PHP é uma linguagem de script de sites muito popular, mas sua segurança inerente é muito fraca. Este artigo descreve o plano de aprimoramento do PHP (projeto Hardened-PHP) e o novo plano Suhosi fornece configuração de segurança aprimorada do PHP.
PHP é a linguagem de script de sites controversa, mas mais popular. É popular por causa de seu preço baixo. No entanto, esse preço baixo levou a mais e mais aplicativos de sites escritos em PHP e, ao mesmo tempo, cada vez mais o próprio PHP está exposto em termos de vulnerabilidades de segurança. recursos mostram que o PHP é extremamente não confiável, mas ao mesmo tempo a linguagem de script em si é muito flexível e é fácil implementar código usando-o, mas esses códigos são inchados e inseguros, embora seja desta forma, ainda tem muitos Usuários. Você poderia presumir que, repetidamente, aplicativos de todos os tipos exibem essa vulnerabilidade: vulneráveis à injeção de SQL, scripts entre sites, execução arbitrária e muito mais.
Como as medidas de segurança integradas do PHP, como safe_mode e open_basedir, são ignoradas, o PHP Enhancement Project cria um PHP mais seguro e também executa verificações de validação no PHP. Inicialmente, isso foi realizado com patches PHP aprimorados que exigiam que o próprio PHP fosse corrigido e recompilado. Recentemente, o PHP Enhancement Project lançou um novo projeto chamado Suhosin.
Sohosin consiste em duas partes: A primeira parte é um patch PHP. Este patch fortalece o próprio mecanismo Zend para evitar possíveis buffer overflows e prevenir pontos fracos relacionados. A segunda parte é a extensão do Suhosin, que é um módulo independente para PHP. As duas partes podem funcionar juntas ou a extensão pode funcionar de forma independente.
Os desenvolvedores não querem ter que manter suas próprias instalações de PHP para obter segurança e certamente preferem usar o PHP diretamente no sistema de distribuição Linux fornecido pelo fornecedor, usando módulos de extensão para fornecer mais recursos de segurança que o próprio PHP não pode ter.
A extensão é fácil de instalar; também pode ser instalada via PECL, ou baixada e compilada:
$ tar xvzf suhosin-0.9.17
$ cd suhosin-0.9.17
$ phpize
$ ./configure
$ make
$ sudo make install
Para usar suhosin , você também precisa adicionar /etc/php.ini, conforme mostrado abaixo:
extension=suhosin.so
Para a maioria das pessoas, as opções de configuração padrão são suficientes. Para fortalecer as configurações, você pode adicionar os valores correspondentes em /etc/php.ini. As diversas opções de configuração são apresentadas detalhadamente no site. Estas instruções podem ajudá-lo na configuração inicial.
Usando Suhosin, você pode obter alguns logs de erros. Você pode colocar esses logs no log do sistema ou gravá-los em qualquer outro arquivo de log ao mesmo tempo; solicitações, uploads de arquivos e cookies. Você também pode enviar sessões criptografadas e cookies, configurar armazenamento que não pode ser enviado e muito mais. Ao contrário do patch de proteção PHP original, Suhosin é compatível com extensões de terceiros como Zend Optimizer.