Bu Döküman r57shell üstünden anlatilmistir.
[Resimleri görebilmek için üye olun veya giriş yapın.]
1 Back Connetion yapabiliriz.Safe Mode : OFF
2 Server özelliklerini görebiliriz
"System Linux node2.c26 2.6.17-1.2142_FC4smp #1 SMP Tue Jul 11 22:57:02 EDT 2006 i686 " gibi (3 de dahil)
1.1 > Sizin kendi ip adresiniz
1.2 > pc üstünden açtiginiz port numaraniz
*port açmak
Bilgisayarinizda netcat yüklü olmalidir...
1.3 Baslat/Çalistir Daha sonra "nc -vv -l -p 11457" komutu çalistirin Dikkat! " Netcat Yüklü olmalidir"
1.4 > Komut çalistirildiktan sonra baglanti için port dinlemeye geçiyor ekran görüntüsünde oldugu gibi...
Bu islemi Baslat/çalistir/cmd
Komut: netstat -an ilede takip edebilirsiniz.
Komut ile ilgili resim
#Back-Connect platforumunana geri dönüyoruz ve Connect diyoruz.
r57 Bu sekilde baglanmayi deniyor
#Arka kapi açildi.
[Resimleri görebilmek için üye olun veya giriş yapın.]
Sunucu Güvenligi Safe Mode Ayarlari kismi
#Sunucudaki php.ini
[Resimleri görebilmek için üye olun veya giriş yapın.]
BU Kisim alinti:
"php.ini" yapilandirmasina geçmeden önce sunucumuzda bulunan klasör ve dosya izinlerini "chmod" dogru sekilde ayarlayalim. Genelde FTP programlarinda dosya yada klasör üzerine "sag click" yapilip yada "file" seçeneginden "Change Attributes ya da Properties / CHMOD" seçeneklerinden düzenleriz burada "permissions" altinda yani izinler altinda önerilenleri girmek en uygunudur.
Klasörler için: 755
Dosyalar için: 644
Izinleri bu sekilde ayarlamaniz güvenlik için ilk adimi atmaniza yardimci olur.
"php.ini" yapilandirmasi:
Eger server admini iseniz yani root yetkilere sahipseniz bu ayarlari serverda bulunan tüm siteler için yapabilirsiniz genellikle "/usr/local/Zend/etc/" altinda bulunan "php.ini" dosyasini açarak düzenleyebilirsiniz veya "httpd.conf" dosyasinin dogru yapilandirilmasiyla da olur. Daha sonra apache'ye restart atmaniz gerekmektedir.
Root degilseniz sadece kendi siteniz için yapmaniz gerekiyorsa kök dizininizde (public_html) bir "php.ini" dosyasi olusturarak veya varolan "php.ini" dosyasinin içerisine altta verdigim kodlari ekleyerek güvenliginizi saglayabilirsiniz. Fakat sitenizle ayni serverda bulunan diger sitelerden kaynaklanan açiklardan yararlanan kisiler root olmayi basarirlarsa burada anlatilanlar yetersiz kalir, root olmayi basaramazlarsa ve sitenizin sifrelerini kaptirmazsaniz güvendesinizdir.
***Altta anlattigim bilgiler iyi bir güvenlik için yapilmasi gerekenler oldugundan dolayi bunlari uyguladiktan sonra bazi scriptlerinizin çalismasi engellenmis olabilir. Ama scriptin çalismasini engelleyen degerleri iptal ederseniz script tekrar dogru sekilde çalisacaktir***
Simdi gelelim "php.ini" yapilandirmasina:
"disable_functions" (Güvenlik)
"disable_functions" ile serverinizda birçok fonksiyonun çalismasini engelleyebilirsiniz bu sayede sitenize inject edilen scriptler, sheller için güvenliginizi almis olursunuz. Bu kadar fonksiyon fazla gelebilir ama iyi bir güvenlik için sart. Bu kadar sayida devre disi birakilan fonksiyonlar ilk defa "eno7.org" adresinde verilmistir.
