|
|
| |||||||
| Site & Server Administration Server Yönetimi hakkında, .htaccess, Apache configuration ve log analiz, güvenlik |
 |
| | LinkBack | Konu Seçenekleri |
23-07-2007, 02:49:21
| |||
| |||
 php.ini yapılandırılması "disable_functions" (Güvenlik) "disable_functions" ile serverınızda birçok fonksiyonun çalışmasını engelleyebilirsiniz bu sayede sitenize inject edilen scriptler, sheller için güvenliğinizi almış olursunuz. Bu kadar fonksiyon fazla gelebilir ama iyi bir güvenlik için şart. Code: disable_functions = foreach, glob, openbasedir, posix_getpwuid, f_open, system,dl, array_compare, array_user_key_compare, passthru, cat, exec, popen, proc_close, proc_get_status, proc_nice, proc_open, escapeshellcmd, escapeshellarg, show_source, posix_mkfifo, ini_restore, mysql_list_dbs, get_current_user, getmyuid,pconnect, link, symlink, fin, passthruexec, fileread, shell_exec, pcntl_exec, ini_alter, parse_ini_file, leak, apache_child_terminate, chown, posix_kill, posix_setpgid, posix_setsid, posix_setuid, proc_terminate, syslog, allow_url_fopen, fpassthru, execute, shell, curl_exec, chgrp, stream_select, passthru, socket_select, socket_create, socket_create_listen, socket_create_pair, socket_listen, socket_accept, socket_bind, socket_strerror, pcntl_fork, pcntl_signal, pcntl_waitpid, pcntl_wexitstatus, pcntl_wifexited, pcntl_wifsignaled, pcntl_wifstopped, pcntl_wstopsig, pcntl_wtermsig, openlog, apache_get_modules, apache_get_version, apache_getenv, apache_note, apache_setenv, virtual Code: disable_functions = glob, posix_getpwuid, array_compare, array_user_key_compare, ini_restore, exec, proc_get_status, proc_nice, proc_open, allow_url_fopen, fin, pconnect, system, dl, passthruexec, shell_exec, proc_close, proc_get_status, chown, chgrp, escapeshellcmd, escapeshellarg, fileread, passthru, popen,curl_exec, shell, execute Safe Mode Güvenlik "Safe Mode" adından da anlaşılacağı gibi "Güvenli Mod" anlamına geliyor. "Safe Mode" genelde birçok serverda "Off" durumdadır ve bu da birçok tehlikeye davetiye çıkaran unsurlar arasında yer alır. "Güvenli Modu Açık" durumuna getirmek shellerin serverımızda istedikleri gibi dolaşmalarını, exploitlerin çalıştırılmasını ve komutların execute edilmelerini önler. Günümüzde "açık olan güvenlik modunu" kapalı duruma getiren scriptler mevcut fakat altta anlatılan önlemlerle bunun da önüne geçilebilir. Code: safe_mode = on Code: php_flag safe_mode Off php.ini dosyasında bulunan "post" "get" ile gönderilen değerlere kullanıcı adlarıyla ulaşılıp ulaşılamayacağını belirtir. Session, cookie değerlerini kendi adıyla tanımlayarak birer değişken olmasına neden olur. "Off" olarak ayarlanırsa bu gibi değerlere kendi tanımladığı şekilde ulaşılamaz. Code: register_globals = off Code: php_flag register_globals on "allow_url_fopen" default olarak "açık" şeklinde gelir ve bunun "on" açık olması "file_get_contents()", "include()", "require()" fonksiyonlar uzaktaki dosyaları da işlemesine olanak tanır. Bunlara verilen bilgiler hiçbir kontrolden geçirilmezse kritik güvenlik açıklarını sebep olur. (eğer safe mode açıksa ve open basedir aktif ise bunun açık kalmasında hiç bir sorun yok. Kapalı kalması durumunda bir çok script çalışmaz. en basit örnek olarak php nuke çalışmaz.) Code: allow_url_fopen = off Bu seçenek sitenizin çalışmasında oluşacak bir hatayı tarayıcıya yansıtıp yansıtmayacağını belirler yani siteniz için diyelim bir forum veya portal kullanıyorsunuz ve bunların çalışması esnasında genelde "Fatal error: Call to undefined function get_header() in /home/ahmo/public_html/index.php on line 37" şeklinde benzeri hata görülür bunların gözükmesini engellemek için bu değeri kapalı duruma getirmek gerekir zira kötü niyetli