Thema: OpenBasedir / Safemode Ja

Safemode ist nur ein Konstrukt das php im shared Webhosting sicherer machen soll.
Die Entwickler finden das anscheinend selber nicht so toll, es wurde schon mehrfach abgekündigt, existiert aber immer noch und wurde mum erst in Version 6 entfernt.

Zu der Anmerkung mit php über cgi - > Jain. Sinn des Aufrufes über cgi ist php unter verschiedenen Usern auszuführen und das Rechtemanagement des OS zu nutzen.
Das Überschneidet sich mit dem Ziel des safemode und der option openbasedir.
Daneben werden einige php Funktionen bzw. Techniken abgefangen oder verhindert die vor allem von "Quick & dirty" programmierern gerne genutzt werden.
Eine genaue Liste mit Funktionen findest Du hier:
http://de.php.net/manual/de/ini.sect.safe-mode.php

Ich nutze suphp und den safemode - damit Funktioniert joomla seit Jahren ohne Probleme.

Hallo Uwe & chw,
vielen Dank für Eure Info!


LG Tina

Zitat von flotte

Dazu einige Anmerkungen, denn wir setzten ganz bewusst safe_mode=on und arbeiten mit fcgi (oft auch als fast/cgi bezeichnet).

Sorry für das Doppelpost
Hallo Uwe, warum setzt ihr auf fcgi in Verbindung mit safe_mode=on?
Ist dabei mit einem Performance-Verlust zu rechnen? Und warum keine Serverkonfigurationen mit mod_php?
Ich meine, welche Vorteile hat "safe_mode=on/fcgi"?

Zitat von flotte

Bei Serverkonfugurationen mit mod_php wird safe_mode gerne benutzt um Webs gegeneinander anzuschotten. Dieser(!) Schutzmechnusmus funktioniert nur begrenzt und läßt sich leicht umgehen. Deswegen hat safe_mode einen schlechten Ruf.
Ebenso schlecht ist die Abgrenzung mit open_basedir, denn auch sie läßt sich leicht umgehen. In beiden Fällen hängt es aber nicht an diesen Einstellungen allein, sondern es sind weitere Konfigurationsdetails äußerst wichtig. Nur das Gesamtbild entscheidet letztlich über die Wirksamkeit der Sicherheitseinstellungen.

Welche Server-Konfigurationsdetails wären dabei noch äußerst wichtig, register_globals off, und?

LG Tina

Zitat von flotte

Hab ich das nicht gerade im Posting erklärt?

Sorry, bisher sah ich F(CGI) unter einem anderen (falschen) Blickwinkel.

Zitat von flotte

Nein, kein Stück!
fcgi verbindet die Vorteile von mod_php (Serverprozess bleibt im Speicher und muss nicht jedesmal neu gestartet werden) und suexec (Ausführung unter eigenem Systemuser). Nachteilig sind beispielsweise die sehr hohen Anforderungen an den Speicher. Hier müssen die Maschinen eben entsprechend ausgestattet sein. Oft ein KO-Kriterium für Anbieter die aufgrund der Kalkulation Billighardware mit massenhaft Kunden bebuchen müssen..

Vielen Dank!

Zitat von time4mambo

Wo gehört denn das hier hin?

Das Frage ich mich auch gerade

Safe-mode = quatsch

Ein Server läßt sich mit Safe-Mode = off wesentlich besser konfigurieren (shell_exec, exec, open-basedir usw)

Zitat von flotte

register_globals, disable_functions, allow_url_fopen, open_basedir, post_max_size, max_execution_time und die ganzen anderen Limits... und auch Konfigurationen des Webservers selbst.... damit kann man ein Buch füllen.
Es gibt keine 0815-Beste-Serverkonfig-für-alle. Der Einsatzzweck einer Maschine ist von besonderer Bedeutung, die Auslastung, die Hardwarerescourcen, die Anwendungen, die Verwaltungssoftware usw. usf.

ENDLICH mal einer, der Ahnung von dem hat, was er da schreibt...die meisten sind ja eh alles nur so "Möchte-Gern-Roots"

Zitat von breaker

Safe-mode = quatsch

Laut einem Hoster wird Safe-mode zwar mit php6 abgeschafft, wäre aber mit der "Abschaffung" in php6 immer aktiviert. Nun hatte ich an diversen Stellen im Internet danach gesucht, fand aber keine geeignete Quelle welche die Aussage bestätigen könnte.
Kennt jemand eine zuverlässige Quelle diesbezüglich - oder weiß jemand darüber bescheid, kann das sein?

Zitat von breaker

Das Frage ich mich auch gerade

Das dieses Thema zum "allgemeinen Gelächter" beiträgt - damit hätte ich nicht gerechnet. Aber mal zum besseren Verständnis:

Servermanagement >> Safemode:

Sicherheitsabfrage
Wollen Sie diese wichtigen Sicherheitseinstellungen (OpenBasedir und/oder SafeMode) wirklich deaktivieren?

Übrigens, das Servermanagement habe nicht ich programmiert. Und weil da was von "Sicherheit" stand… Zukünftige "Beschwerden" bitte ich deshalb an dieser Stelle an die Programmierer des Servermanagements zu richten.