suhosin ၏အဆုံး; နောက်ထပ်ဘာလဲ?

နှစ်ပေါင်းများစွာ, စိတ်အားထက်သန်စွာ သုံးခဲ့တယ်။ Suhos SQL injection နှင့် အခြားသော ဘုံဝဘ်တိုက်ခိုက်မှုများကို ခုခံကာကွယ်ရန်အတွက် Apache2 သို့မဟုတ် PHP-FPM Nginx webservers များတွင် PHP5 ၏ မည်သည့်အကောင်အထည်ဖော်မှုဖြင့်မဆို၊. တကယ်တော့, PHPH5 သည်အလွန်ဆိုးရှားလှသည်, နှစ် ဦး စလုံး၎င်း၏အဓိကလုံခြုံရေး၏စည်းကမ်းချက်များ၌, Suhosin ပံ့ပိုးပေးသော သိသာထင်ရှားသော မာကျောမှုမရှိဘဲ ၎င်းကို ကျွန်ုပ်ဘယ်သောအခါမှ အသုံးပြု၍မရနိုင်သော ၎င်း၏လုပ်ဆောင်ချက်များနှင့် သင်ခန်းစာများ.

PHP5 ကို တန်ဖိုးလျှော့ထားသောကြောင့် ကျွန်ုပ်၏ အမွေအနှစ် ပရိုဂရမ်များ အားလုံး မရှိတော့ပါ။, PHP7 ၏အကောင်အထည်ဖော်မှုများစွာနှင့်ကျွန်ုပ်တွင်ရရှိနိုင်သော Suhosin ဖာထေးမှုများမရှိပါ။.

သို့ပေမယ့်, PHP တွင် Suhosin ထည့်ရန် နည်းပညာအရ ဖြစ်နိုင်သေးသည်။ 7.0 နှင့် 7.1 (pre-alpha - ထုတ်လုပ်ရန်အတွက်မဟုတ်ပါ။), ပရောဂျက်က ကြာရှည်သွားပြီဖြစ်ပြီး PHP7 က အဲဒါကို သက်သေပြထားပြီးသားလို့ ပြောရတာ မျှတပါတယ်။ ဒုက္ခဖြစ်နိုင်သည်။ ၎င်းသည်၎င်း၏ရှေ့တော်၌ဖြစ်သကဲ့သို့. PHP7 ၏ WAF နှင့် core security ၏ နောက်ထပ်အသစ်တစ်ခုကို စဉ်းစားနေပါသည်။, ဒါတွေက ကျွန်တော် ပါလာတဲ့ ဖြေရှင်းချက်တစ်ချို့ပါ။:

မကောင်းသော သို့မဟုတ် မလိုအပ်သော လုပ်ဆောင်ချက်များကို ပိတ်ခြင်း။

PHP တွင် အန္တရာယ်ဖြစ်နိုင်ချေရှိပြီး 'php.ini' တွင် ပုံမှန်အားဖြင့် ပိတ်ထားသင့်သည့် အန္တရာယ်ရှိသော လုပ်ဆောင်ချက်များ များစွာရှိသည်။. အောက်ပါ command ကိုအသုံးပြု၍ config ဖိုင်ကိုသင်ရှာတွေ့နိုင်ပြီး vi သို့မဟုတ် nano မှတဆင့်လုပ်ဆောင်ချက်များကိုပိတ်နိုင်သည်။.

php -i | grep "php.ini"

ကျေးဇူးပြုပြီးမှတ်သားထားပါ: အကယ်၍ သင်သည် PHP ၏ ဗားရှင်းအမျိုးမျိုးကို တစ်ပြိုင်နက် လုပ်ဆောင်နေပါက သို့မဟုတ် ပရိုဂရမ်ကို အခြားသော ပြင်ပအပလီကေးရှင်း၏ တစ်စိတ်တစ်ပိုင်းအဖြစ် ထည့်သွင်းပါက၊, ထို့နောက် သင့်တွင် 'php.ini' အများအပြားကို ထည့်သွင်းထားခြင်းကြောင့် ဖြစ်နိုင်ခြေများပြီး မည်သည့်အရာကို ဝဘ်ဆာဗာမှ တင်ထားသည်ကို မရှင်းလင်းပါ။. သင်သည် မှန်ကန်သောဗားရှင်းကို တည်းဖြတ်နေကြောင်း သေချာပါစေ။ (php -v).

'php.ini' ဖိုင်၏အဆုံးတွင်အောက်ပါစာကြောင်းကိုထည့်ပါ။, ဖိုင်ကို သိမ်းဆည်းထားကြောင်း သေချာပါစေ။, နှင့် webserver ကိုပြန်လည်စတင်ပါ။. ဤ PHP လုပ်ဆောင်ချက်တစ်ခုစီကို သင်လေ့လာနိုင်ပါသည်။ ဒီလိပ်စာမှာ. တိုင်းတာတဲ့ လုပ်ဆောင်ချက်တစ်ခုအနေနဲ့ပါ။, သင့်အက်ပ်လီကေးရှင်းများကို မထိခိုက်စေရန် သေချာစေရန် ၎င်းတို့ကို တစ်ခုပြီးတစ်ခု ပေါင်းထည့်လိုပေမည်။.

disable_functions = popen, eval, leak, exec, shell_exec, curl_exec, curl_multi_exec, parse_ini_file, mysql_connect, system, phpinfo, escapeshellarg, escapeshellcmd, passthru, symlink, show_source, mail, sendmail, proc_open, proc_nice, proc_terminate, proc_get_status, proc_close, pfsockopen, posix_kill, posix_mkfifo, posix_setpgid, posix_setsid, posix_setuid

Globals နှင့် Base64 မှတ်ပုံတင်ခြင်းကို ပိတ်ခြင်း

Register Global သည် သင့်ကုဒ်အတွင်းရှိ ကိန်းသေအဖြစ် URL သို့ ထည့်သွင်းရန် ခင်းကျင်းမှုများကို PHP မှ လုပ်ဆောင်ပေးသည့် လုပ်ဆောင်ချက်တစ်ခုဖြစ်သည်။. ထို့ကြောင့်, HTTP GET သို့မဟုတ် POST တောင်းဆိုမှုများကို အသုံးပြု၍ အန္တရာယ်ရှိသော array များကိုဖြတ်သန်းနိုင်သူသည် တိုက်ခိုက်သူမှ အားနည်းချက်ရှိသောကုဒ်ကို အသုံးချနိုင်သည်.

'php.ini' ၏အဆုံးတွင် အောက်ပါစာကြောင်းကို ထည့်ခြင်းဖြင့် Globals များကို မှတ်ပုံတင်ခြင်းဖြင့် အလွယ်တကူ ပိတ်နိုင်သည်. ပြောင်းလဲမှုများကို လုပ်ဆောင်ရန် ဝဘ်ဆာဗာကို ပြန်လည်စတင်ရန် မမေ့ပါနှင့်.

register_globals = Off

Register Globals ကဲ့သို့ပင်, Base64 သည် အန္တရာယ်ရှိသော တံခါးများအတွင်းသို့ တံခါးဖွင့်ပေးလေ့ရှိသော မလိုအပ်သော အင်္ဂါရပ်တစ်ခုဖြစ်သည်။. 'php.ini' ၏အဆုံးတွင် အောက်ပါစာကြောင်းကို ထည့်ခြင်းဖြင့် Base64 ဒီကုဒ်ဒါကို အပြီးတိုင်ပိတ်နိုင်သည်.

base64_decode = Off