفات موقعك

وان
كان الخيار لا يمكن تخصيصه الا من ملف httpd.conf كالـsafe_mod على سبيل
المثال حيث انه يقع ضمن قسم PHP_INI_SYSTEM اللتي لا يمكن تخصيصها الا من
ملف httpd.conf
فقم بالتعديل على ملف httpd.conf بالمسار
كود:
/usr/local/apache/conf

بواسطة المحرر peco او nano وابحث عن عنوان الموقع username.com

وتأكد ان كل ما تقوم بكتابته يقع ضمن نطاق اعدادات الموقع
وسوف يكون بالشكل التالي على فرض ان الموقع هو www.oman-web.com واسم المستخدم هو omanweb
كود:

ServerAlias www.oman-web.com
ServerAdmin webmaster@oman-web.com
DocumentRoot /home/omanweb/public_html/
BytesLog domlogs/oman-web.com-bytes_log
ServerName oman-web.com


php_admin_value open_basedir "/home/omanweb:/usr/lib/php:/usr/local/lib/php:/tmp"
php_admin_flag register_globals on
php_admin_value disable_functions none


php_admin_value open_basedir "/home/omanweb:/usr/lib/php:/usr/local/lib/php:/tmp"


User omanweb
Group omanweb
CustomLog /usr/local/apache/domlogs/oman-web.com combined
ScriptAlias /cgi-bin/ /home/omanweb/public_html/host/cgi-bin/


تأكد انك تقوم بالتعديل بين كل من
كود:

..............................
..............................
....................



وسنخصص على حسب اصداره الphp لدينا فأن كانت 4
نعدل بين
كود:

..................................
..............................
........................



وان كنا نستخدم الاصداره الخامسة

كود:

...............................
...........................
........................


-------------------------------
ويكون التعديل كالتالي
php_admin_flag لأي قيمه On او Off
و
php_admin_value لأي سلسه من القيم او مسار ملفات
وطبعا من الممكن ان تكون القيمه none كالمثال بالاعلى
كود:
php_admin_value disable_functions none

او كود:
php_admin_value open_basedir "/home/omanweb:/usr/lib/php:/usr/local/lib/php:/tmp"

وتأكد من كتابتها بنفس الطريقه الموضحة

بالنهاية
ارجوا ان تعلم اخي القاريء ان الدرس جاء خلاصه لتجارب وقرائات عديدة في
مده ليسة ببسيطة فالرجاء نشره مع حفظ حقوق الكاتب وارجوا المعذره عن اي
تقصير فني او لغوي من تجاهي