Webserver: mögliche Schwachstellen in der php.ini
Beim Betrieb von Webapplikationen ist aufgrund der vielfältigen Angriffsvektoren stets Vorsicht geboten. Diesbezüglich ist mir beim Ausloten von Möglichkeiten letztlich das Skript php-reverse-shell über den Weg gelaufen. Das hat mich daran erinnert, dass es unter vielen anderen ein paar besondere Ecken gibt, auf die man beim Setup eines Webservers und der php.ini achten sollte.
Grundsätzlich gilt, dass "gefährliche" PHP-Funktionen wie proc_open mittels disable_functions deaktiviert gehören. Einschalten kann man sie, wenn sie von der jeweiligen Applikation gebraucht werden. Bevor ich alles wiederhole, was andere schlaue Leute bereits geschrieben haben, verweise ich einfach mal auf den Artikel Serverfrieden bei heise Security. Der deckt meines Erachtens einiges ab. Auch die iX hat 2006 im Artikel PHP-Sicherheit: Vorsicht vor popen() und proc_open() vor dieser Art Sicherheitslücken gewarnt.
Bitte prüft Euer Serversetup, bevor jemand ein böses Skript hochlädt und eine Reverse-Shell aufmacht. 
Kommentare