Önerilen:
CODE:
disable_functions = foreach, glob, openbasedir, posix_getpwuid, f_open, system,dl, array_compare, array_user_key_compare, passthru, cat, exec, popen, proc_close, proc_get_status, proc_nice, proc_open, escapeshellcmd, escapeshellarg, show_source, posix_mkfifo, ini_restore, mysql_list_dbs, get_current_user, getmyuid,pconnect, link, symlink, fin, passthruexec, fileread, shell_exec, pcntl_exec, ini_alter, parse_ini_file, leak, apache_child_terminate, chown, posix_kill, posix_setpgid, posix_setsid, posix_setuid, proc_terminate, syslog, allow_url_fopen, fpassthru, execute, shell, curl_exec, chgrp, stream_select, passthru, socket_select, socket_create, socket_create_listen, socket_create_pair, socket_listen, socket_accept, socket_bind, socket_strerror, pcntl_fork, pcntl_signal, pcntl_waitpid, pcntl_wexitstatus, pcntl_wifexited, pcntl_wifsignaled, pcntl_wifstopped, pcntl_wstopsig, pcntl_wtermsig, openlog, apache_get_modules, apache_get_version, apache_getenv, apache_note, apache_setenv, virtual
Eger bu kadar fonsiyonu devre disi birakmak fazla geldiyse alttaki gibi de ayarlayabilirsiniz bu da güvenliginiz için yeterlidir:
CODE:
disable_functions = glob, posix_getpwuid, array_compare, array_user_key_compare, ini_restore, exec, proc_get_status, proc_nice, proc_open, allow_url_fopen, fin, pconnect, system, dl, passthruexec, shell_exec, proc_close, proc_get_status, chown, chgrp, escapeshellcmd, escapeshellarg, fileread, passthru, popen,curl_exec, shell, execute
-------------------------
"safe_mode" (Güvenlik)
"Safe Mode" adindan da anlasilacagi gibi "Güvenli Mod" anlamina geliyor. "Safe Mode" genelde birçok serverda "Off" durumdadir ve bu da birçok tehlikeye davetiye çikaran unsurlar arasinda yer alir. "Güvenli Modu Açik" durumuna getirmek shellerin serverimizda istedikleri gibi dolasmalarini, exploitlerin çalistirilmasini ve komutlarin execute edilmelerini önler. Günümüzde "açik olan güvenlik modunu" kapali duruma getiren scriptler mevcut fakat altta anlatilan önlemlerle bunun da önüne geçilebilir.
Önerilen:
CODE:
safe_mode = on
-------------------------
"register_globals" (Güvenlik ve Performans)
php.ini dosyasinda bulunan "post" "get" ile gönderilen degerlere kullanici adlariyla ulasilip ulasilamayacagini belirtir. Session, cookie degerlerini kendi adiyla tanimlayarak birer degisken olmasina neden olur. "Off" olarak ayarlanirsa bu gibi degerlere kendi tanimladigi sekilde ulasilamaz.
Önerilen:
CODE:
register_globals = off
-------------------------
"allow_url_fopen" (Güvenlik)
"allow_url_fopen" default olarak "açik" seklinde gelir ve bunun "on" açik olmasi "file_get_contents()", "include()", "require()" fonksiyonlar uzaktaki dosyalari da islemesine olanak tanir. Bunlara verilen bilgiler hiçbir kontrolden geçirilmezse kritik güvenlik açiklarini sebep olur.
Önerilen:
CODE:
allow_url_fopen = off
-------------------------
"allow_url_include" (Güvenlik)
Bu deger kapali yapildiginda "require" ve "include" ile uzaktan dosya çagirilmasi engellenmis olur ve bu sayede büyük bir tehlikeden kurtulmus olursunuz.
Önerilen:
CODE:
allow_url_include = off
-------------------------
"display_errors" (Güvenlik)
Bu seçenek sitenizin çalismasinda olusacak bir hatayi tarayiciya yansitip yansitmayacagini belirler yani siteniz için diyelim bir forum veya portal kullaniyorsunuz ve bunlarin çalismasi esnasinda genelde "Fatal error: Call to undefined function get_header() in /home/vhosts/site.com/index.php on line 37" seklinde benzeri hata görülür bunlarin gözükmesini engellemek için bu degeri kapali duruma getirmek gerekir zira kötü niyetli kisiler sitenizin serverda bulunan tam yolunu ögrenmis olurlar.
Önerilen:
CODE:
display_errors = Off
-------------------------
"cgi.force_redirect" (Güvenlik)
Bu deger normalde "on" olarak gelir ve Windows sunucularinda IIS, OmniHTTPD gibi buralarda kapatilmasi gerekir. Kendi sunucunuz için bu durum yoksa degistirmenize gerek yoktur.
Önerilen:
CODE:
cgi.force_redirect = on
-------------------------
"magic_quotes_gpc" (Güvenlik ve Performans)
Magic Quotes islemi GET/POST yöntemiyle gelen Cookie datasini otomatikmen PHP script'e kaçirir. Önerilen bu degerin açik olmasidir.
Önerilen:
CODE:
magic_quotes_gpc = on
-------------------------
"magic_quotes_runtime" (Güvenlik ve Performans)
Magic quotes çalisma sürecinde data olusturur, SQL'den exec()'den, vb.
Önerilen:
CODE:
magic_quotes_runtime = Off
-------------------------
"magic_quotes_sybase" (Güvenlik ve Performans)
Sybase-style magic quotes kullanir (Bunun yerine \' ' bununla '' kaçirir)
CODE:
magic_quotes_sybase = Off
-------------------------
"session.use_trans_sid" (Güvenlik)
Bu ayari dikkatli ayarlayin, kullanici emaile aktif oturum ID'si içeren URL gönderebilir
Önerilen:
CODE:
session.use_trans_sid = off
-------------------------
"open_basedir" (Güvenlik)
Burada belirttiginiz bir dizin haricindeki dosyalari veya klasörleri görmeleri olanaksizdir yani /home/vhosts/site.com/public_html/dosyalar/ sitenizde sadece dosyalar dizininin görüntülenmesini istiyorsaniz böyle yapilir veya hem dosyalar hemde resimlerin bulundugu yerin gözükmesi içinde böyle /home/vhosts/site.com/public_html/resimler:
/home/vhosts/site.com/public_html/dosyalar/ bunlar haricindeki yerlerin görünmesi imkansizdir. /home/vhosts/site.com/public_html/resimler:
/home/vhosts/site.com/public_html/dosyalar/ yazan yere görünmesini istediginiz dizinleri belirtin.
