Vlourido en 17:14 18 jul 2013

2013-07-18T17:14:50Z

Página nueva

== Configuración segura de PHP ==

Na configuración de PHP temos algunhas directivas que nos permiten restrinxir certas características da linguaxe para aumentar a súa seguridade:

=== Deshabilitar funcións e clases ===

As directivas '''[http://www.php.net/manual/en/ini.core.php#ini.disable-functions disable_functions]''' e '''[http://www.php.net/manual/en/ini.core.php#ini.disable-classes disable_clases]''' permiten deshabilitar funcións que consideremos que poderían supor un risco de seguridade.

'''disable_functions''' recibe como parámetro unha lista separada por comas cos nomes das funcións a deshabilitar. Por exemplo:

<source lang="php">
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source
</source>

'''disable_classes''' é similar, pero recibe como parámetro unha lista de nomes de clases.

=== Restrinxir a execución de código remoto ===

Un potencial risco de seguridade é a execución no noso servidor de código remoto. Isto podería facerse empregando include, include_once, require ou require_once indicando como destino unha URL. Pódese desahabilitar a utilización de URLs nas sentenzas anteriores empregando a directiva '''[http://www.php.net/manual/es/filesystem.configuration.php#ini.allow-url-include allow_url_include]''' (xa ven deshabilitado na configuración por defecto de PHP).

<source lang="php">
allow_url_include = Off
</source>

Outra posibilidade é empregar '''fopen''' pasando como parámetro unha URL para abrir un recurso externo. A directiva '''[http://www.php.net/manual/es/filesystem.configuration.php#ini.allow-url-fopen allow_url_fopen]''' desactiva a utilización de envolturas de tipo URL, como <nowiki>http:// ou ftp://</nowiki>, o que afecta tamén ao comportamento das sentenzas include, include_once, require e require_once (ven habilitado na configuración por defecto de PHP).

<source lang="php">
allow_url_fopen = Off
</source>

=== Minimizar a información dispoñible aos usuarios ===

No apartado de [[Curso POO PHP Xestión de erros|xestión de erros]] xa se viron duas directivas de configuración que afectan á información que reciben os usuarios cando se produce algún tipo de erro na execución dos scripts: '''[http://www.php.net/manual/es/function.error-reporting.php error_reporting]''' e '''[http://www.php.net/manual/es/errorfunc.configuration.php#ini.display-errors display_errors]'''.

Ademáis existe outra directiva, '''[http://www.php.net/manual/es/ini.core.php#ini.expose-php expose_php]''', que convén axustar para evitar dar publicidade ao feito de que PHP se atopa instalado no servidor.

<source lang="php">
error_reporting = E_ALL & ~E_DEPRECATED & ~E_STRICT
display_errors = Off
expose_php = Off
</source>

=== Control de recursos ===

É unha boa práctica limitar os recursos que consumen os nosos scripts, pensando en evitar posibles ataques de denegación de servizo (DOS) ou as consecuencias non desexadas de fallos na programación. En PHP podemos empregar, entre outras, as seguintes directivas:

* '''[http://www.php.net/manual/es/info.configuration.php#ini.max-execution-time max_execution_time]'''. Tempo máximo en segundos que pode estar executándose un script.
* '''[http://www.php.net/manual/es/info.configuration.php#ini.max-input-time max_input_time]'''. Tempo máximo en segundos que o script pode estar analizando os datos recibidos, como os que proveñen dos formularios.
* '''[http://www.php.net/manual/es/ini.core.php#ini.memory-limit memory_limit]'''. Límite de memoria en bytes que pode consumir un script.

<source lang="php">
max_execution_time = 30
max_input_time = 60
memory_limit = 128M
</source>

=== Control do acceso ao sistema de ficheiros ===

Tamén é posible limitar as rutas ás que pode acceder PHP para ler ou escribir ficheiros. Faise definindo a directiva '''[http://www.php.net/manual/es/ini.core.php#ini.open-basedir open_basedir]'''. O seu valor é unha cadea de texto coas rutas ás que se permite o acceso (separadas unha da outra polo caracter ":", ou por ";" en sistemas Windows).

<source lang="php">
open_basedir = "/xampp/php/tmp;/xampp/htdocs/execicios"
</source>

=== Subida de ficheiros ===

Por defecto PHP permite que se empregue HTTP para subir ficheiros ao servidor. Se non imos a empregar esta característica nos nosos scripts, convén desactivala mediante a directiva '''[http://www.php.net/manual/es/ini.core.php#ini.file-uploads file_uploads]'''. Outras directivas como '''[http://www.php.net/manual/es/ini.core.php#ini.upload-max-filesize upload_max_filesize]''' ou '''[http://www.php.net/manual/es/ini.core.php#ini.max-file-uploads max_file_uploads]''' permiten por límites ás subidas de ficheiros no caso de que estean permitidas.

Para desactivar as subidas de ficheiros:

<source lang="php">
file_uploads = Off
</source>

Para activalas con certos límites:

<source lang="php">
file_uploads = On
upload_max_filesize = 2M
max_file_uploads = 5
</source>

Tamén é posible definir coa directiva '''[http://www.php.net/manual/es/ini.core.php#ini.post-max-size post_max_size]''' a cantidade máxima de datos a enviar nunha mensaxe POST de HTTP.

<source lang="php">
post_max_size = 2M
</source>

=== Características de seguridade obsoletas ===

* '''Modo seguro'''. Nas versións de PHP anteriores á 5.4, existía unha directiva de configuración chamada '''[http://docs.php.net/manual/es/features.safe-mode.php safe_mode]''', que limitaba a utilización de algunhas funcións da linguaxe consideradas potencialmente inseguras. Esta directiva pasou a considerarse obsoleta en PHP5.3, desaparecendo na seguinte versión, 5.4. A súa utilización hoxe en día xera un erro fatal na execución do código.
* '''Comiñas máxicas'''. Tamén ata a versión PHP5.4 estivo activa a directiva '''[http://www.php.net/manual/es/security.magicquotes.php magic_quotes]''', que cando estaba habilitado limpiaba de forma automática os datos de entrada que recollían os formularios dos scripts.
* '''Variables globais automáticas''' . E nesa mesma versión de PHP, a 5.4, eliminouse tamén definitivamente da configuración, por razóns de seguridade, a directiva '''[http://www.php.net/manual/es/security.globals.php register_globals]''', que introducía nos scripts como variables globais todo tipo de información, como as variables que se obteñen dos formularios.

--[[Usuario:Vlourido|Víctor Lourido]] 14:24 18 jul 2013 (CEST)

Curso POO PHP Configuración segura de PHP - Historial de revisiones

Vlourido en 17:14 18 jul 2013