Alunos do 5º semestre do curso Sistema para Internet da Universidade Salvador

Transcrição

1 PHP.INI: UMA QUESTÃO DE SEGURANÇA IVAN OLIVEIRA JOSEVAL CARNEIRO JR JUCILENE DOS SANTOS RESUMO: A trajetória de sucesso da linguagem PHP surpreende o mundo da tecnologia. Hoje, mais de 20 milhões de sites utilizam esta linguagem. Com tanta evidência, não é difícil concluir que o PHP tem sido alvo de ataques por hackers que tentam explorar brechas de segurança. Como qualquer linguagem de desenvolvimento, os programadores precisam estar atentos às questões de segurança na hora de construírem os seus códigos. E no PHP.INI, que é o arquivo se configuração do PHP, você pode aumentar ainda mais esta segurança. Vamos ver como pequenas intervenções no PHP.INI pode tornar mais difícil a vida dos invasores. Palavras-chave: PHP; php.ini; segurança; configuração; linguagem de programação. ABSTRACT: The success story of the PHP language surprised the world of technology. Today, more than 20 million sites are using this language. With this evidence, it is not difficult to conclude that the PHP becomes a target of attacks by hackers trying to exploit security holes. Like any development language, programmers need to be aware of security issues when building their code. The PHP configuration file (PHP.INI) must be setup to further enhance this security. Come to see how small interventions can make harder the life of the invaders. Keywords: PHP; php.ini; security; configuration; software development. Alunos do 5º semestre do curso Sistema para Internet da Universidade Salvador

2 2 1 INTRODUÇÃO A linguagem PHP foi criada por Rasmus Lerdorf, em 1994, para seu uso pessoal. A primeira versão utilizada por outras pessoas foi disponibilizada em 1995 e ficou conhecida como Personal Home Page Tools (ferramentas para página pessoal). Era composta por um sistema bastante simples que interpretava algumas macros e também por alguns utilitários que rodavam por trás dos websites: um livro de visitas, um contador e algumas outras coisas. A quantidade de aplicações já existentes em PHP, a sua robustez, a rapidez na codificação e a facilidade de aprendizagem tornam o PHP uma escolha excelente para o desenvolvimento de aplicações de pequeno e médio porte para a web, sendo cada vez mais um padrão de fato. O PHP silenciosamente foi conquistando espaço entre os desenvolvedores de aplicações web e hoje é um padrão de fato para o desenvolvimento de aplicações para internet. A linguagem evoluiu, adotando uma enorme gama de recursos que vão desde o acesso nativo a banco de dados até a orientação a objetos. 2 FACILIDADE DE USO O PHP é uma linguagem de programação bastante poderosa e simples. A consequência disto é que a curva de aprendizado para os programadores é curta, permitindo uma rápida proficiência dos desenvolvedores nesta linguagem. Caso o programador tenha alguma familiaridade prévia com C, a aprendizagem será ainda mais fácil. O PHP permite criar aplicações web dinâmicas, possibilitando uma interação com o usuário através de formulários, parâmetros de entrada, entre outras características. A diferença do PHP em relação a linguagens semelhantes, como o Javascript, é que o código PHP é executado no servidor, sendo enviado para o cliente apenas o código HTML. Desta maneira, é possível interagir com bancos de dados e aplicações existentes nos servidores. O fato de ser executado no servidor permite que o PHP seja executado em computadores com poucos recursos de processamento, bastando basicamente um browser internet.

