Safe_mod udn register_global auf einem eigenen server?

[kow]

Hallo

Ich besitze einen eigenen server wo nur ich mit diversen Domains drauf bin.
Ich habe nun sehr vieles über register_globals und safe_mode gelesen, dabei viele interessante beiträge gefunden.
Jedoch eine frage:
Was ist normal bei den beiden optionen? on oder off? Also was hat man standartmässig auf webpaketen und warum? Habe heute nen scritpo gesehen das z.b. register_globlas on verlangt. da gibts ja einige.

Würde mich über konstruktive beiträge freuen.

Schöne vorweihnachtszeit!

Gruss

KoW

[wgot]

Hallo,

Was ist normal bei den beiden optionen?

registerglobals off
savemode on

noch besser:
php als cgi einrichten und registerglobals off

und warum?

Sicherheit

Habe heute nen scritpo gesehen das z.b. register_globlas on verlangt.

Dann such Dir ein besseres.

da gibts ja einige.

Leider.

Gruß, Wolfgang

[kow]

Ich habe diese Konfiguration bei mir gehabt:
register_globals off
savemode on
Also kann ich dies so beruhen lassen mti guten wissen udn gewissen?
War nur verstutzt da der oscommerce shop ja nicht sehr klein ist das der register_globals on verlangt

Gruss

KoW

[niemand]

Such dir was besseres, wie wgot schon sagte. Es gibt keinen zwingenden Grund, beim Erstellen von einem Script auf register_globals off zu bauen.
Wer's dennoch macht, sollte sich ein anderes Hobby suchen ;)

Ansonsten, wer mal das Problem hat und ein solches Script unbedingt benutzen muss (aus welchem Grund auch immer): In einer guten IDE oder mit einem Script die Variablen raussuchen, für die es benötigt wird und eine Wrapper-Funktion schreiben.

cu

[kow]

Such dir was besseres, wie wgot schon sagte. Es gibt keinen zwingenden Grund, beim Erstellen von einem Script auf register_globals off zu bauen.
Wer's dennoch macht, sollte sich ein anderes Hobby suchen ;)

Ansonsten, wer mal das Problem hat und ein solches Script unbedingt benutzen muss (aus welchem Grund auch immer): In einer guten IDE oder mit einem Script die Variablen raussuchen, für die es benötigt wird und eine Wrapper-Funktion schreiben.

cu

Ich glaube du meintest nicht auf register_:global son bauen oder? :)
Dnan lass ich
register_globals off
savemode on
und werde glücklich :)
bedanke mich herzlichst und wünsche schöne vorweihnachtszeit und fast angenehmen 3. adventssontag.

Gruss

KoW

[wgot]

Hallo,

Ich habe diese Konfiguration bei mir gehabt:
register_globals off
savemode on
Also kann ich dies so beruhen lassen mti guten wissen udn gewissen?

Du hast noch ein besseres Gewissen wenn Du PHP als CGI laufen läßt.

das der register_globals on verlangt

wenn ein Script on verlangt mißachtet es aktuelle Sicherheitsaspekte. Vielleicht ist es einfach nur (ver)alt(et), dann ist es auch unter Sicherheitsaspekten nicht mehr aktuell, oder es wurde in den letzten Jahren geschrieben, dann hat sich der Programmierer nicht für eine elementare Sicherheitskomponente interessiert. Möchtest Du wirklich ausprobieren welche Sicherheitsaspekte er sonst noch vernachlässigt hat?

Gruß, Wolfgang

[niemand]

[quot]Ich glaube du meintest nicht auf register_:global son bauen oder?[/quote]
Stimmt, entschuldige.

cu

[weisnix]

Hi,

ich habe von der Thematik (Sicherheit Apache und PHP) leider auch noch nicht viel Ahnung, bin aber gerade am einlesen.
Allerdings gibt es für oscommerce einen Patch der das Register Globals "Problem" hehebt.

