مفاهیم امنیتی PHP

تعاریف

1. PHP Security (امنیت PHP)
   مجموعه‌ای از روش‌ها و تنظیمات برای جلوگیری از سوء استفاده مهاجمان از وب‌اپلیکیشن‌های PHP و محافظت از اطلاعات حساس سرور و کاربران.
2. File Inclusion Attacks (حملات درج فایل)
   حملاتی که مهاجم از آسیب‌پذیری‌های فایل‌های شامل شده در PHP استفاده می‌کند تا فایل‌های محلی یا راه دور را اجرا یا مشاهده کند.
   • Local File Inclusion (LFI): درج فایل‌های محلی روی سرور
   • Remote File Inclusion (RFI): درج فایل‌های از راه دور روی سرور
3. Disabling Functions (غیرفعال کردن توابع PHP)
   برخی توابع PHP ممکن است در محیط تولید ناامن باشند. غیرفعال کردن آن‌ها مانع سوء استفاده مهاجم می‌شود.
4. Information Disclosure (افشای اطلاعات)
   پیام‌های خطا یا اطلاعاتی که ساختار سیستم، نام دیتابیس‌ها یا نام‌های کاربری را فاش می‌کنند، می‌توانند برای مهاجم مفید باشند.
5. File Upload Restriction (محدودسازی آپلود فایل)
   جلوگیری از آپلود فایل‌های مخرب روی سرور و کاهش احتمال اجرای اسکریپت‌های ناامن PHP.
6. Session Hijacking (سرقت نشست‌ها)
   حمله‌ای که در آن مهاجم سشن یک کاربر را می‌دزدد و به جای آن کاربر عمل می‌کند.
7. session.cookie_httponly Directive
   تنظیمی در PHP که دسترسی جاوااسکریپت به کوکی‌های سشن را محدود می‌کند و از سرقت سشن جلوگیری می‌کند.
8. register_globals
   متغیرهای سراسری در PHP که اجازه می‌دهند مهاجم مقادیر متغیرها را بازنویسی کند. از PHP 5.4 به بعد دیگر وجود ندارد.

امنیت PHP

وب‌اپلیکیشن‌های نوشته شده با PHP ممکن است آسیب‌پذیری‌هایی داشته باشند که کاربران مخرب می‌توانند از آن‌ها برای دسترسی به اطلاعات حساس سرور یا کاربران استفاده کنند. این آسیب‌پذیری‌ها می‌توانند شامل موارد زیر باشند:

• فایل‌های اجرایی تأیید نشده
• توابع محیط توسعه که در محیط تولید اجرا می‌شوند
• پیام‌های خطا که اطلاعات حساس سیستم را فاش می‌کنند

این مقاله چند روش برای سخت‌تر کردن تنظیمات PHP سرور ارائه می‌دهد.

محدود کردن حملات درج فایل

حملات درج فایل وقتی رخ می‌دهند که یک مهاجم از آسیب‌پذیری فایل‌های شامل شده استفاده کند تا فایل‌های محلی یا راه دور را روی سرور اجرا یا مشاهده کند.

• Local File Inclusion (LFI)
  در این نوع حمله، مهاجم فایل‌های محلی سرور را برای مشاهده اطلاعات حساس فراخوانی می‌کند.
  مثال: مشاهده فایل /etc/passwd برای به دست آوردن اطلاعات حساب‌های سرور.
  راهکار: در WHM » Security Center » MultiPHP INI Editor » Editor Mode، دسترسی به مسیرهای محلی را محدود کنید تا LFI سخت‌تر شود.
• Remote File Inclusion (RFI)
  در این نوع حمله، مهاجم فایل‌های PHP خود را از سروری دیگر فراخوانی می‌کند و از آسیب‌پذیری‌ها سوء استفاده می‌کند.
  راهکار: در WHM » MultiPHP INI Editor » Basic Mode، تنظیمات allow_url_fopen و allow_url_include را غیرفعال کنید.

غیرفعال کردن توابع ناامن

برخی توابع PHP برای محیط تولید ناامن هستند. اگر توسعه‌دهندگان شما به آن‌ها نیاز ندارند، توصیه می‌شود آن‌ها را غیرفعال کنید تا مهاجم نتواند از اسکریپت‌های مخرب استفاده کند.

• مسیر: WHM » MultiPHP INI Editor » Editor Mode
• نکته: تنها توابع داخلی PHP قابل غیرفعال‌سازی هستند.
• مثال توابع برای غیرفعال کردن را می‌توانید در منابعی مثل nixCraft پیدا کنید.

جلوگیری از افشای اطلاعات

پیام‌های خطا می‌توانند به مهاجم اطلاعات مهمی درباره ساختار سیستم، دیتابیس‌ها و کاربران بدهند.

• برای محدود کردن نمایش پیام‌های خطا:
  مسیر: WHM » MultiPHP INI Editor » Basic Mode
  تنظیم: display_errors = Off
• با این کار، توسعه‌دهندگان هنوز می‌توانند خطاها را از طریق لاگ‌ها مشاهده کنند، بدون آنکه مهاجم اطلاعات حساسی بدست آورد.

محدود کردن آپلود فایل‌ها

• مهاجمین معمولاً فایل‌های مخرب برای نفوذ به سرور آپلود می‌کنند.
• برای محدود کردن آپلود فایل:
  مسیر: WHM » MultiPHP INI Editor » Basic Mode
  تنظیم: file_uploads = Off
• اگر نیاز به آپلود فایل دارید:
  • upload_tmp_dir را فعال و مسیر موقت آپلود را تغییر دهید
  • upload_max_filesize را برای مدیریت بار سرور تنظیم کنید (این مورد امنیت را مستقیماً افزایش نمی‌دهد).

حفاظت از سشن‌ها

• مهاجمین ممکن است سشن یک کاربر را دزدیده و به جای او عمل کنند.
• PHP از شناسه‌های سشن طولانی و تصادفی استفاده می‌کند، اما این شناسه‌ها در فایل سیستم ذخیره می‌شوند.
• راهکار: در WHM » MultiPHP INI Editor » Editor Mode، session.cookie_httponly را فعال کنید تا جاوااسکریپت نتواند به کوکی‌های سشن دسترسی داشته باشد.
• همچنین می‌توانید بررسی HTTP referrer را فعال کنید تا اطلاعات حساس سشن هنگام اشتراک URL افشا نشود.

غیرفعال کردن register_globals

• این گزینه از PHP 5.4 به بعد حذف شده است.
• register_globals اجازه می‌دهد اسکریپت PHP متغیرها را بدون منبع مشخص دریافت و پردازش کند. این امر می‌تواند به مهاجم اجازه بدهد متغیرهای حساس را بازنویسی کرده و به بخش‌های محدود سرور دسترسی پیدا کند.
• راهکار: در WHM » MultiPHP INI Editor » Basic Mode، register_globals = Off.

کیان پور