Önerilen:
CODE:
open_basedir = "/home/vhosts/site.com/public_html/resimler:
/home/vhosts/site.com/public_html/dosyalar/"
-------------------------
"safe_mode_exec_dir" (Güvenlik)
Safe Mode açikken bunu yaparsaniz sadece belirttiginiz dizinde islem yapilmasina izin verirsiniz. Safe Mode kapaliyken burada belirttiginiz dizinlerin disinda hiçbir dizinde islem yapilamaz. "/home/vhosts/site.com/public_html/" yazan yere kendi dizininizi yazabilirsiniz. Böylece, diyelim "/etc" v.s dizininden herhangi birsey çalistirmasina izin vermezsiniz.
Önerilen:
CODE:
safe_mode_exec_dir = "/home/vhosts/site.com/public_html/"
"Safe Mode" yani "Güvenli Mod" açikken yapilmasi tavsiye edilmez. Çünkü "safe mode" burada belirttiginiz dizinde etkisiz kalacaktir. Güvenli Mod'un açik olmasi o dizinde ise yaramayacaktir. Güvenlik için, "Safe Mod" yani "Güvenli Mod" "off" kapaliyken kullanilmasi daha uygundur.
-------------------------
"asp_tags" (Güvenlik)
ASP Style < % % > taglarina izin verilip verilmeyecegi belirlenir, kapali duruma getirilmesi önerilir.
Önerilen:
CODE:
asp_tags = Off
-------------------------
"session.hash_function" (Güvenlik)
Oturumlar için Hash Fonksiyonu
0: MD5 (128 bits)
1: SHA-1 (160 bits)
Önerilen:
CODE:
session.hash_function = 0
-------------------------
"session.hash_bits_per_character" (Güvenlik)
Hash çevirirken her karakterde kaç bit saklansin
4 bits: 0-9, a-f
5 bits: 0-9, a-v
6 bits: 0-9, a-z, A-Z, "-", ","
Önerilen:
CODE:
session.hash_bits_per_character = 5
-------------------------
"expose_php" (Güvenlik)
"expose_php" açik ise kapali yapilmasi önerilir. Aksi takdirde PHP ile yaptiginiz herseyde sunucu tarafindan PHP sürümü gibi bilgiler gösterilir. Hackerlar hatta Lamerlar bu bilgileri severler. Bunlari engellemek için "off" konumuna getiriniz.
Önerilen:
CODE:
expose_php = Off
-------------------------
"html_errors" (Güvenlik)
Bu degerin açik olmasi durumunda PHP tiklanabilir hata mesajlari üretecektir. Kapali olmasi güvenlik için önerilir.
Önerilen:
CODE:
html_errors = off
-------------------------
"max_execution_time" (Güvenlik)
Scriptinizi maksimum uygulamayi yürütme zamani mesela kullanici bir linke tikladi ve bu linkin açilmasi belirtilen saniyeden fazla olursa sayfa sitenizin serverda bulundugu tam yolu göstererek hata verir. Bu hatalarin gözükmesi güvenlik açisindan sakincalidir. 300 saniye yazan yeri istediginiz zaman ile degistirebilirsiniz.
Önerilen:
CODE:
max_execution_time = 300
-------------------------
"max_input_time" (Güvenlik)
Scriptinizin ayni sekilde bir dataya ulasmak için istek yolladiginda maksimum geçen zaman
Önerilen:
CODE:
max_input_time = 300
-------------------------
"ServerSignature" (Güvenlik ve Performans)
"ServerSignature" sitenizde bulunmayan bir dosyanin bakilmasi durumunda bu sayfanin altinda serverla ilgili bir bilgi yer alir ve bu da performansi düsürür ayrica kötü niyetli kisiler serverla ilgili bir bilgi ögrenmis olurlar.
Önerilen:
CODE:
ServerSignature = Off
-------------------------
"UseCanonicalName" (Performans)
Bu ayarin açik olmasi Apache self-referencing URL olusturdugunda Server ismi ve porttan olusan bir çözülmüs isim kullanir.
Önerilen:
CODE:
UseCanonicalName = Off
-------------------------
"HostnameLookups" (Performans)
"HostnameLookups" açik olmasi performansin düsmesine neden olur. IP numarasi DNS sunucusundan bakilarak adres ögrenilir buda performansi düsürür.
Önerilen:
CODE:
HostnameLookups = Off
-------------------------
"ExtendedStatus" (Performans)
Serverin durumunu ögrenmek için server-status kullaniliyorsa Apache her an bu islemcinin çagrilabilecegini bekledigi için hazir bekler ve her an sistem saatini ögrenmesi gerekir bu da performansi düsürür.
Önerilen:
CODE:
ExtendedStatus = off
-------------------------
"register_long_arrays" (Güvenlik ve Performans)
Bu degerin "on" açik olmasi durumunda sisteminizde her script çalismayacaktir install v.s yapmakta hatalarla karsilasabilirsiniz ama iyi bir güvenlik ve performans için "off" duruma getirilir.