3 3 3 O ARQUIVO PHP.INI O php.ini é o arquivo que contém as diretivas de configuração da linguagem PHP. O servidor lê este arquivo no momento da inicialização do módulo de suporte ao PHP. O servidor web Apache muda o diretório para a raiz ao ser iniciado, fazendo com que o PHP tente ler o arquivo php.ini da raiz do sistema de arquivos se esta existir. O php.ini é o arquivo de configuração do php, e ele é lido quando o php é iniciado. Quando o php esta rodando como modulo o php.ini é lido apenas quando o servidor é iniciado. Para as versões CGI e CLI, isso acontece cada vez que eles são chamados (Manual do PHP) O interpretador PHP é configurado através do arquivo php.ini, um longo arquivo de configuração que permite ativar ou desativar opções diversas da linguagem, como por e- xemplo a possibilidade de fazer upload de arquivos através de scripts colocados nas páginas. A localização do arquivo pode variar de acordo com a distribuição, mas pode ser encontrado rapidamente usando o comando locate. No caso do CentOS, o arquivo é o /etc/php.ini, enquanto nas distribuições derivadas do Debian é usado o arquivo /etc/php5/apache2/php.ini. 3.1 MELHORANDO A SEGURANÇA Há uma variedade de questões de segurança que surgem, principalmente quando usamos soluções de hospedagem compartilhada. No passado, o PHP tentou resolver algumas dessas questões com a diretiva safe_mode. Entretanto, como consta no manual do PHP, é arquiteturalmente incorreto tentar resolver esse problema. Assim, safe_mode não estará disponível no PHP 6. O PHP possui muitas funções à disposição dos programadores. Sem dúvida são funções úteis que permitem programação avançada, lembrando que estas funções não são utilizadas em todas as páginas desenvolvidas. Ao estarem disponíveis estas funções, qualquer script colocado no servidor tem acesso a essas funcionalidades, podendo assim comprometer a segurança do sistema. Escrever e executar qualquer comando no shell ou rodar uma aplicação no servidor pode trazer um alto risco à segurança.

4 4 O PHP possui uma diretiva de configuração, que pode ser ativada através do php.ini para desabilitar as funções que possam colocar em risco a segurança do sistema. A variável de configuração de que estamos falando é disable_functions, e declaramos as funções a serem desativadas separando-as por vírgula: disable_functions = dir, readdir, sacndir, phpinfo, exec, proc_open Na realidade podemos colocar quantas funções quisermos, mas há um grupo mais específico de funções que pode colocar o sistema claramente em risco. É provável que existam algumas que utilizemos em nossas aplicações, nesse caso não deveríamos desativá-las. Vejam abaixo algumas funções que podem oferecer risco à segurança: phpinfo, readdir, opendir, apache_setenv, escapeshellarg, dl, exec, set_time_limit, ftp_exec, ftp_login, ftp_put, ftp_rawlist, ini_alter, ini_restore, openlog, php_uname, ocilogon, posix_kill, posix_setpgid, posix_setuid, dir, sacndir, apache_child_terminate, define_syslog_variables, escapeshellcmd, eval, ftp_connect, ftp_get, ftp_nb_fput, ftp_raw, highlight_file, ini_set ini_get_all, mysql_pconnect, passthru, popen, posix_getpwuid, posix_mkfifo, posix_setsid, posix_uname,

5 5 proc_close, proc_nice, proc_terminate, system, proc_get_status, proc_open, shell_exec, syslog, xmlrpc_entity_decode Pode haver alguma função faltando nessa lista, da mesma forma como haver outra que não ofereça risco e que foi listada, mas é sempre bom ter um ponto de partida para evitar problemas mais sérios. Após atualizar a lista de funções, é preciso reiniciar o Apache para que as mudanças tenham efeito. Desativar as funções mais críticas do PHP é uma prática extremamente aconselhável no caso de várias pessoas poderem utilizar um mesmo servidor. Após desativar as funções, toda vez que uma delas for utilizada, o usuário receberá a seguinte mensagem: Warning: phpinfo() has been disabled for security reasons in www\infophp.php on line 4 A opção allow_url_fopen permite abrir ou processar uma página ou arquivo externo dentro do script php. Embora ela seja uma função útil, usada por scripts que geram uma lista de links a partir de um feed, por exemplo, ela pode ser usada para diversos tipos de abusos, o que faz com que ela seja desativada em diversos serviços de hospedagem, principalmente em soluções de hospedagem compartilhada. Ainda, há três diretivas no php.ini que permanecem importantes em um ambiente de hospedagem compartilhada: open_basedir, disable_functions, e disable_classes. Essas diretivas não dependem de safe_mode, e permanecerão disponíveis para um futuro previsível. A diretiva open_basedir fornece a habilidade de limitar os arquivos que o PHP pode abrir para uma árvore de diretório especificada. Quando PHP tenta abrir um arquivo com, por exemplo, fopen() ou include, ele verifica a localização do arquivo. Se existe dentro da árvore de diretório especificada por open_basedir, então ele terá sucesso; caso contrário, ele falhará ao abrir o arquivo.

