phpinfo.php: невероятно, но факт

[kiryam]

это не самое страшное
Попробуйте пройтись и проверить наличие файлов svn–commit.tmp
Из которых можно собрать гораздо больше ценной информации

[AStahl]

Подумал, полез на свой сервачок, нашел один такой файл:)
Правда назывался от не phpinfo.php.
Посмотрел, что в этом списке, не нашёл ничего криминального и любопытного, но удалил.

[decanet]

> Server API FPM/FastCGI

они тоже отказались от апача…

[padonaque]

Кстати, а что с фтп? Я как-то в современных проблемах безопасности не шибко продвинут.

[Regis]

Он ОЧЕНЬ старый и совершенно не секьюрный — снифается на ура. Посмотрите в сторону SFTP хотя бы.

[den_rad]

Не все хостинги еще поддерживают SFTP/SCP, поэтому VDS — наше все

[postdig]

да побоку что снифается. особенно на промежуточных роутерах.
ибо это угроза слишком маловероятна и «теоретическая» в реальности.

пароли уводят троянами, что воруют сохраненные пароли и перехватывают вводимые при конекте.
впрочем такие трояны перехватывают не только фтп.

PS: да, я знаю о чем говорю.

[TheShock]

занимаетесь? ;)

[huze]

— А ты что, коп? — очередной американский фильм.

[Regis]

Да, я знаю о чем вы говорите :)
И знаю, что вы правы. И всё же считаю нужным по возможности использовать SFTP/SCP. Ибо иногда хочется иметь возможность быстро залезть на сервер через открытый вай-фай. Пусть шанс, что конкретный спот снифается — малы, но «цена ошибки» тут слишком высока.

[netload]

Через открытый wi-fi нужно ходить через vpn, чтобы потом не было сюрпризов :)

[Regis]

Тоже верно. Но VPN-доступ есть не всегда.

[equand]

HTTP видимо верх секъюрности :).

[Regis]

В админки своих проектов лазаете по HTTP? )

[silvergh0st]

Собственно:
itoutsourcing.org.ua/2010/nebolshoe-isledovanie/

[conturov]

есть много вариаций названия файла и он может находится не в корневой папке.

Да и яйца присутствуют: habrahabr.ru/blogs/php/88966/

[DevMan]

Заголовок ещё желтее придумать не получилось?

[olegsuv]

«Каждый 21-ый сайт из яндекс.каталога поддается взлому!»

[Stormix]

А PHP 5.3 всего около 3%, казалось, уже больше будет.

[netload]

Интереснее другое — доля php4 всё ещё 24-25%. Рано хостингам и разработчикам отказываться от поддержки php4.

[Fredy314]

Вот именно потому что не отказываются хостинги и сайты не переезжают. Многие сами не обновляют надеются на админов хостинга, а они даже на платных не всегда достаточно ответственно подходят к этому вопросу.

[aleXoid]

Многие сайты не обновлялись последние несколько лет. Им просто незачем менять версии php.

[netload]

Во многих старых версиях php есть уязвимости (иногда критические, иногда не очень). Поэтому разумно обновляться до свежих версий в своей линейке (4.4 или 5.2).

[aleXoid]

Да все просто. Лет пять назад Вася Пупкин написал компании сайт на php 4.3. Он работает и даже иногда туда заносят новости. Вопрос кто и зачем должен мониторить актуальность версий php?

— Хостер — а вдруг что-то отвалится. Нафиг связываться не хочет.
— Вася Пупкин — получил денег и забыл давно.
— Девочка маркетолог из компании — не представляет что такое php.
— Кулхацкер, который узнал что там устаревшая версия… Ему нафиг этот сайт-визитка нужен

Не все же гики… Кстати, последняя typo3 вроде совместима с php 4.x

[jimmi]

есть сервер где ещё стоит freebsd 4 и 5 версии. И это стоит у вполне приличных хостеров… которые пишету о защищённости своей системе и т.д.

