PHP (97) - bezpečnost ještě jednou
Jak lze bezpečně pracovat se soubory, databázemi a hesly. Také se dozvíte, jak spolu souvisí PHP a kočka domácí.
28.1.2005 15:00 |
Petr Zajíc
| Články autora
| přečteno 32848×
Dnes se podíváme na konkrétní záležitosti kolem PHP, které se týkají
zabezpečení a které se více či méně dají ovlivnit programátorsky.
Protože jsme se některých těchto témat již na různých místech seriálu
dotkli, budou zde rovněž
odkazy do předchozích článků.
Bezpečnost souborů
Jelikož je PHP většinou provozováno na serveru s kvalitně
nastavenými právy k souborům, není toto téma tak palčivé, jak by mohlo
být. To však neznamená, že byste mu neměli věnovat pozornost! Čas od
času bývá potřeba pomocí PHP přečíst, odstranit nebo změnit soubor
operačního systému hostitelského počítače. V takovém případě musíte být
opatrní, aby skript pro modifikaci dělal
skutečně to, co má, a aby
dělal jen to, co má. Mějme
například následující skript pro vypsání
obsahu souboru do prohlížeče:
$soubor=fopen($_GET["file"], "r");
$obsah=fread($soubor, 50000);
echo "<pre>".$obsah."</pre>";
fclose ($soubor);
Tento skript je potenciálně velmi nebezpečný, protože vůbec
neověřuje, co se vlastně pokoušíme vypsat. Takže namísto nevinného
volání ve stylu
http://127.0.0.1/source.php?file=[název
souboru]
by útočník mohl napsat něco jako:
http://127.0.0.1/source.php?file=/etc/passwd
Způsobů, jak tomu zabránit je několik. Programátor by nikdy neměl
dát případnému útočníkovi do ruky takovouto zbraň, proto můžeme
dejme tomu omezit možnost vypsání souborů na soubory ve stejné složce,
jakou má obslužný skript:
if (eregi("[\/~]", $_GET["file"])) die();
$soubor=fopen($_GET["file"], "r");
$obsah=fread($soubor, 50000);
echo "<pre>".$obsah."</pre>";
fclose ($soubor);
Můžeme rovněž kontrolovat příponu souboru, který se má zobrazovat,
jeho práva, velikost, typ a podobně. Rovněž je žádoucí veškeré případné
změny v souborech (jako je tvorba souborů, změna obsahu nebo mazání)
protokolovat.
Bezpečnost databází
Jednotlivé databáze mají své bezpečnostní mechanizmy. K tomu patří
ověřování uživatelů, práva k tabulkám a procedurám a podobné věci. O
bezpečnosti databáze MySQL jsme v tomto seriálu již mluvili.
Obecně je téma "PHP, databáze a bezpečnost" velmi široké, takže si
nejprve pojďme říci, co všechno tím můžeme mínit. Může se jednat o:
- zabezpečení dat v databázi proti zneužití
- zabezpečování přihlašovacích informací
- zabezpečení komunikace mezi PHP a MySQL
- zabezpečení dotazů proti SQL-injection
- a další...
V současné době, která by se dala označit jako věk databází
pochopitelně význam uvedených faktorů vzrůstá. Skutečnost je taková, že
100% zabezpečení internetové databáze není možné, a proto bude třeba
zvážit, jaké informace se v databázích na internetu mají uchovávat.
Znám skutečně společnosti, které ze svých internetových databází
pravidelně "odčerpávají" data do lokálních, lépe ochránitelných systémů.
Tak například pokud internetová stránka obsahuje nějaké připojovací
údaje k databázi, prakticky vždy jsou tyto údaje uloženy v PHP
skriptech. Pokud by útočník zjistil tyto údaje za skriptu, mohl by se
zcela jednoduše připojit k databázi. Proti tomu neexistuje spolehlivá
ochrana - snad jen uložit připojovací informace do konfiguračních
souborů webového serveru (Apache to umožňuje).