6 Exposição do código-fonte Setando expose_php = off em seu arquivo php.ini, você reduz a quantidade de informação disponível para ele. Técnicas para mascarar o código-fonte não são as mais seguras, mas já eliminam aqueles invasores iniciantes. Algumas técnicas simples podem ajudar a esconder o PHP, possivelmente atrasando um invasor que está tentando descobrir fraquezas em seu sistema Variáveis globais Talvez a mudança mais controversa no PHP seja quando o valor padrão para a diretiva do PHP register_globals passa de ON para OFF no PHP Muitas pessoas nem mesmo sabiam que ela existia. Quando register_globals está em ON, todos os tipos de variáveis, como variáveis request de formulários HTML, ficarão abertas durante toda a execução da sessão do usuário. Junte-se a isto o fato de o PHP não exigir inicialização de variáveis e você verá que escrever códigos inseguros é muito mais fácil. Quando ON, as pessoas usavam variáveis ainda sem saber realmente, com certeza, de onde elas vinham. Variáveis internas que estão definidas no próprio script conseguem se misturar com dados requisitados enviados pelos usuários e desabilitando register_globals isto muda completamente. Antes do PHP 4.2.0, a diretiva de configuração register_globals era configurada como On por padrão. Desde então, essa diretiva tem sido configurada para Off por padrão; a partir do PHP 6, ela não existirá mais Remote Code Injection A diretiva allow_url_include = Off é importante para evitar este tipo de ataque. Principalmente quando se inclui arquivos com include e require de forma dinâmica baseada numa entrada do cliente. Um erro pode facilmente permitir a pretensos hackers executarem um ataque de injeção remota de código. Por exemplo, muitas aplicações fazem uso de variáveis literais de consulta para estruturar a aplicação em seções, tais como: Tal aplicação pode usar uma declaração include para incluir um script que mostra a seção news :

7 7 include "{$_GET[ section ]}/data.php"; Quando usar a URL apropriada para acessar esta seção, o script irá incluir o arquivo localizado em news/data.php. Entretanto, considere o que poderia acontecer se um atacante modificasse o literal de consulta para incluir um código localizado em um site remoto? A seguinte URL ilustra como um atacante pode fazer isso: Agora, o valor da variável section é injetado na declaração include, renderizando efetivamente algo como: include " A aplicação irá incluir attack.inc, localizado no servidor remoto, e trata /data.php como parte de um literal de consulta (neutralizando efetivamente seu efeito dentro do script). Qualquer código PHP contido em attack.inc é executado e rodado, independentemente de causar qualquer prejuízo pretendido pelo atacante. Além de manter allow_url_include = Off também é importante tratar e filtrar toda entrada e nunca usar dados vulneráveis em uma declaração include ou require. Neste exemplo, a filtragem pode ser tão simples quanto especificar um certo conjunto de valores esperados para section: $clean = array(); $sections = array( home, news, photos, blog ); if (in_array($_get[ section ], $sections)) { $clean[ section ] = $_GET[ section ]; } else { $clean[ section ] = home ; } include "{clean[ section ]}/data.inc.php";

8 8 Outra diretiva sobre este assunto é a allow_url_fopen que fornece a propriedade pela qual PHP pode acessar URLs, tratando-as como arquivos regulares fazendo um ataque tal como o descrito acima possível. Por padrão, allow_url_fopen é configurada como On; entretanto, é possível desligá-la no php.ini, o que previne suas aplicações de incluir ou abrir URLs remotas como arquivos.

9 9 REFERÊNCIAS MORIMOTO, Carlos E. Servidores Linux: Guia Prático. Capítulo 6: Configurando Servidores Web. Instalando o Suporte a PHP. Ed. GDH Press, São Paulo, GUIMARÃES, Fábio. Entenda o PHP.INI e como funciona. < PESSOA, Márcio. Segurança em PHP. Ed. Novatec, São Paulo: Dall Oglio, Pablo. Programando com Orientação a Objetos. ed. Novatec, São Paulo: NIEDERAUER, Juliano. PHP para quem conhece. Ed. Novatec, São Paulo: PHP, Manual do. PHPMania.org. Capítulo 4: Configuração < PHP, Manual. PHP Documentation Group. Diversos autores < NIEDERAUER, Juliano. PHP5: Guia de Consulta Rápida. ed. Novatec, São Paulo, PHP 5, Zend Certification Study Guide. Capítulo 10. Segurança. Agosto, LISBOA, Flávio Gomes da Silva. Segurança no PHP <