Aplicaciones PHP seguras con suexec

categoría Computadoras y software / Programación / servicios web

Si la aplicación se ejecuta en Apache (como más de la mitad de los sitios web en Internet lo hacen), es posible que desee considerar que permite SuExec en la configuración de Apache. SuExec es un mecanismo que se incluye con Apache que causa scripts que deben ejecutarse como el usuario que posee la secuencia de comandos, en lugar de correr como el usuario del servidor web.

En un entorno no SuExec, todos los scripts se ejecutan como el mismo ID de usuario como el propio servidor web. Por desgracia, un script vulnerables puede dar a un usuario malintencionado el acceso por la puerta trasera a todo el servidor web, incluyendo secuencias de comandos que se ejecutan en otros sitios alojados en el mismo servidor.

SuExec intenta mitigar este problema mediante la restricción de aplicaciones web para sus propias áreas y funcionando bajo los ID de usuario de sus propietarios, y no bajo el ID de usuario del servidor web. Por ejemplo, este script correría bajo el ID de usuario jsmith:

/home/~jsmith/public_html/scripts/please_hack_me.php

Un usuario malintencionado podría aprovechar esta secuencia de comandos, pero él o ella tendría acceso sólo a los archivos y programas que el jsmith se permite al usuario utilizar. Cualquier otro usuario en el servidor estaría protegida jsmithEs por guión inseguro.

Desafortunadamente, conseguir SuExec funcione correctamente con hosts virtuales, o múltiples sitios web independientes ubicados físicamente en el mismo servidor web, puede ser complicado. SuExec está diseñado para ejecutar secuencias de comandos que existen en la raíz de documentos del servidor web.

La mayoría de las máquinas virtuales se configuran de una manera que da a cada página web individuo su propia raíz del documento, y la raíz de documentos de cada sitio no se encuentra en la raíz de documentos del servidor web. Para evitar esta restricción, el administrador del sistema debe agregar raíz de documentos de cada host virtual a la variable raíz de documentos del servidor web en el archivo de configuración de Apache.

SuExec también requiere que los scripts PHP se ejecutan como Common Gateway Interface (CGI), que es más lento que correr PHP como un módulo precompilado bajo Apache. CGI fue el primer modelo viable para aplicaciones web, y todavía se utiliza para las secuencias de comandos simples. Sin embargo, una vez que deje el reino de scripting PHP y empezar a escribir aplicaciones de pleno derecho, tendrá el aumento de rendimiento de PHP precompilado.

Para los servidores web bastante simples, SuExec puede mantener una aplicación insegura de pisotear todo lo demás. Sin embargo, en un entorno más complejo con servidores virtuales, módulos precompilados, y docenas o cientos de usuarios, se necesita un modelo de seguridad que es un poco más robusto.



Artículos Relacionados

Sobre el autor
Filtrado de la Web con servidores proxy Filtrado de la Web con servidores proxy

Muchas empresas y escuelas que proporcionan acceso a Internet a sus empleados o estudiantes utilizan el software de filtrado web. Su razonamiento es que si se le proporciona una conexión gratuita a Internet, tienen el derecho de decidir qué tipo…

Interfaz gráfica de usuario FTP en el servidor de león Interfaz gráfica de usuario FTP en el servidor de león

En Lion Server, Apple eliminó la interfaz gráfica de usuario (GUI) para FTP que estaba presente en versiones anteriores de Mac OS X Server. En Lion Server, FTP está disponible sólo a través de la línea de comandos. Ninguno de los servicios de…

Cómo crear carpetas de inicio de servidor en servidor de león Cómo crear carpetas de inicio de servidor en servidor de león

Cualquier usuario Open Directory puede tener una carpeta en el servidor de León. En un Mac, la casa carpeta es el directorio que ha nombrado después de que el usuario. Esta carpeta contiene todos los datos, configuraciones, favoritos de un…

Sharepoint 2010 funciones de servidor Sharepoint 2010 funciones de servidor

Dependiendo del tamaño de su implementación de SharePoint 2100, puede tener uno o más servidores de SharePoint asignados para servir a propósitos específicos, o papeles, entre ellos los siguientes:Servidor web: Este servidor (también conocido…

Cómo gestionar los datos de forma remota para HTML5 y CSS3 programación Cómo gestionar los datos de forma remota para HTML5 y CSS3 programación

HTML5 y CSS3 sitios web a menudo trabajan con bases de datos. Su servicio de alojamiento puede tener características para trabajar con bases de datos MySQL de forma remota. Usted debe entender cómo funciona este proceso, ya que a menudo es…

Teniendo en cuenta los distintos usos de la lengua php scripting Teniendo en cuenta los distintos usos de la lengua php scripting

PHP es un lenguaje de propósito general que se puede utilizar para escribir scripts de propósito general. Los scripts son ficheros automatizados que contengan instrucciones en el lenguaje PHP que le dicen a la computadora para hacer las cosas,…

¿Cómo funciona php ¿Cómo funciona php

El software PHP trabaja con el Servidor web, que es el software que ofrece páginas de Internet para el mundo. Cuando escribe una dirección URL en la barra de direcciones de su navegador de Internet, usted está enviando un mensaje al servidor web…

Configuración del equipo para php y mysql desarrollo web Configuración del equipo para php y mysql desarrollo web

Para utilizar el ordenador local para desarrollar su sitio Web, debe instalar un servidor web, PHP, y MySQL. PHP y MySQL son gratis para descargar y utilizar. Instalación del servidor WebDespués de configurar el equipo, es necesario instalar un…

Escribir un script de inicio de WebLogic Escribir un script de inicio de WebLogic

Una de las maneras más comunes para iniciar WebLogic Server es mediante el uso de un script de inicio. LA script de inicio no es más que una lista ordenada de comandos que normalmente serían emitidas en el símbolo del sistema de Windows o UNIX.A…

Cómo desarrollar aplicaciones de Facebook más fácilmente con los SDK Cómo desarrollar aplicaciones de Facebook más fácilmente con los SDK

SDK de Facebook realizan dos funciones importantes. Dependiendo del SDK, se cargan las bibliotecas de funciones de scripting que los navegadores pueden utilizar para ejecutar código script no de otra manera a disposición del navegador, o que…

La gestión de acceso al servidor con contribuir La gestión de acceso al servidor con contribuir

Con el fin de controlar el flujo de trabajo, Contribute instala un archivo en una carpeta específica en la raíz de cualquier sitio Web que se conecta. Este archivo, denominado archivo de configuración compartida, permite Contribute para almacenar…

Requisitos del entorno de alojamiento en WordPress Requisitos del entorno de alojamiento en WordPress

Antes de habilitar la función de múltiples sitios de WordPress, es necesario determinar si planea administrar sólo algunos de sus propios blogs o sitios web de WordPress, o ejecutar una red de blogs en toda regla con varios cientos de blogs de…

» » » » Aplicaciones PHP seguras con suexec