[SwampRunner]

ох уж этот test.php, надо делать постоянный ip дома себе, и проверять на сервере

[DLag]

PHP 5.1.6 — 5.8%
CentOS 5. :)

[WoZ]

а 5.2.10 это centos 5 testing

[DLag]

5.2.10 можно часто встретить и самосборные.
А 5.1.6 выдает ОС с потрохами.

[netload]

Я сделал проверку только на phpinfo.php. На test.php и temp.php не проверял из морально-этических соображений — эти скрипты могут содержать потенциально опасный (для сайта) код.

[reket]

Ещё любят называть php.php

[verych]

Еще нужно добавить info.php

[putnik]

Ну, по крайней мере на info.php, _phpinfo.php, _info.php, phpinfo_.php, info_.php точно можно было бы проверить.

[kurokikaze]

delete-production.php :)

[3ds]

killall-9.php

[kurokikaze]

Рестарт сервера — менее страшен чем такой "антидеплой".

[videns]

А я всегда создаю файл _phpinfo.php ;)

[roboter]

ещё install.php поищите!

[hom]

какой резон создавать файл phpinfo — разок создал, посмотрел конфиги пхп, подключенные модули, затем удалили и никогда он не понадобится

[decanet]

phpphp.php или php.php
а также, asd.php, asdf.php, 123.php, test1.php

я обычно так делаю )

[ergil]

а как же qqq.php?

[mkdotam]

А info.php?

[mottogohome]

За такое сканирование провайдер не прикроет абонента?

[Arceny]

А что здесь противозаконного?

[mottogohome]

Я не знаю, поэтому и спрашиваю. Просто помню, что 10 лет назад провайдер отключал за сканирование расшареных ресурсов в сети, это ещё когда карты доступа для модемов были.

[DevMan]

Это не то сканирование — просто запрос файла и анализ ответа сервера.

[mottogohome]

Если я запрошу этот файл у 100.000 сайтов — то всё ок, но если я запрошу 100.000 файлов на одном сайте — то всё плохо?

[DevMan]

Да запрашивайте на здоровье. Только про паузу не забудьте между запросами.
Именно этим и занимаются все поисковые машины.

[mottogohome]

Какую обычно паузу ставят? Мне всегда было интересно провести подобное исследование.
У поисковых машин свои выделенные сервера, а если я буду это делать со своей машины — могут возникнуть вопросы. Потом доказывай, что я соц. исследование проводил.

[netload]

Если за сайтом следит адекватный сисадмин, то выкачать много страниц с одного IP вы не сможете, независимо от паузы.
Не рекомендую делать больше 1 запроса в 5 секунд, иначе положите сайт ДоСом :)

З.Ы. Воровать контент — плохо.

[mottogohome]

вы просканировали 200 тыс. сайтов со своего домашнего компа? неужели провайдер смотрит на такие действия совершенно спокойно?

[netload]

Не просканировал, а скачал 200 тысяч страниц. В этом нет ничего криминального. Суммарный трафик всего 1 гигабайт.

[kurokikaze]

Немало получилось (для веб-краулера) :)

[netload]

~50 строчек php-кода (с комментариями, логом и т.п. красивостями), запускается в 15-20 потоков и неспешно работает.

[Stalker_RED]

teleport pro внезапно появляется на сцене.

[Arceny]

Кстати, не буду убирать файлы. Ничего сверхсекретного там нету.

На куче моих серваков они есть и ничего :-)
Если это shared хостинг, так там phpinfo вообще чаще всего публичная информация.

[glazs]

Тут статья проскакивала, были доступны .svn файлы, и авторы топика получили исходники множества крупных сайтов. Вот это реально круто, да.

[Yeah]

Просканируйте еще на домен.ру/phpmyadmin/setup/

[ha2bj]

Я один токо создаю такой файл с именем @.php?

[gaus0]

да

[Isis]

vkontakte.ru/test.php

[impass]

очень хитрый honeypot?

[sopov]

Делал раньше так php.info.php

[spEctoRius]

я вот ща одному сайту БД конвертирую, так на их старом сайте в каждом каталоге лежит php.ini :)
а каталогов у них ойойой :)

[DevMan]

Вы, наверное, не сталкивались с suexec/suphp. Иначе бы не удивлялись.