SQL injection je technika, která útočníkovi umožní "vpašovat" do
příkazu SQL pro databázi kód, který tam původně nebyl. Řešením je NIKDY
nepoužívat uživatelem zadaná data jako přímou součást databázových
operací. Namísto toho je velmi žádoucí všechna data ověřit, pospojovat
a odeslat do databáze až v momentě, kdy máme jistotu, že nemohou
obsahovat něco, co jsme nečekali. Můžeme tedy testovat, zda celé číslo
je opravdu celé, zda datum představuje platné datum a zda jsme všechny
potenciálně nebezpečné znaky řádně oescapovali.
Hesla ve skriptech
Kromě připojovacích údajů do databáze může obsahovat skript celou
řadu dalších citlivých údajů. Můžeme mít například následující fragment
kódu:
if ($password=='administrátorské heslo') $admin=TRUE; else $admin=FALSE;
if ($admin)
{
//atd...
}
Tento kód sám o sobě samozřejmě žádný problém nepředstavuje;
nepříjemné však je to, že kdokoli si skript přečte, bude naše heslo
znát (může se jednat třeba o správce webu). Přitom bychom nemuseli
porovnávat samotné heslo, ale jeho hash:
if (md5($password)=='9075965146cba1da21ed431d8c9c15b5') $admin=TRUE; else $admin=FALSE;
if ($admin)
{
//atd...
}
Protože je funkce md5() jednosměrná, neexistuje žádný způsob, jak z
ní vyluštit původní heslo a je tedy dobrou ochranou před nenechavými
zraky.
Data od uživatelů
Jakákoli data od uživatelů je třeba kontrolovat, kontrolovat a
kontrolovat. Byla tom řeč průběžně, například v díle o formulářích,
nebo v díle o zpracování
prvků TEXTAREA na cvičném portálu. Uvědomme si, že chybná data
mohou přijít z nejrůznějších důvodů - může se jednat o omyl, útok na
webové stránky, nebo o kočku domácí líně se rozvalující na klávesnici
zapnutého PC.
Pozn.: Ten poslední příklad byl z manuálu
o PHP! Ověřoval jsem to
experimentálně na svém řádně medializovaném domácím mazlíčku (obrázek
z dílu o ukládání
binárních dat do databází) a bylo zjištěno toto: Naše Líza se při
rozvalování na klávesnici nepokouší rozbít bezpečnostní model PHP, ale
klávesnici samotnou. Jde přitom o tzv. brute-force attack (útok hrubou
silou), při němž se útočník pokouší přežvýkat přívodní kabel ke
klávesnici. Jak ta mrcha rozpozdá datový kabel od napěťového, to
skutečně nevím.
Register globals
Jak a proč zakázat registraci globálních proměnných jsme již
probírali v díle o nastavení PHP.
Ne snad, že by zapnutí či vypnutí této volby udělalo z PHP bezpečnou
aplikaci, ale je dobré vědět jak celý mechanismus funguje a jaké je s
tím spojeno nebezpečí.
Závěr
Nedotkli jsme se všech aspektů zabezpečení PHP. Jak si můžete
přečíst v nabídkách kurzů,
které Linuxsoft pořádá, je nastavení PHP na serveru rovněž jedním z
témat, která se přednášejí. Psaní bezpečných aplikací v PHP je vždy
balancování na ostří nože - mezi použitelností a zabezpečením. Je to
hledání kompromisu - stejně jako v mnoha jiných oblastech programování.
A to je na tom to hezké, ne?
Verze pro tisk
|
Příspívat do diskuze mohou pouze registrovaní uživatelé.
|
|

Vyhledávání software

Vyhledávání článků
28.11.2018 23:56 /František Kučera Prosincový sraz spolku OpenAlt se koná ve středu 5.12.2018 od 16:00 na adrese Zikova 1903/4, Praha 6. Tentokrát navštívíme organizaci CESNET. Na programu jsou dvě přednášky: Distribuované úložiště Ceph (Michal Strnad) a Plně šifrovaný disk na moderním systému (Ondřej Caletka). Následně se přesuneme do některé z nedalekých restaurací, kde budeme pokračovat v diskusi.