kişiler sitenizin serverda bulunan tam yolunu öğrenmiş olurlar. (Eğer safe mod açık ve open basedir aktif ise bunu kapatmanıza gerek yoktur. zira bu tür hatalar ayrıca scriptinde hata neresinde olduğunu gösterdiği için host kullanıcısına sitesini düzenlemesi için büyük kolaylık sağlıyor.) Code: display_errors = Off Bu değer normalde "on" "1" yani açık olarak gelir ve Windows sunucularında IIS, OmniHTTPD gibi buralarda kapatılması gerekir. Kendi sunucunuz için bu durum yoksa değiştirmenize gerek yoktur. Code: cgi.force_redirect = 0 Magic Quotes işlemi GET/POST yöntemiyle gelen Cookie datasını otomatikmen PHP script'e kaçırır. Önerilen bu değerin kapalı olmasıdır. Code: magic_quotes_gpc = off Magic quotes çalışma sürecinde data oluşturur, SQL'den exec()'den, vb. Önerilen: Code: magic_quotes_runtime = Off Sybase-style magic quotes kullanır (Bunun yerine \' ' bununla '' kaçırır) Code: magic_quotes_sybase = Off Bu ayarı dikkatli ayarlayın, kullanıcı emaile aktif oturum ID'si içeren URL gönderebilir kullnıcının güvenliği için bunu kapatıyoruz. Önerilen: Code: session.use_trans_sid = off "expose_php" açık ise kapalı yapılması önerilir. Aksi takdirde PHP ile yaptığınız herşeyde sunucu tarafından PHP sürümü gibi bilgiler gösterilir. Hackerlar hatta Lamerlar bu bilgileri severler (ne boh anlıyorlarsa sanki). Bunları engellemek için "off" konumuna getiriniz. Code: expose_php = Off Bu değerin açık olması durumunda PHP tıklanabilir hata mesajları üretecektir. Kapalı olması güvenlik için önerilir. başında ";" işareti varsa kaldırıyoruz ve değeri kapatıyoruz. Code: html_errors = off Scriptinizi maksimum uygulamayı yürütme zamanı mesela kullanıcı bir linke tıkladı ve bu linkin açılması belirtilen saniyeden fazla olursa sayfa sitenizin serverda bulunduğu tam yolu göstererek hata verir. Bu hataların gözükmesi güvenlik açısından sakıncalıdır. 300 saniye yazan yeri istediğiniz zaman ile değiştirebilirsiniz. bana kalırsa bırakın yolu görsün çok fazla sayfa beklerse extra yğunluk demektir. direk bırakın hata versin. süreyi 30 yapalım. Code: max_execution_time = 30 Scriptinizin aynı şekilde bir dataya ulaşmak için istek yolladığında maksimum geçen zaman 60 yapalım. fazla bile Code: max_input_time = 60 Fonksiyonların çağrılma zamanında yaşanan uyumsuzluklarla ilgili uyarı verir. örneğin ilk belittiğimiz yasak komutlarda hiç bir uyarı vermeden bom boş sayfa çıkarır karşıya. böyle bir durumda scripte bakmaktansa tekrar bunu açık duruma getirirsiniz hatayı gördükten sonra tekrar kapatın fonksiyonu. Code: allow_call_time_pass_reference = off Bu değerin "off" kapalı olması gerekir aksi halde kişilerin sistemde php modüllerinde çalışma yapmasına olanak sağlar ve sistemde rahat dolaşmalarını sağlar güvenlik için kesinlikle kapalı olması gerekir. Code: enable_dl = off Sürücülerde meydana gelen hatalarda yetki verildiği taktirde hata mesajı errormsg olarak değişkende gösterilir. track_errors = Off "file_uploads" (Güvenlik) Eğer sunucda tek site barındırıyorsanız ve o sitede her hangi birşey sunucuya yükletilmiyorsa kapalı kalmasında yarar var. Ama çoklu site barındırıyorsanız. Günümüzdeki tüm siteler artık avatardır, dosya v.s uploat ediyor karar sizin. ben yine kapatın diyeyimde. Code: file_uploads = off Kapalı olursa tekrarlanan hataları loglamaz. ignore_repeated_errors = Off "ignore_repeated_source" (Güvenlik ve Performans) Tekrarlanan mesajlar engellendiğinde, mesaj kaynağını engeller Bu ayar açık yapıldığında hataları loglamayacaktır farklı dosyalardan ya da kaynaklardan tekrarlanan mesajlarla. ignore_repeated_source = Off "display_startup_errors" (Güvenlik ve Performans) "display_errors" değeri "on" açık olsa bile, Php'nin çalışma sırasında meydana gelen hatalar