[kastigar]

i.php

[bashtannik]

Да ладно, нашли тоже уязвимость.

Вот некоторые веб-мастера предоставляют пользователям всякие свистящие WYSIWYG редакторы c кучей плагинов и запрещают закачку исполняемых файлов. При этом, как правило, запрещено расширение *.php, и, как правило, без проблем грузится .php5.

Я удивился, но оказывается многие даже не подозревают, что файл может иметь расширение phpn, где n — версия php, и успешно выполняться на сервере.

Что можно сделать если загрузить свой php на сервер говорить думаю не стоит.

[postdig]

открою страшну тайну…
не только .php5, а еще например .shtml и тд

[TheShock]

я вот ни .php ни .php5 не запрещаю.

потому что надо скрипт сайта ложить выше корневой папке, а папку с аплоадсами отдавать без возможности выполнения

[lafayette]

просто не надо оставлять загруженным файлам оригинальные имена (или хотя бы расширения)

[Stalker_RED]

if(!empty($_REQUEST['key'])&&'xx7D91eIf3zJ8gnZ2anvGLvx'==$_REQUEST['key']){phpinfo();}

[Stalker_RED]

а чем плохо? лучше ведь чем просто голый phpinfo. спрятанный только «секретным адресом»

[0lympian]

нашли что прятать…

[TiGR]

Адрес может быть и не секретным, а ключик может просто жить в куках.

[Vladson]

Храню phpinfo.php на сервере, а так-же test.php но в нём только одна строчка exit, сам не помню что там было и почему он остался…

Боюсь ли взлома?
Нет, дыр очевидных в моих скриптах нет (там слишком мало скриптов и они слишком простые чтоб можно было допустить в них дырки) а через дыры ОС (если таковые есть) взломать можно не зависимо от информации из phpinfo()

[Leonoff]

Любопытная статистика.
Однажды я решил поискать сколько symfony проектов лежит на продакшен серверах с открытым web-дебагом. Статистика, знаете-ли была не менее любопытной. (хинт: g inurl:frontend_dev.php -source -browser)

[netload]

Немного обобщенной статистики.
В Рунете из 1,725 сайтов register_globals включен на 941 (~54,5%), safe_mode на 106 (~6,1%)
В Буржунете из 3,923 сайтов register_globals включен на 1457 (~37,1%), safe_mode на 195 (~5%)

[kovyrlo]

Вы бы лучше пост дополнили статистикой.

[netload]

Добавил, спасибо за подсказку.

[kovyrlo]

Каждый день наблюдаю, как кто-то перебирает папки на сервере admin, phpmyadmin и т.д. )

[hrebet]

Вот!

Самое ужасающее что может быть, так это: admin;admin.

[netload]

Во всём можно найти позитив. У меня практически на каждом сайте есть папка admin с формой авторизации и сообщением в духе «твой IP записан, суши сухари». Забавно читать логи брутфорса этой формы.

[kellas]

думаю стоит создавать phpinfo.php в корне но не с phpinfo(), а с html кодом phpinfo с денвера — пусть помучаются.

[Doktor_Gradus]

Можно ещё от души порезвиться с содержанием html-кода phpinfo(). Я как то писал скрипт, который рандомом заполнял строки.

[equand]

Можно еще на 22 порт повесить honeypot со сбором инфы о взломщике, вплоть до трейсрутов и ip логов действий, а потом слать куда надо. Ботов поймаете только так :). Будут думать, что в реальном шелле под рутом сидят :D

[Doktor_Gradus]

LOL! Тогда уж логически продолжить идею. Пусть «псевдошелл» и реагирует «нужным» образом, например, на rm -rf напишет, что так и сделал! ))

[equand]

Это я и имел ввиду под honeypot :)

[mafet]

Кстати недавно поисследовал пару разных известных php-шеллов, на предмет используемых функций.
Хочу поделиться с хабрасообществом отключённых списком функций, которые я посчитал не нужными.

