PHP absichern: Funktionen mit Sicherheitsrisiko deaktivieren

Warning: This page is a part of an archive now and will be removed in the future.

In der Standardausführung kann PHP durchaus Sicherheitslücken beinhalten bzw. ein Sicherheitsrisiko für den Webserver darstellen. Problematisch sind hier vor allem ganz bestimmte Funktionen.

Sofern man diese Funktionen nicht benötigt, sollte man sich nach Möglichkeit deaktivieren. Folgende Funktionen sind gemeint:
  • escapeshellcmd
  • exec
  • ini_restore
  • passthru
  • popen
  • proc_nice
  • proc_open
  • shell_exec
  • show_source
  • system
PHP selbst bietet in der Konfiguration schon eine Möglichkeit namens disable_functions an, um spezielle Funktionen zu deaktivieren. Hier kann man einfach per Komma getrennt die Liste von Funktionen angeben, die nicht genutzt werden dürfen.

Bei mir sieht dieser Teil der php.ini dann so aus:

Source Code

  1. ; This directive allows you to disable certain functions for security reasons.
  2. ; It receives a comma-delimited list of function names. This directive is
  3. ; *NOT* affected by whether Safe Mode is turned On or Off.
  4. ; http://php.net/disable-functions
  5. disable_functions = escapeshellcmd, exec, ini_restore, passthru, popen, proc_nice, proc_open, shell_exec, show_source, system
Damit wird der Webserver schon einmal etwas sicherer. ;)
About the Author
Ich bin Webentwickler in Stuttgart und administriere Server seit vielen Jahren. In diesem Blog erstelle ich hauptsächlich Tutorials für andere Webentwickler, Webdesigner und Serveradministratoren.
-------------------------------------------------------------------------------------------------------------------------------------
I’m a web developer in Stuttgart, Germany, and server administrator since many years. This blog mainly contains a tutorial set for other web developer, web designer and server administrators.

627 times read

Comments 0

There are not any items at the moment.

This site uses cookies. By continuing to browse this site, you are agreeing to our Cookie Policy.