Apache モジュールとしてインストール

PHP が Apache モジュールとして使用された場合、PHP は、Apache ユーザーの許可属性(通常はユーザー "nobody" の許可属性)を継承します。これは、セキュリティと認証に数々の影響を与えます。例えば、データベースと接続するためにPHPを使用している場合、データベースが組込みのアクセス制御機能を有していない限り、そのデータベースを "nobody"ユーザからアクセス可能とする必要が生じます。これは、悪意のあるスクリプトが、ユーザー名とパスワードなしにデータベースにアクセスし、修正することができることを意味します。Webスパイダがデータベース管理用Webページを回って、データベースを全て削除することも可能です。Apache認証によりこの攻撃に対して防衛することが可能であり、また、LDAPや .htaccessファイル等を使用して固有のアクセスモデルを設計し、PHPスクリプトの一部としてそのコードを読み込むことも可能です。

しばしば、PHPユーザー(この場合はApacheユーザー)が非常に小さなリスクを有する場所に一度セキュリティが確立されると、PHPはユーザーディレクトリにウイルスファイルを書き込んだりすることができなくなります。もしくは、データベースにアクセスしたり変更したりといったことが出来なくなります。この場合、良いファイルおよび悪いファイルの書き込み、または、良いデータベーストランザクションと悪いデータベーストランザクションに関して等しく安全性が確保されていると言えます。

この観点からしばしば行われるセキュリティ上の失敗としてApacheにルート権限を与えたり、他の何らかの手段でApacheの権限を昇格させるというものがあります。

Apacheユーザーの権限をルートに昇格させることは非常に危険であり、システム全体を危険にさらす可能性があります。よって、sudoやchrootの実行、ルート権限で実行を行う他の手段は、セキュリティに精通した人以外は、考慮するべきではありません。

いくつかのより簡単な解決策があります。open_basedir を使用することにより、PHPに使用を許可するディレクトリを制御したり制限したりすることが可能です。また、全てのWebベースの作業をユーザーファイル、システムファイル以外のファイルに制限するために、Apache専用エリアを設定することも可能です。

Improve This Page

Learn How To Improve This Page • Submit a Pull Request • Report a Bug

＋add a note

User Contributed Notes 5 notes

down

bk 2 at me dot com ¶

12 years ago

doc_root already limits apache/php script folder locations.

open_basedir is better used to restrict script access to folders
which do NOT contain scripts. Can be a sub-folder of doc_root as in php doc example doc_root/tmp, but better yet in a separate folder tree, like ~user/open_basedir_root/. Harmful scripts could modify other scripts if doc_root (or include_path) and open_basedir overlap.
If apache/php can't browse scripts in open_basedir, even if malicious scripts uploaded more bad scripts there, they won't be browse-able (executable). 

One should also note that the many shell execute functions are effectively a way to bypass open_basedir limits, and such functions should be disabled if security demands strict folder access control. Harmful scripts can do the unix/windows version of "delete */*/*/*" if allowed to execute native os shell commands via those functions. OS Shell commands could similarly bypass redirect restrictions and upload file restrictions by just brute force copying files into the doc_root tree. It would be nice if they could be disabled as a group or class of functions, but it is still possible to disable them one by one if needed for security.

PS. currently there is a bug whereby the documented setting of open_basedir to docroot/tmp will not work if any include or require statements are done. Right now include will fail if the included php file is not in BOTH the open_basedir tree and the doc_root+include_path trees. Which is the opposite of safe.
This means by any included php file must be in open_basedir, so is vulnerable to harmful scripts and php viruses like Injektor.

down

daniel dot eckl at gmx dot de ¶

21 years ago

There is a better solution than starting every virtual host in a seperate instance, which is wasting ressources.

You can set open_basedir dynamically for every virtual host you have, so every PHP script on a virtual host is jailed to its document root.

Example:
<VirtualHost www.example.com>
  ServerName www.example.com
  DocumentRoot /www-home/example.com
[...]
  <Location />
    php_admin_value open_basedir     \ "/www-home/example.com/:/usr/lib/php/"
  </Location>
</VirtualHost>

If you set safe_mode on, then the script can only use binaries in given directories (make a special dir only with the binaries your customers may use).

Now no user of a virtual host can read/write/modify the data of another user on your machine.

Windseeker

down

joe ¶

2 years ago

It is not useful for ordinary users to have a debate about the lack of security in using PHP without clearly listing step by step methods of resolving the issue. Such methods should be authoritatively provided by PHP and not as a user's opinion, later debated by another user.

It is not that I am opposed to debate. This is how we learn as an open-source community.  However, us mere mortals need the gods of PHP to come to conclusions and give us best practices.

down

-4

Vikanich ¶

15 years ago

Big thanks to "daniel dot eckl at gmx dot de" but i have to change his config, because it doesn't work (may be wrong syntax).
I have add only this string to VirtualHost config and it works.
php_admin_value open_basedir  /www/site1/
Now all php scripts are locked in the directory.

down

-22

Kibab ¶

18 years ago

I'm running Windows version of Apache with php as module. System is Windows XP Service Pack 2 on NTFS filesystem. To avoid potential security problems, I've set Apache to run under NT AUTHORITY\Network Service account, and there is only one directory, named Content, with Full Access for this account. Other directories are either not accessible at all or with readonly permissions (like %systemroot%)... So, even if Apache will be broken, nothing would happen to entire system, because that account doesn't have admin privilegies :)

＋add a note