Önerilen:
CODE:
register_long_arrays = Off
-------------------------
"allow_call_time_pass_reference" (Performans)
Fonksiyonlarin çagrilma zamaninda yasanan uyumsuzluklarla ilgili uyari verir.
Önerilen:
CODE:
allow_call_time_pass_reference = off
-------------------------
"enable_dl" (Güvenlik)
Bu degerin "off" kapali olmasi gerekir aksi halde kisilerin sistemde php modüllerinde çalisma yapmasina olanak saglar ve sistemde rahat dolasmalarini saglar güvenlik için kapali olmasi gerekir.
Önerilen:
CODE:
enable_dl = off
-------------------------
"track_errors" (Güvenlik ve Performans)
Sürücülerde meydana gelen hatalarda yetki verildigi taktirde hata mesaji errormsg olarak degiskende gösterilir.
Önerilen:
CODE:
track_errors = Off
-------------------------
"file_uploads" (Güvenlik)
Açik olursa eger sunucuda dosya yüklenmesine izin verilmis olur ve bu da ciddi bir güvenlik açigina neden olur eger kullandiginiz scriptden herhangi bir dosya yüklemeniz gerekmiyorsa mutlaka kapali duruma getiriniz. Bu sayede sitenize herhangi bir shell, script inject edise bile kesinlikle dosya yüklenmesine izin vermez.
Önerilen:
CODE:
file_uploads = off
-------------------------
"ignore_repeated_errors" (Güvenlik ve Performans)
Açik olursa tekrarlanan hatalari loglamaz.
Önerilen:
CODE:
ignore_repeated_errors = Off
-------------------------
"ignore_repeated_source" (Güvenlik ve Performans)
Tekrarlanan mesajlar engellendiginde, mesaj kaynagini engeller Bu ayar açik yapildiginda hatalari loglamayacaktir farkli dosyalardan ya da kaynaklardan tekrarlanan mesajlarla.
Önerilen:
CODE:
ignore_repeated_source = Off
-------------------------
"display_startup_errors" (Güvenlik ve Performans)
"display_errors" degeri "on" açik olsa bile, Php'nin çalisma sirasinda meydana gelen hatalar gözükmeyecektir. Bu degerin siddetle "off" kapali duruma getirilmesi önerilir.
Önerilen:
CODE:
display_startup_errors = off
-------------------------
"safe_mode_gid" (Güvenlik)
UID - GID kontrollerini sadece UID ile yapmasina izin verir böylece ayni grupta dosyalar bulunsa bile göremezler yani serverda bulunan diger clientlarin scriptlerini v.s görmeleri engellenir.
Önerilen:
CODE:
safe_mode_gid = Off
-------------------------
"output_buffering = 4096" (Performans)
4 KB'lik bir tampon çiktisi ayarlar "output buffer"
Önerilen:
CODE:
output_buffering = 4096
-------------------------
"register_argc_argv" (Performans)
Kapali olursa gereksiz ARGV ve ARGC kayitlarini önler. PHP nin ARGV ve ARGC degiskenlerini bildirip bildirmemesini anlatir.
Önerilen:
CODE:
register_argc_argv = Off
-------------------------
"php_value session.use_trans_sid - php_value session.use_only_cookies"
Bu sekilde ayarlanmasi URL'deki PHPSESSID bilgilerini kaldirir.
Önerilen:
CODE:
php_value session.use_trans_sid = 0
php_value session.use_only_cookies = 1
-------------------------
"session.auto_start"
Oturum baslatmayi baslangiçta isteme
Önerilen:
CODE:
session.auto_start = 0
-------------------------
"session.cookie_lifetime"
Cookie'nin zaman ayari
Önerilen:
CODE:
session.cookie_lifetime = 0
-------------------------
"memory_limit"
Scriptin tükettigi maksimum hafiza miktari
Önerilen:
CODE:
memory_limit = 8M
-------------------------
"post_max_size"
PHP'nin kabul edecegi maksimum POST data boyutu
Önerilen:
CODE:
post_max_size = 256K
-------------------------
"upload_max_filesize"
Upload edilen dosyalarin maksimum boyutu
Önerilen:
CODE:
upload_max_filesize = 256K
-------------------------
"upload_tmp_dir"
Temporary klasörü HTTP'den gelen dosyalar, ayarlanmazsa default klasörü kullanacaktir.
Önerilen:
CODE:
upload_tmp_dir = /var/www/foo.bar/sessions
-------------------------
"variables_order"
(Ortam, GET, POST, Çerez, Sunucu) bunlarin islenmedeki siralarini belirler.
Önerilen:
CODE:
variables_order = "EGPCS"
Üstte belirttigim kodlari "php.ini" dosyaniza alt alta ekleyebilirsiniz.
Kaynak: eno7
Son Olarka php.ini den bir görüntü
[Resimleri görebilmek için üye olun veya giriş yapın.]
[Linkleri görebilmek için üye olun veya giriş yapın.]
[Resimleri görebilmek için üye olun veya giriş yapın.]