Komentářů: 1
12.11.2018 21:28 /Redakce Linuxsoft.cz 22. listopadu 2018 se koná v Praze na Karlově náměstí již pátý ročník konference s tématem Datová centra pro business, která nabídne odpovědi na aktuální a často řešené otázky: Jaké jsou aktuální trendy v oblasti datových center a jak je optimálně využít pro vlastní prospěch? Jak si zajistit odpovídající služby datových center? Podle jakých kritérií vybírat dodavatele služeb? Jak volit vhodné součásti infrastruktury při budování či rozšiřování vlastního datového centra? Jak efektivně datové centrum spravovat? Jak co nejlépe eliminovat možná rizika? apod. Příznivci LinuxSoftu mohou při registraci uplatnit kód LIN350, který jim přinese zvýhodněné vstupné s 50% slevou.
Přidat komentář
6.11.2018 2:04 /František Kučera Říjnový pražský sraz spolku OpenAlt se koná v listopadu – již tento čtvrtek – 8. 11. 2018 od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5). Tentokrát bez oficiální přednášky, ale zato s dobrým jídlem a pivem – volná diskuse na téma umění a technologie, IoT, CNC, svobodný software, hardware a další hračky.
Přidat komentář
4.10.2018 21:30 /Ondřej Čečák LinuxDays 2018 již tento víkend, registrace je otevřená.
Přidat komentář
18.9.2018 23:30 /František Kučera Zářijový pražský sraz spolku OpenAlt se koná již tento čtvrtek – 20. 9. 2018 od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5). Tentokrát bez oficiální přednášky, ale zato s dobrým jídlem a pivem – volná diskuse na téma IoT, CNC, svobodný software, hardware a další hračky.
Přidat komentář
9.9.2018 14:15 /Redakce Linuxsoft.cz 20.9.2018 proběhne v pražském Kongresovém centru Vavruška konference Mobilní řešení pro business.
Návštěvníci si vyslechnou mimo jiné přednášky na témata: Nejdůležitější aktuální trendy v oblasti mobilních technologií, správa a zabezpečení mobilních zařízení ve firmách, jak mobilně přistupovat k informačnímu systému firmy, kdy se vyplatí používat odolná mobilní zařízení nebo jak zabezpečit mobilní komunikaci.
Přidat komentář
12.8.2018 16:58 /František Kučera Srpnový pražský sraz spolku OpenAlt se koná ve čtvrtek – 16. 8. 2018 od 19:00 v Kavárně Ideál (Sázavská 30, Praha), kde máme rezervovaný salonek. Tentokrát jsou tématem srazu databáze prezentaci svého projektu si pro nás připravil Standa Dzik. Dále bude prostor, abychom probrali nápady na využití IoT a sítě The Things Network, případně další témata.
Přidat komentář
16.7.2018 1:05 /František Kučera Červencový pražský sraz spolku OpenAlt se koná již tento čtvrtek – 19. 7. 2018 od 18:00 v Kavárně Ideál (Sázavská 30, Praha), kde máme rezervovaný salonek. Tentokrát bude přednáška na téma: automatizační nástroj Ansible, kterou si připravil Martin Vicián.
Přidat komentář
Více ...
Přidat zprávičku
 Poslední diskuze
31.7.2023 14:13 /
Linda Graham iPhone Services
30.11.2022 9:32 /
Kyle McDermott Hosting download unavailable
13.12.2018 10:57 /
Jan Mareš Re: zavináč
2.12.2018 23:56 /
František Kučera Sraz
5.10.2018 17:12 /
Jakub Kuljovsky Re: Jaký kurz a software by jste doporučili pro začínajcího kodéra?
Více ...
|