nicht angemeldet
Hoster sicher mit safe_mode off?
Hallo,
ist ein shared Hosting mit safe_mode off eigentlich heutzutage, also mit aktuellem php, sicher? Ich habe gelesen dass safe_mode eigentlich deprecated ist und frage mich jetzt was das bei aktuellem php bedeutet. Ich habe dazu auch nichts eindeutiges mit google gefunden.
Das Problem von safe_mode off soll ja sein dass jeder andere Mitmieter auf dem Server sich Zugriff auf alle anderen Dateien in den anderen Webs verschaffen kann. Damit dann wohl auch auf die Datenbanken, weil ja irgendwo die Zugangsdaten gespeichert sind usw.
Wenn das aber mit einer aktuellen php-Version kein Problem ist was muss man dann beim programmieren beachten?
Dann habe ich noch gelesen das selbst bei aktiviertem safemode ein hacker einfach auf perl und andere Sachen umsteigen könnte. Bei den meisten Hostern kann man sowas ja zubuchen gegen Aufpreis. Deswegen frage ich mich ob es überhaupt sichere vps gibt.
Wie sicher ist hostgator?
Danke!
Sebastian
-
Hi,
ist ein shared Hosting mit safe_mode off eigentlich heutzutage, also mit aktuellem php, sicher?
Ganz einfache Antwort: Kommt drauf an.
Das Problem von safe_mode off soll ja sein dass jeder andere Mitmieter auf dem Server sich Zugriff auf alle anderen Dateien in den anderen Webs verschaffen kann.
Das hängt von vielen Faktoren ab, u.a. auch davon, wie PHP im Webserver eingebunden bzw. von diesem aufgerufen wird.
Das kann man, entsprechende Ahnung vorausgesetzt, durchaus auch ohne die Krücke safe_mode sicher gestalten. Wobei "auch" eigentlich Quatsch ist, denn ohne Verlass auf den safe_mode, dafür aber mit passender Konfiguration drumherum - eigene Nutzeraccounts, unter denen dann PHP und ggf. sogar der Webserver laufen - ist ein besseres Maß an Sicherheit zu erreichen, als durch die Notlösung, die der safe_mode eigentlich von Anfang an war.
Wie sicher ist hostgator?
Frag beim Anbieter nach, wie er das geregelt hat. Wenn dort Leute sitzen, die sich mit der Materie auskennen, sollten die auch gut in der Lage sein, dir eine verständliche Antwort zu liefern.
MfG ChrisB
--
RGB is totally confusing - I mean, at least #C0FFEE should be brown, right? -
Hello,
ist ein shared Hosting mit safe_mode off eigentlich heutzutage, also mit aktuellem php, sicher? Ich habe gelesen dass safe_mode eigentlich deprecated ist und frage mich jetzt was das bei aktuellem php bedeutet. Ich habe dazu auch nichts eindeutiges mit google gefunden.
Das Problem von safe_mode off soll ja sein dass jeder andere Mitmieter auf dem Server sich Zugriff auf alle anderen Dateien in den anderen Webs verschaffen kann. Damit dann wohl auch auf die Datenbanken, weil ja irgendwo die Zugangsdaten gespeichert sind usw.
Der Safe-Mode wird leider immer auf sein Problem reduziert. Das liegt ja im Umgang mit Dateien auch innerhalb des eigenen Accounts, wenn der Owner des Scriptes nicht identisch ist mit dem Owner des Verzeichnisses oder der Datei, auf das/die das Script zugreifen soll.
Viel wichtiger waren aber die ganzen Abschaltungen von Funktionen, die durch den Safe-Mode mit einem Schalter vorgenommen wurden. Das waren insbesondere alle Shell-Funktioen, also exec() & Co.
Die Einschränkung des Zugriffes auf das Dateisystem mittels PHP-Funktionen kann/muss man mit der Einstellung von open_basedir regeln. Bei richtig konfigurierten Pfaden für alle User des Interpreters weigern sich dann die PHP-Datei- und Verzeichnisfunktionen auf Ziele außerhalb des jeweils konfigurierten Bereiches zuzugreifen.
Heute wird aber kaum noch ein Hoster, der seine Plant neu aufbaut, auf einen virtual Server pro Account verzichten. Mit einem virtual Server wird das gesamte System "eingesperrt". Es kann sogar jeder vServer mit einem anderen OS laufen.
Diejenigen, die diese Möglichkeit nicht nutzen, verwenden dann PHP als CGI oder Fast-CGI in einer Change-Root-Umgebung. Damit haben sie die Probleme aber immer noch beim SSH-Zugang oder ggf. auch bei FTP. Die CHRoot-Umgebung kann man meistens noch angreifen, wenn man Konsolenzugang hat. Irgendwelche Löcher lassen sich da immer bohren.
PHP als Modul kann man im Sinne deiner Frage nur sicher bekommen, wenn man alle Shellfunktionen abschaltet.
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
-
Das heißt solange der Hoster sich nicht auskennt und alles sicher eingestellt hat kann man als VPS-Mieter die Sicherheit auch nicht selbst gewährleisten mit aktuellstem PHP. Oder geht das irgendwie mit Verzeichnisrechten?
Grüße!
Sebastian-
Das heißt solange der Hoster sich nicht auskennt und alles sicher eingestellt hat kann man als VPS-Mieter die Sicherheit auch nicht selbst gewährleisten mit aktuellstem PHP. Oder geht das irgendwie mit Verzeichnisrechten?
Du solltest Serversicherheit nicht auf PHP beschränken. Und nein, auf die Serversicherheit hast du mit PHP keinen Einfluss, du kannst nur deine eigenen Scripte so sicher wie möglich halten und musst du auf den Hoster verlassen, wenn du keinen eigenen Server betreiben willst/kannst.
-
Hello,
Das heißt solange der Hoster sich nicht auskennt und alles sicher eingestellt hat kann man als VPS-Mieter die Sicherheit auch nicht selbst gewährleisten mit aktuellstem PHP. Oder geht das irgendwie mit Verzeichnisrechten?
Ein virtual Server sollte gegenüber einem anderen virtual Server eigentlich sicher sein. Das sit der Sinn der Sache. Und wenn Du dann auf diesem virtual Hosts einrichtest, für Die Du dann PHP (als Modul) verwendest, dann solltest Du die gegeneinander auch abgrenzen können. Voraussetzung ist dann aber, dass Du alle Shellbefehle ausschaltest, alle Session-, Temporär- und Logverzeichnisse trennst und dies in open_basedir für jeden Virtual Host entsprechend berücksichtigst.
Alle PHP-internen Verzeichnisbefehle halten sich an die Angaben in open_basedir.
Konsolenzugang kannst Du deinen Usern dann nicht gewähren.Wenn Du PHP als CGI/FastCGI einrichtest, gelten wieder andere Regeln. Dort fängst Du mit der Einrichtung einer Ch-Root-Umgebung an. Wenn die funktioniert, können die Bentuzer auch begrenzten Konsolenzugang haben - was aber immer mal wieder zu der Überraschung führt, dass jemand doch eine Möglichkeit findet, aus dem "Jail" auszubrechen.
Die Fehler des Hosters kannst Du aber nicht selber ausbügeln.
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
-
-