1 Back Connetion yapabiliriz.Safe Mode : OFF
2 Server özelliklerini görebiliriz
"System Linux node2.c26 2.6.17-1.2142_FC4smp #1 SMP Tue Jul 11 22:57:02 EDT 2006 i686 " gibi (3 de dahil)
1.1 > Sizin kendi ip adresiniz
1.2 > pc üstünden açtiginiz port numaraniz
*port açmak
Bilgisayarinizda netcat yüklü olmalidir...
1.3 Baslat/Çalistir Daha sonra "nc -vv -l -p 11457" komutu çalistirin Dikkat! " Netcat Yüklü olmalidir"
1.4 > Komut çalistirildiktan sonra baglanti için port dinlemeye geçiyor ekran görüntüsünde oldugu gibi...
Bu islemi Baslat/çalistir/cmd
Komut: netstat -an ilede takip edebilirsiniz.
Komut ile ilgili resim
#Back-Connect platforumunana geri dönüyoruz ve Connect diyoruz.
r57 Bu sekilde baglanmayi deniyor
#Arka kapi açildi.
[Resimleri görebilmek için üye olun veya giriş yapın.]
Sunucu Güvenligi Safe Mode Ayarlari kismi
#Sunucudaki php.ini
[Resimleri görebilmek için üye olun veya giriş yapın.]
BU Kisim alinti:
"php.ini" yapilandirmasina geçmeden önce sunucumuzda bulunan klasör ve dosya izinlerini "chmod" dogru sekilde ayarlayalim. Genelde FTP programlarinda dosya yada klasör üzerine "sag click" yapilip yada "file" seçeneginden "Change Attributes ya da Properties / CHMOD" seçeneklerinden düzenleriz burada "permissions" altinda yani izinler altinda önerilenleri girmek en uygunudur.
Klasörler için: 755
Dosyalar için: 644
Izinleri bu sekilde ayarlamaniz güvenlik için ilk adimi atmaniza yardimci olur.
"php.ini" yapilandirmasi:
Eger server admini iseniz yani root yetkilere sahipseniz bu ayarlari serverda bulunan tüm siteler için yapabilirsiniz genellikle "/usr/local/Zend/etc/" altinda bulunan "php.ini" dosyasini açarak düzenleyebilirsiniz veya "httpd.conf" dosyasinin dogru yapilandirilmasiyla da olur. Daha sonra apache'ye restart atmaniz gerekmektedir.
Root degilseniz sadece kendi siteniz için yapmaniz gerekiyorsa kök dizininizde (public_html) bir "php.ini" dosyasi olusturarak veya varolan "php.ini" dosyasinin içerisine altta verdigim kodlari ekleyerek güvenliginizi saglayabilirsiniz. Fakat sitenizle ayni serverda bulunan diger sitelerden kaynaklanan açiklardan yararlanan kisiler root olmayi basarirlarsa burada anlatilanlar yetersiz kalir, root olmayi basaramazlarsa ve sitenizin sifrelerini kaptirmazsaniz güvendesinizdir.
***Altta anlattigim bilgiler iyi bir güvenlik için yapilmasi gerekenler oldugundan dolayi bunlari uyguladiktan sonra bazi scriptlerinizin çalismasi engellenmis olabilir. Ama scriptin çalismasini engelleyen degerleri iptal ederseniz script tekrar dogru sekilde çalisacaktir***
Simdi gelelim "php.ini" yapilandirmasina:
"disable_functions" (Güvenlik)
"disable_functions" ile serverinizda birçok fonksiyonun çalismasini engelleyebilirsiniz bu sayede sitenize inject edilen scriptler, sheller için güvenliginizi almis olursunuz. Bu kadar fonksiyon fazla gelebilir ama iyi bir güvenlik için sart. Bu kadar sayida devre disi birakilan fonksiyonlar ilk defa "eno7.org" adresinde verilmistir.
Önerilen:
CODE:
disable_functions = foreach, glob, openbasedir, posix_getpwuid, f_open, system,dl, array_compare, array_user_key_compare, passthru, cat, exec, popen, proc_close, proc_get_status, proc_nice, proc_open, escapeshellcmd, escapeshellarg, show_source, posix_mkfifo, ini_restore, mysql_list_dbs, get_current_user, getmyuid,pconnect, link, symlink, fin, passthruexec, fileread, shell_exec, pcntl_exec, ini_alter, parse_ini_file, leak, apache_child_terminate, chown, posix_kill, posix_setpgid, posix_setsid, posix_setuid, proc_terminate, syslog, allow_url_fopen, fpassthru, execute, shell, curl_exec, chgrp, stream_select, passthru, socket_select, socket_create, socket_create_listen, socket_create_pair, socket_listen, socket_accept, socket_bind, socket_strerror, pcntl_fork, pcntl_signal, pcntl_waitpid, pcntl_wexitstatus, pcntl_wifexited, pcntl_wifsignaled, pcntl_wifstopped, pcntl_wstopsig, pcntl_wtermsig, openlog, apache_get_modules, apache_get_version, apache_getenv, apache_note, apache_setenv, virtual
Eger bu kadar fonsiyonu devre disi birakmak fazla geldiyse alttaki gibi de ayarlayabilirsiniz bu da güvenliginiz için yeterlidir:
CODE:
disable_functions = glob, posix_getpwuid, array_compare, array_user_key_compare, ini_restore, exec, proc_get_status, proc_nice, proc_open, allow_url_fopen, fin, pconnect, system, dl, passthruexec, shell_exec, proc_close, proc_get_status, chown, chgrp, escapeshellcmd, escapeshellarg, fileread, passthru, popen,curl_exec, shell, execute
-------------------------
"safe_mode" (Güvenlik)
"Safe Mode" adindan da anlasilacagi gibi "Güvenli Mod" anlamina geliyor. "Safe Mode" genelde birçok serverda "Off" durumdadir ve bu da birçok tehlikeye davetiye çikaran unsurlar arasinda yer alir. "Güvenli Modu Açik" durumuna getirmek shellerin serverimizda istedikleri gibi dolasmalarini, exploitlerin çalistirilmasini ve komutlarin execute edilmelerini önler. Günümüzde "açik olan güvenlik modunu" kapali duruma getiren scriptler mevcut fakat altta anlatilan önlemlerle bunun da önüne geçilebilir.
