PHP secure

sommaire

• pré-requis
• cgi ou sapi ?
• principes de base
• le fichier php.ini
• la faille include()
• les bases de données
• les sessions
• références

pré-requis

cgi ou sapi ?

principes de base

•   veiller à limiter au strict nécessaire les droits et permissions de l'utilisateur : il vaut mieux l'entendre se plaindre de son manque de liberté plutôt que de constater les dégâts causés par une trop grande libéralité (principe universel)



•   ne jamais faire confiance aux données transmises par l'utilisateur (encore moins à l'internaute !), quand bien même vous auriez élevé les cochons ensemble...



•   toujours tester l'existence / la validité d'un fichier / code à inclure : et s'il n'était pas celui que vous croyiez ?



•   un contrôle des données côté client est bien pratique, mais illusoire quant à la sécurité : quoi de plus simple que de désactiver Javascript ? Seul un contrôle côté serveur peut prétendre être efficace.
  
  
•   préférer, quand cela est possible, la méthode POST à la méthode GET : les variables dans l'url, ça fait mauvais genre ;)



•   ne pas confondre complexité et sécurité : si votre système de sécurité vous échappe, considérez que vous n'êtes pas en sécurité. Bon, de toute façon, vous n'êtes jamais en sécurité.



•   s'efforcer de tenir à jour système serveur et interpréteur PHP avec les dernières versions stables : quand la catastrophe aura eu lieu, ce sera ça de moins à vous reprocher...

le fichier php.ini

safe_mode

• - un certain nombre de fonctions sont limitées ou désactivées (celles dédiées aux commandes systèmes, notamment). On trouvera ici une liste des fonctions affectées par l'activation du safe_mode.



• - une vérification stricte des permissions d'accès des fichiers (basées sur l'UID et le GID) est faite sur les fonctions concernées.



• - les variables d'environnement sont protégées.

safe_mode_exec_dir

safe_mode_allowed_env_vars

safe_mode_protected_env_vars

disable_fonctions

open_basedir

display_errors

Warning: readfile() failed (No such file or directory) in /var/www/perso/confidentiel.php on line 356

log_errors

error_log

register_globals

 <?php
  if (!$_SESSION['auth']) die ("Vous n'êtes pas authentifié");
 ?>

allow_url_fopen

magic_quotes_gpc

magic_quotes_runtime

include_path

file_uploads

la faille include()

 <?php
  $filename = "./page.php";
  if (file_exists($filename)) include($filename);
 ?>

 AddType application/x-httpd-php .phtml .pwml .php3 .php4 .php .php2 .inc

 <?php
  $filename .= ".php";
 ?>

 <Files ~ ".inc">
     Order allow,deny
     Deny from all
     Satisfy All
 </Files>

les bases de données

 <form method="post" action="auth.php">
 login : <input type="text" name="login"><br />
 password : <input type="password" name="password"><br />
 <input type="submit" value="OK">

 $query = "SELECT * FROM users WHERE login = '".$_POST['login'].
                            "' AND password = '".$_POST['password']."'";

 admin'#

 $query = "SELECT * FROM users WHERE login = 'admin'#'
                               AND password = 'jun40h'";

 SELECT * FROM users WHERE login = 'admin'

 <?php
  $login = trim(htmlspecialchars(addslashes($_SESSION['login'])));                 // parsing du login
  $password = trim(htmlspecialchars(addslashes($_SESSION['password'])));           // parsing du password
  $query = "INSERT INTO clients VALUES (md5($login), md5($password))";             // insertion des variables hashées
 ?>

les sessions

• - automatiquement (via la directive session.auto_start), méthode déconseillée.



• - via un formulaire dont les champs renseignés seront filtrés : méthode conseillée.



• - en passant par le tableau superglobal $_SESSION pour la récupération des variables : toujours.



• - avec ou sans cookies, sachant que s'ils sont bien pratiques pour conserver les variables d'une session l'autre, les cookies peuvent être refusés par le client :(

 <?php
  if (isset($ip) && $ip == $_SERVER['REMOTE_ADDR']) {
   echo "Welcome home, $login !";
   }
  else {
   header('Location: login.php');
   }
?>

références