gözükmeyecektir. Bu değerin şiddetle "off" kapalı duruma getirilmesi önerilir. Code: display_startup_errors = off UID - GID kontrollerini sadece UID ile yapmasına izin verir böylece aynı grupta dosyalar bulunsa bile göremezler yani serverda bulunan diğer clientların scriptlerini v.s görmeleri engellenir. Code: safe_mode_gid = Off 4 KB'lik bir tampon çıktısı ayarlar "output buffer" Code: output_buffering = 4096 Kapalı olursa gereksiz ARGV ve ARGC kayıtlarını önler. PHP nin ARGV ve ARGC değişkenlerini bildirip bildirmemesini anlatır. Code: register_argc_argv = Off Bu şekilde ayarlanması URL'deki PHPSESSID bilgilerini kaldırır. seo filan yapanlar için uygun. genlede smf, phpbb forumlarda ve sension koruma uyguladığınız scriptler için PHPSESSID bilgilerini url ye eklemez. başlarında ; işareti varsa kaldırın. Code: session.use_trans_sid = 0 session.use_only_cookies = 1 Oturum başlatmayı başlangıçta isteme session.auto_start = 0 "session.cookie_lifetime" Cookie'nin zaman ayarı session.cookie_lifetime = 0 "memory_limit" Scriptin tükettiği maksimum hafıza miktarı değeri istediğinizgibi verin. 8M çokfazla bir değer. sadece kendi siteniz barınıyorsa bu değer normal. ama host ile uğraşıyorsanız 512K yapmanız daha uygun. Code: memory_limit = 8M PHP'nin kabul edeceği maksimum POST data boyutu. isteğinize bağlı 1 Mb vermek için 1M yazın Code: post_max_size = 256K Upload edilen dosyaların maksimum boyutu buda sizin isteğinize bağlı isterseniz 50M yapın. o zaman kullanıcı 50 Mb'a kadar dosya upload edebilir. Code: upload_max_filesize = 256K (Ortam, GET, POST, Çerez, Sunucu) bunların işlenmedeki sıralarını belirler. variables_order = "EGPCS" Bu kadar ondan sonra ctrl x y diyip kaydediyoruz ve service httpd restart diyoruz. Genelde çoğu fonksiyon zaten böyle dediğim değerdedir. 3-5 tanesi hariç tabi. Yeni başlayan arkadaşlar için anlattımki hangisi ne işe yarar öğrenmiş olsunlar. kaynak: Apache * PHP Ayarları (php.ini,httpd.conf) - WHM cPanel Destek Platformu Konu Netlojik.Net tarafından (23-07-2007 Saat 03:02:41 ) de değiştirilmiştir..  |
|
23-07-2007, 12:02:47
| |||
| |||
| son derece yararlı bilgiler neredeyse php.ini deki çoğu önemli değeri açıklamışsın |
|
24-07-2007, 02:50:14
| ||||
| ||||
| Çok açıklayıcı olmuş.Teşekkürler.
__________________  |
|
26-07-2007, 12:55:07
| |||
| | |||
| Oldukça açıklayıcı olmuş güzel bir yazı. Teşekkürler |
|
27-07-2007, 18:31:25
| |||
| | |||
| harbiden de güzel bi açıklama neredeyse php.ini dosyasında ki tğm komutlar. eminim ihtiyacı olan bi kişi olacaktır 
__________________ [URL="http://www.hostak.net"]s56.org[/URL] | beyazyelken.com | geyikliforum.com satılıktır. |
|
06-05-2008, 03:04:13
| ||||
| ||||
| bu makalenin gerçek kaynagı neresi ben çok yerde gördüm bu forumdan önceki tarihlerde açılmış. kaynak gerçekten güzel ama.
__________________ -Link Satarım , Post Kasarım Ustam ölmüş ben yaparım : ) |
|
28-07-2008, 15:12:34
| |||
| |||
| dosutm ben vbulletin kullanıyorum ve sitede iframe aracılığıyla test.exe bilmemne.exe dosyaları kullanıcılara bulaşıyor. Bunu önlemek için burdkai kodlardan herhangi biri işime yararmı? |
|
28-07-2008, 15:26:43
| |||
| |||
| hepsini eklemende sakınca yok |
|
28-07-2008, 15:35:42
| |||
| |||
| Hocam forumda php.ini dosyası yok. Dosyayı oluşturup tüm bu kodları alt altamı yazcaz. Bu konuda yardımcı olursan çok sevinirim. |
|
| Konuyu Toplam 1 üye okuyor. (0 Kayıtlı üye ve 1 Misafir) | |
| Konu Seçenekleri | |
| |
Okuduğunuz Konuya Benzer Konular | ||||
| Konu | Konuyu Açan | Forum | Cevaplar | Son Mesaj |
| php.ini ulaşamıyorum | Sinan | Site & Server Administration | 10 | 09-05-2007 05:58:54 |
| php.ini lazım! | tosih | Site & Server Administration | 5 | 03-05-2007 13:38:01 |