Önerilen:
CODE:
safe_mode = on
-------------------------
"register_globals" (Güvenlik ve Performans)
php.ini dosyasinda bulunan "post" "get" ile gönderilen degerlere kullanici adlariyla ulasilip ulasilamayacagini belirtir. Session, cookie degerlerini kendi adiyla tanimlayarak birer degisken olmasina neden olur. "Off" olarak ayarlanirsa bu gibi degerlere kendi tanimladigi sekilde ulasilamaz.
Önerilen:
CODE:
register_globals = off
-------------------------
"allow_url_fopen" (Güvenlik)
"allow_url_fopen" default olarak "açik" seklinde gelir ve bunun "on" açik olmasi "file_get_contents()", "include()", "require()" fonksiyonlar uzaktaki dosyalari da islemesine olanak tanir. Bunlara verilen bilgiler hiçbir kontrolden geçirilmezse kritik güvenlik açiklarini sebep olur.
Önerilen:
CODE:
allow_url_fopen = off
-------------------------
"allow_url_include" (Güvenlik)
Bu deger kapali yapildiginda "require" ve "include" ile uzaktan dosya çagirilmasi engellenmis olur ve bu sayede büyük bir tehlikeden kurtulmus olursunuz.
Önerilen:
CODE:
allow_url_include = off
-------------------------
"display_errors" (Güvenlik)
Bu seçenek sitenizin çalismasinda olusacak bir hatayi tarayiciya yansitip yansitmayacagini belirler yani siteniz için diyelim bir forum veya portal kullaniyorsunuz ve bunlarin çalismasi esnasinda genelde "Fatal error: Call to undefined function get_header() in /home/vhosts/site.com/index.php on line 37" seklinde benzeri hata görülür bunlarin gözükmesini engellemek için bu degeri kapali duruma getirmek gerekir zira kötü niyetli kisiler sitenizin serverda bulunan tam yolunu ögrenmis olurlar.
Önerilen:
CODE:
display_errors = Off
-------------------------
"cgi.force_redirect" (Güvenlik)
Bu deger normalde "on" olarak gelir ve Windows sunucularinda IIS, OmniHTTPD gibi buralarda kapatilmasi gerekir. Kendi sunucunuz için bu durum yoksa degistirmenize gerek yoktur.
Önerilen:
CODE:
cgi.force_redirect = on
-------------------------
"magic_quotes_gpc" (Güvenlik ve Performans)
Magic Quotes islemi GET/POST yöntemiyle gelen Cookie datasini otomatikmen PHP script'e kaçirir. Önerilen bu degerin açik olmasidir.
Önerilen:
CODE:
magic_quotes_gpc = on
-------------------------
"magic_quotes_runtime" (Güvenlik ve Performans)
Magic quotes çalisma sürecinde data olusturur, SQL'den exec()'den, vb.
Önerilen:
CODE:
magic_quotes_runtime = Off
-------------------------
"magic_quotes_sybase" (Güvenlik ve Performans)
Sybase-style magic quotes kullanir (Bunun yerine \' ' bununla '' kaçirir)
CODE:
magic_quotes_sybase = Off
-------------------------
"session.use_trans_sid" (Güvenlik)
Bu ayari dikkatli ayarlayin, kullanici emaile aktif oturum ID'si içeren URL gönderebilir
Önerilen:
CODE:
session.use_trans_sid = off
-------------------------
"open_basedir" (Güvenlik)
Burada belirttiginiz bir dizin haricindeki dosyalari veya klasörleri görmeleri olanaksizdir yani /home/vhosts/site.com/public_html/dosyalar/ sitenizde sadece dosyalar dizininin görüntülenmesini istiyorsaniz böyle yapilir veya hem dosyalar hemde resimlerin bulundugu yerin gözükmesi içinde böyle /home/vhosts/site.com/public_html/resimler:
/home/vhosts/site.com/public_html/dosyalar/ bunlar haricindeki yerlerin görünmesi imkansizdir. /home/vhosts/site.com/public_html/resimler:
/home/vhosts/site.com/public_html/dosyalar/ yazan yere görünmesini istediginiz dizinleri belirtin.
