Sichere PHP Einstellungen

[stefanw]

Hallo,

was in die php.ini reingehört weis ich, aber was nimmt man am besten als PHP? FastCGI, suPHP, CGI oder ModPHP? Hintergrund ist wir haben einige Kunden die mit Joomla und Wordpress unterwegs sind und Ihre Setups nicht regelmässig updaten.

Und warum passiert folgendes, ich habe bei einer Webseite von suPHP auf FastCGI umgestellt. Wenn man die Webseite danach aufruft bekommt man einen 403?

SW

[Till]

mod_php ist am unsichersten, da es mkit den rechten des Webservers läuft.

Empfehlenswert ist:

fcgi-php + suexec (für Seiten mit viel Traffic)
cgi-php + suexec oder suphp (für Seiten mit wenig Traffic)

Und warum passiert folgendes, ich habe bei einer Webseite von suPHP auf FastCGI umgestellt. Wenn man die Webseite danach aufruft bekommt man einen 403?

Du musst zusätzlich die Checkbox bei "Suexec" setzen.

[Quest]

Hier hat doch mal jemand angefangen ein Wiki für ISP3 zu schreiben.
Ist das Projekt eig. noch aktiv? Wenn ja könnte so etwas da vielleicht auch rein.

[Burge]

@Till

und ich hätte gedacht gerade bei joomla würde sich suphp empfehlen oder liege ich da nun komplett daneben?

[Till]

und ich hätte gedacht gerade bei joomla würde sich suphp empfehlen oder liege ich da nun komplett daneben?

Das hängt vom Traffic der Webseite ab.

Für Joomla ist es wichtig, das die Scripte unter dem User des webs laufen. Dies ist bei suphp der Fall, aber auch bei fcgi-php und cgi-php wenn gleichzeitig suexec für das web aktiviert ist.

Also bei Seiten mit wenig traffic, nimmt man suphp oder aber php als cgi + suexec. Bei Seiten mit viel Traffic nummt man fcgi-php + suexec.

[M. Zink]

Genau zu dem Thema hätte ich mal noch ne Frage. Ich dachte eigentlich es sei eine gute Idee alle Seite mit suPHP laufen zu lassen. Das hab ich bei einem Projekt versucht und erhalte dann einen Error 500. Die Inhalte der Webseite gehören alle web20:client3 so wie sie nach dem FTP Upload auch angelegt wurden. Auch die Rechte sollten absolut passen. Versteh also nicht wieso ich diesen Fehler bekomme. Ich hab das jetzt umgestellt auf Fast-CGI ohne suexec und die Seite läuft einwandfrei.

Auf dem alten Server hatte ich immer das Problem, dass alle Webordner unter www-run liefen und dadurch ein Problem entstanden ist wenn ich Dateien per FTP oder / und per Web Formular hoch geladen hab. Denn die Dateien vom FTP gehörten dann dem webx_webmaster:webx und vom Formularupload her dem www-run:www und das beißt sich spätestens bei Save Mode und vor allem auch beim FTP Download oder Löschen.

Wie konfiguriere ich denn nun am besten die Webprojekte auf dem neuen Server damit es egal ist ob ich Daten per FTP hoch lade oder mittels Web Formular z.B. in einer Bildergalerie einfüge? Das muss doch irgendwie möglich sein das es solche Probleme nicht gibt oder?

[Till]

Genau zu dem Thema hätte ich mal noch ne Frage. Ich dachte eigentlich es sei eine gute Idee alle Seite mit suPHP laufen zu lassen. Das hab ich bei einem Projekt versucht und erhalte dann einen Error 500. Die Inhalte der Webseite gehören alle web20:client3 so wie sie nach dem FTP Upload auch angelegt wurden. Auch die Rechte sollten absolut passen. Versteh also nicht wieso ich diesen Fehler bekomme.

Schau ins errorlog.

Ich hab das jetzt umgestellt auf Fast-CGI ohne suexec und die Seite läuft einwandfrei.