Gruß
weisnix

[kow]

Hallo

Habe grad mal die einzelnen webs angeschaut (Läuft mti Confixx3)
Dort ist diese einstellung bei phpinfo
safe_mode On Off
Also Local on Master off
Heisst dies das bei diesem web (bez bei allen, nehm i ja an weil bei allen webs so ist) das Safe_mode on ist aber grund einstellung ist off? Was ist denn genau der master wert? also von was? Ist ja bei allen webs on

Gruss

KoW

[markus021]

Hallo,

leider bin ich mir nicht sicher ob ich das alles mit registerblobal verstehe und was ich da an meinen Scripten ändern müsste, eigneldich bedeitet doch das nur, dass die Variablen nicht automatisch in einer Variable mit dem übergebenen Namen aus der URL benannt wird. Oder so :lol:
Da ich von Perl her das nicht kenne habe ich eh stehts immer mit _POST gearbeitet und die Variabelen bei bedarf gefüllt. Werden den die Daten bei registerglo... OFF dann noch an _POST _GET _COOKIE übergeben oder an was werden die dan geschickt ?

Bidde nit druff hauen wenn die Frage zu blöd ist. Danke für die Hilfe.

Gruß
Markus

[wgot]

Hallo,

eigneldich bedeitet doch das nur, dass die Variablen nicht automatisch in einer Variable mit dem übergebenen Namen aus der URL benannt wird.

korrekt.

Werden den die Daten bei registerglo... OFF dann noch an _POST _GET _COOKIE übergeben

ja.

Gruß, Wolfgang

[arty]

Hi,

wenn man nur einen Benutzer auf dem Server hat, dann kann man auch mod_php ohne Bedenken benutzen.

bye
Thorsten

[Anonymous]

wenn man nur einen Benutzer auf dem Server hat, dann kann man auch mod_php ohne Bedenken benutzen.

Natürlich weiss man nicht, was andere Mitbenutzer auf dem Server machen und das erhöht die Gefahr. Der Umkehrschluss, dass ein einzelner User (man selbst) nichts anstellen kann, stimmt aber wohl nicht.

Nach meinem Verständnis kommt es in erster Linie auf die Art des gehosteten PHP-Codes an, ob dieser für Exploit aufgrund von register_global=on durch Hacker empfänglich ist und was die Folgen eines solchen Exploits sind.

Das kann beim Installieren grösserer OpenSourcer Pakete wie die diversen CMS/Portal-Systeme, OsCommerce usw. durchaus der Fall sein, bei selbstgeschriebenem Code ebenso.

Siehe auch die Besprechung dazu in der offiziellen php Doku unter:
http://www.php.net/manual/de/security.globals.php

HTH
Snoopy

[Roger Wilco]

wenn man nur einen Benutzer auf dem Server hat, dann kann man auch mod_php ohne Bedenken benutzen.

Natürlich weiss man nicht, was andere Mitbenutzer auf dem Server machen und das erhöht die Gefahr. Der Umkehrschluss, dass ein einzelner User (man selbst) nichts anstellen kann, stimmt aber wohl nicht.

Gemeint war sicherlich: Wenn man nur 1 (in Worten: einen) Benutzer auf dem Server hat...

[arty]

wenn man nur einen Benutzer auf dem Server hat, dann kann man auch mod_php ohne Bedenken benutzen.

Natürlich weiss man nicht, was andere Mitbenutzer auf dem Server machen und das erhöht die Gefahr. Der Umkehrschluss, dass ein einzelner User (man selbst) nichts anstellen kann, stimmt aber wohl nicht.

Gemeint war sicherlich: Wenn man nur 1 (in Worten: einen) Benutzer auf dem Server hat...

so hatte ich es auch geschrieben: 1 Benutzer auf dem Server, ab dem zweiten habe ich ein Multiusersystem und Shared Hosting.

bye
arty