Önerilen:
CODE:
open_basedir = "/home/vhosts/site.com/public_html/resimler:
/home/vhosts/site.com/public_html/dosyalar/"
-------------------------
"safe_mode_exec_dir" (Güvenlik)
Safe Mode açikken bunu yaparsaniz sadece belirttiginiz dizinde islem yapilmasina izin verirsiniz. Safe Mode kapaliyken burada belirttiginiz dizinlerin disinda hiçbir dizinde islem yapilamaz. "/home/vhosts/site.com/public_html/" yazan yere kendi dizininizi yazabilirsiniz. Böylece, diyelim "/etc" v.s dizininden herhangi birsey çalistirmasina izin vermezsiniz.
Önerilen:
CODE:
safe_mode_exec_dir = "/home/vhosts/site.com/public_html/"
"Safe Mode" yani "Güvenli Mod" açikken yapilmasi tavsiye edilmez. Çünkü "safe mode" burada belirttiginiz dizinde etkisiz kalacaktir. Güvenli Mod'un açik olmasi o dizinde ise yaramayacaktir. Güvenlik için, "Safe Mod" yani "Güvenli Mod" "off" kapaliyken kullanilmasi daha uygundur.
-------------------------
"asp_tags" (Güvenlik)
ASP Style < % % > taglarina izin verilip verilmeyecegi belirlenir, kapali duruma getirilmesi önerilir.
Önerilen:
CODE:
asp_tags = Off
-------------------------
"session.hash_function" (Güvenlik)
Oturumlar için Hash Fonksiyonu
0: MD5 (128 bits)
1: SHA-1 (160 bits)
Önerilen:
CODE:
session.hash_function = 0
-------------------------
"session.hash_bits_per_character" (Güvenlik)
Hash çevirirken her karakterde kaç bit saklansin
4 bits: 0-9, a-f
5 bits: 0-9, a-v
6 bits: 0-9, a-z, A-Z, "-", ","
Önerilen:
CODE:
session.hash_bits_per_character = 5
-------------------------
"expose_php" (Güvenlik)
"expose_php" açik ise kapali yapilmasi önerilir. Aksi takdirde PHP ile yaptiginiz herseyde sunucu tarafindan PHP sürümü gibi bilgiler gösterilir. Hackerlar hatta Lamerlar bu bilgileri severler. Bunlari engellemek için "off" konumuna getiriniz.
Önerilen:
CODE:
expose_php = Off
-------------------------
"html_errors" (Güvenlik)
Bu degerin açik olmasi durumunda PHP tiklanabilir hata mesajlari üretecektir. Kapali olmasi güvenlik için önerilir.
Önerilen:
CODE:
html_errors = off
-------------------------
"max_execution_time" (Güvenlik)
Scriptinizi maksimum uygulamayi yürütme zamani mesela kullanici bir linke tikladi ve bu linkin açilmasi belirtilen saniyeden fazla olursa sayfa sitenizin serverda bulundugu tam yolu göstererek hata verir. Bu hatalarin gözükmesi güvenlik açisindan sakincalidir. 300 saniye yazan yeri istediginiz zaman ile degistirebilirsiniz.
Önerilen:
CODE:
max_execution_time = 300
-------------------------
"max_input_time" (Güvenlik)
Scriptinizin ayni sekilde bir dataya ulasmak için istek yolladiginda maksimum geçen zaman
Önerilen:
CODE:
max_input_time = 300
-------------------------
"ServerSignature" (Güvenlik ve Performans)
"ServerSignature" sitenizde bulunmayan bir dosyanin bakilmasi durumunda bu sayfanin altinda serverla ilgili bir bilgi yer alir ve bu da performansi düsürür ayrica kötü niyetli kisiler serverla ilgili bir bilgi ögrenmis olurlar.
Önerilen:
CODE:
ServerSignature = Off
-------------------------
"UseCanonicalName" (Performans)
Bu ayarin açik olmasi Apache self-referencing URL olusturdugunda Server ismi ve porttan olusan bir çözülmüs isim kullanir.
Önerilen:
CODE:
UseCanonicalName = Off
-------------------------
"HostnameLookups" (Performans)
"HostnameLookups" açik olmasi performansin düsmesine neden olur. IP numarasi DNS sunucusundan bakilarak adres ögrenilir buda performansi düsürür.
Önerilen:
CODE:
HostnameLookups = Off
-------------------------
"ExtendedStatus" (Performans)
Serverin durumunu ögrenmek için server-status kullaniliyorsa Apache her an bu islemcinin çagrilabilecegini bekledigi için hazir bekler ve her an sistem saatini ögrenmesi gerekir bu da performansi düsürür.
Önerilen:
CODE:
ExtendedStatus = off
-------------------------
"register_long_arrays" (Güvenlik ve Performans)
Bu degerin "on" açik olmasi durumunda sisteminizde her script çalismayacaktir install v.s yapmakta hatalarla karsilasabilirsiniz ama iyi bir güvenlik ve performans için "off" duruma getirilir.