Das ist eine sehr schlecht Kombination. fastcgi niemals ohne suexec, oder Du hast die gleichen Probleme wie mit mod_php

Wie konfiguriere ich denn nun am besten die Webprojekte auf dem neuen Server damit es egal ist ob ich Daten per FTP hoch lade oder mittels Web Formular z.B. in einer Bildergalerie einfüge? Das muss doch irgendwie möglich sein das es solche Probleme nicht gibt oder?

Siehe #2

[M. Zink]

OK das heißt die beiden Konfigurationen die man eigentlich nehmen sollte ist entweder suPHP ohne suExec oder Fast-CGI mit suExec. Merk ich mir mal.

Wenn ich aber besagtes Webprojekt auf suPHP stelle erhalte ich laut Log folgende Meldung

domain.de:80 127.0.0.1 - - [23/Jun/2010:15:16:17 +0200] "GET /index.php HTTP/1.1" 500 829 "-" "Mozilla/5.0 (Windows; U; Windows NT 6.1; de; rv:1.9.2.4) Gecko/20100611 Firefox/3.6.4"
domain.de:80 127.0.0.1 - - [23/Jun/2010:15:16:18 +0200] "GET /index.php HTTP/1.1" 500 829 "-" "Mozilla/5.0 (Windows; U; Windows NT 6.1; de; rv:1.9.2.4) Gecko/20100611 Firefox/3.6.4"
domain.de:80 127.0.0.1 - - [23/Jun/2010:15:17:04 +0200] "GET /index.php HTTP/1.1" 500 829 "-" "Mozilla/5.0 (Windows; U; Windows NT 6.1; de; rv:1.9.2.4) Gecko/20100611 Firefox/3.6.4"
domain.de:80 127.0.0.1 - - [23/Jun/2010:15:17:11 +0200] "GET /index.php HTTP/1.1" 500 829 "http://www.domain.de/" "Mozilla/5.0 (Windows; U; Windows NT 6.1; de; rv:1.9.2.4) Gecko/20100611 Firefox/3.6.4"

Und das ist für mich jetzt nicht wirklich aussagekräftig oder? Ich seh halt den Error 500 aber das ich den hab weiß ich auch ohne Log

Im Error Log steht übrigens nichts! Folgendes steht im errorlog zu genau der gleichen Zeit bzw. kurz vor dem anderen.

[Wed Jun 23 15:16:01 2010] [notice] Graceful restart requested, doing restart
[Wed Jun 23 15:16:05 2010] [notice] mod_fcgid: process /var/www/aganfo.de/web/index.php(29020) exit(shutting down), terminated by calling exit(), return code: 0
[Wed Jun 23 15:16:05 2010] [notice] Apache/2.2.9 (Debian) PHP/5.2.6-1+lenny8 with Suhosin-Patch mod_ssl/2.2.9 OpenSSL/0.9.8g configured -- resuming normal operations
[Wed Jun 23 15:16:05 2010] [warn] long lost child came home! (pid 28633)

[Till]

Die Meldungen im error.log sind ok, die stammen von der Umschaltung fastcgi auf suphp. Poste doch bitte mal die suphp.conf Datei.

[M. Zink]

Hier mal meine suphp.conf

[global]
;Path to logfile
logfile=/var/log/suphp/suphp.log

;Loglevel
loglevel=info

;User Apache is running as
webserver_user=www-data

;Path all scripts have to be in
docroot=/var/www

;Path to chroot() to before executing script
;chroot=/mychroot

; Security options
allow_file_group_writeable=false
allow_file_others_writeable=false
allow_directory_group_writeable=false
allow_directory_others_writeable=false

;Check wheter script is within DOCUMENT_ROOT
check_vhost_docroot=true

;Send minor error messages to browser
errors_to_browser=false

;PATH environment variable
env_path=/bin:/usr/bin

;Umask to set, specify in octal notation
umask=0022

; Minimum UID
min_uid=100

; Minimum GID
min_gid=100


[handlers]
;Handler for php-scripts
x-httpd-suphp=php:/usr/bin/php-cgi

;Handler for CGI-scripts
x-suphp-cgi=execute:!self
umask=0022