15/10/2005, 12:06
|
 | | | Fecha de Ingreso: marzo-2005
Mensajes: 205
Antigüedad: 20 años, 1 mes Puntos: 0 | |
 PHP Seguridad/Hardening
Ya poseo las siguientes funciones deshabiltiadas en mi php.ini de un server cPanel con RHAS 3.
disable_functions = system,system_exec,passthru,shell,shell_exec,exec
Pero pienso que no es suficiente, por lo que he investigado un poco más y he encontrado que las siguientes funciones también son potencialmente inseguras en PHP por lo que combiene deshabilitarlas:
register_globals = off
allow_url_fopen = off
enable_dl = off
expose_php = off
También he encontrado una interesante opción, desde la cual se puede setear un directorio aparte en el sistema para guardar los archivos sess_* que se generan desde Apache cuando uno inicia sesión en cualquier sistema PHP, foros, panel de usuario, etc. Eso puede prevenir que los chicos malos miren el /tmp (donde se guardan generalmente esos archivos) para conseguir privilegios via url de otros visitantes.
Por favor, algunas sugerencias sobre estas opciones de PHP.. son recomendadas ? alguien ha tratado con esto antes ? y lo más importante, que otros métodos/funciones se pueden deshabilitar/crear para crear una seguridad más robusta en nuestros servidores.
Saludos. |