Önerilen:
CODE:
register_long_arrays = Off
-------------------------
"allow_call_time_pass_reference" (Performans)
Fonksiyonlarin çagrilma zamaninda yasanan uyumsuzluklarla ilgili uyari verir.
Önerilen:
CODE:
allow_call_time_pass_reference = off
-------------------------
"enable_dl" (Güvenlik)
Bu degerin "off" kapali olmasi gerekir aksi halde kisilerin sistemde php modüllerinde çalisma yapmasina olanak saglar ve sistemde rahat dolasmalarini saglar güvenlik için kapali olmasi gerekir.
Önerilen:
CODE:
enable_dl = off
-------------------------
"track_errors" (Güvenlik ve Performans)
Sürücülerde meydana gelen hatalarda yetki verildigi taktirde hata mesaji errormsg olarak degiskende gösterilir.
Önerilen:
CODE:
track_errors = Off
-------------------------
"file_uploads" (Güvenlik)
Açik olursa eger sunucuda dosya yüklenmesine izin verilmis olur ve bu da ciddi bir güvenlik açigina neden olur eger kullandiginiz scriptden herhangi bir dosya yüklemeniz gerekmiyorsa mutlaka kapali duruma getiriniz. Bu sayede sitenize herhangi bir shell, script inject edise bile kesinlikle dosya yüklenmesine izin vermez.
Önerilen:
CODE:
file_uploads = off
-------------------------
"ignore_repeated_errors" (Güvenlik ve Performans)
Açik olursa tekrarlanan hatalari loglamaz.
Önerilen:
CODE:
ignore_repeated_errors = Off
-------------------------
"ignore_repeated_source" (Güvenlik ve Performans)
Tekrarlanan mesajlar engellendiginde, mesaj kaynagini engeller Bu ayar açik yapildiginda hatalari loglamayacaktir farkli dosyalardan ya da kaynaklardan tekrarlanan mesajlarla.
Önerilen:
CODE:
ignore_repeated_source = Off
-------------------------
"display_startup_errors" (Güvenlik ve Performans)
"display_errors" degeri "on" açik olsa bile, Php'nin çalisma sirasinda meydana gelen hatalar gözükmeyecektir. Bu degerin siddetle "off" kapali duruma getirilmesi önerilir.
Önerilen:
CODE:
display_startup_errors = off
-------------------------
"safe_mode_gid" (Güvenlik)
UID - GID kontrollerini sadece UID ile yapmasina izin verir böylece ayni grupta dosyalar bulunsa bile göremezler yani serverda bulunan diger clientlarin scriptlerini v.s görmeleri engellenir.
Önerilen:
CODE:
safe_mode_gid = Off
-------------------------
"output_buffering = 4096" (Performans)
4 KB'lik bir tampon çiktisi ayarlar "output buffer"
Önerilen:
CODE:
output_buffering = 4096
-------------------------
"register_argc_argv" (Performans)
Kapali olursa gereksiz ARGV ve ARGC kayitlarini önler. PHP nin ARGV ve ARGC degiskenlerini bildirip bildirmemesini anlatir.
Önerilen:
CODE:
register_argc_argv = Off
-------------------------
"php_value session.use_trans_sid - php_value session.use_only_cookies"
Bu sekilde ayarlanmasi URL'deki PHPSESSID bilgilerini kaldirir.
Önerilen:
CODE:
php_value session.use_trans_sid = 0
php_value session.use_only_cookies = 1
-------------------------
"session.auto_start"
Oturum baslatmayi baslangiçta isteme
Önerilen:
CODE:
session.auto_start = 0
-------------------------
"session.cookie_lifetime"
Cookie'nin zaman ayari
Önerilen:
CODE:
session.cookie_lifetime = 0
-------------------------
"memory_limit"
Scriptin tükettigi maksimum hafiza miktari
Önerilen:
CODE:
memory_limit = 8M
-------------------------
"post_max_size"
PHP'nin kabul edecegi maksimum POST data boyutu
Önerilen:
CODE:
post_max_size = 256K
-------------------------
"upload_max_filesize"
Upload edilen dosyalarin maksimum boyutu
Önerilen:
CODE:
upload_max_filesize = 256K
-------------------------
"upload_tmp_dir"
Temporary klasörü HTTP'den gelen dosyalar, ayarlanmazsa default klasörü kullanacaktir.
Önerilen:
CODE:
upload_tmp_dir = /var/www/foo.bar/sessions
-------------------------
"variables_order"
(Ortam, GET, POST, Çerez, Sunucu) bunlarin islenmedeki siralarini belirler.
Önerilen:
CODE:
variables_order = "EGPCS"
Üstte belirttigim kodlari "php.ini" dosyaniza alt alta ekleyebilirsiniz.
Kaynak: eno7
Son Olarka php.ini den bir görüntü
[Resimleri görebilmek için üye olun veya giriş yapın.]
[Linkleri görebilmek için üye olun veya giriş yapın.]
- Kod:
Back,Connection,Kurmak,kurma,security,ottoman,web,site,server,güvenlik,güvenliği,Sunucu Güvenliği
