Webmaster Libre

Cuando instalamos PHP este viene con una serie de valores por defecto que no lo hacen adecuado para un sitio en producción y puede provocar que utilicemos técnicas inseguras. Todo esto puede solucionarse si ponemos en práctica el listado de tareas que debemos realizar antes de abrir el sitio al gran público que nos deja Ayman Hourieh.

1. Deshabilitar las URL remotas para funciones que manejen archivos:

   allow_url_fopen = Off

2. Register Globals

   register_globals = Off

3. Restringiendo lo que PHP puede leer o escribir

   open_basedir = /var/www/htdocs/files

4. Safe Mode

   safe_mode = Off
   safe_mode_gid = On

5. Límites para los tiempos de ejecución

   max_execution_time = 30 ; Max script execution time
   max_input_time = 60 ; Max time spent parsing input
   memory_limit = 16M ; Max memory used by one script
   upload_max_filesize = 2M ; Max upload file size
   post_max_size = 8M ; Max post size

6. Limitar el acceso a ciertos tipos de archivos mediante directivas de Apache

   
   Order allow,deny
   Deny from all
   

7. Mensajes de error y logging

   display_errors = Off
   log_errors = On

8. Ocultar la presencia de PHP

   expose_php = Off

Resumen

Todos los cambios realizados quedan concretados en un php.ini tal que así:

; php.ini
allow_url_fopen = Off ; Disable URLs for file handling functions

register_globals = Off ; Make sure this hellish fiend is dead

open_basedir = /var/www/htdocs/files ; Restrict file handling functions to a subdirectory

safe_mode = Off ; Disable this, the next is often more practical
safe_mode_gid = On ; Enable safe mode with group check
safe_mode_exec_dir = /var/www/binaries ; Restrict execution functions to this directory
safe_mode_allowed_env_vars = PHP_ ; Restrict access to environment variables

max_execution_time = 30 ; Max script execution time
max_input_time = 60 ; Max time spent parsing inputs
memory_limit = 16M ; Max memory size used by one script
upload_max_filesize = 2M ; Max upload file size
post_max_size = 8M ; Max post size

display_errors = Off ; Do not show errors on screen
log_errors = On ; Log errors to log file

expose_php = Off ; Hide presence of PHP

Y un archivo .htaccess o parte de la configuración de Apache

# Apache configuration or .htaccess

Order allow,deny
Deny from all

Más información y explicaciones en el artículo original, en inglés: Checklist for Securing PHP Configuration

Sin duda si hay una función de PHP que utilicemos con más interés los menos entendidos del tema es include(), con ella podemos incluir archivos externos en nuestras páginas e, incluso, crear un sistema simple de plantillas donde se incluyan el cabecero, pie y menú en todas las páginas, ahorrándonos tiempo y espacio en disco.

include() y require()

Existen dos funciones mediante las cuales podemos incluir archivos:

include() hace precisamente eso, incluir el archivo que le indiquemos en el lugar que le indiquemos
< ? php
include("./menu.php")
?>

require() va un paso más allá, si no encuentra el archivo que debe incluir genera un Error Fatal y detiene la carga del script.
< ? php
require("./funciones.php")
?>
(más…)