disable_functions = «phpinfo, apache_child_terminate, posix_getpwuid, apache_setenv, define_syslog_variables, escapeshellarg, escapeshellcmd, eval, exec, fp, fput, ftp_connect, ftp_exec, ftp_get, ftp_login, ftp_nb_fput, ftp_put, ftp_raw, ftp_rawlist, highlight_file, ini_alter, ini_get_all, ini_restore, inject_code, mysql_pconnect, openlog, passthru, php_uname, phpAds_remoteInfo, phpAds_XmlRpc, phpAds_xmlrpcDecode, phpAds_xmlrpcEncode, popen, posix_getpwuid, posix_kill, posix_mkfifo, posix_setpgid, posix_setsid, posix_setuid, posix_setuid, posix_uname, proc_close, proc_get_status, proc_nice, proc_open, proc_terminate, system, syslog, xmlrpc_entity_decode, shell_exec, getmyuid, getmygid, get_current_user, php_uname, diskfreespace, disk_total_space, posix_geteuid, posix_getegid»

Прописывается в php.ini
Так же включил safe_mode для пущей верности. Надеюсь кому-нибудь поможет =) По крайней мере dle и несколько других движков с таким набором функций работает.

[mafet]

Кстати phpinfo тоже отрубил =) Нафиг нужна)

[MIC]

Интересно иногда узнать какие модули подключены.

[mafet]

Ну мне это не часто бывает интересно =) тем более можно посмотреть по конфигам что подключено.

[mafet]

Господа минусующие, вы хоть объясните свою позицию, в чём я не прав? За что минус?
Не надо выключать функции? Или phpinfo в продакше — нужная вещь? Или я слишком параноидален?

[DevMan]

Хоть и не минусовал, но моё ИМХО — писать надо нормально, а не функции отключать.
Да и сама статья — полная лажа поскольку к безопасности отношения не имеет никакого. Ещё бы догадались чекать X-Powered-By/expose_php

[mafet]

Статья к безопасности косвенно относится — ведь посмотрев phpinfo, опытный взломщик может определить точки уязвимости, которые не очевидны. Неопытному это, конечно, не поможет.

Такое ощущение, что не все поняли смысл отключения функций. Ещё раз попробую объяснить — отключение, нужно для того, чтоб различные возможные php шелл-коды не смогли работать, в случае взлома, — это обезопасит от взлома, по крайней мере в какой-то степени.

«писать нормально» — это относится к языку php, поскольку функции встроены в php. Переписывать php слегка затруднительно. А к продуктам это не относится, поскольку все php-движки, которые по крайней мере у меня есть — вполне комфортно себя чувствуют без отключенных функций.

Поэтому имхо для обезопасивания — отключение функций наиболее простое и правильное решение, которое обезопасит от возможного внедрения шелл-кода, поскольку последний просто не сможет работать без этих функций и будет бесполезен.

Вообще честно говоря имхо эти функции должны быть отключены по умолчанию.

[DevMan]

ведь посмотрев phpinfo, опытный взломщик может определить точки уязвимости, которые не очевидны

Опытный взломщик (которому надо) определит точки уязвимости и без этой картинки. Максиму, это займёт у него немного больше времени.

«писать нормально» — это относится к языку php, поскольку функции встроены в php. Переписывать php слегка затруднительно.

Если честно, то не понял о чём это написано.
Писать нормально — значит нормально писать свой код, чтоб до этих функций не мог добраться злоумышленник.

Вообще, информационная безопасность — понятие комплексное и одним отключением функций не решается.

[mafet]

Ну никто не мешает дополнительно обезопаситься — ведь все люди человеки и допускают ошибки.

[Rodman]

это просто ребята хвастаются серваками!

[ProstoDesign]

хм, я почему-то уже лет 8 называю файл pi.php )

[Mezya]

Need PHP guru? [e-mail]

Пиарите сами себя, Антон? Ай-яй-яй.

[cbx]

Помнится в phpinfo() несколько лет назад даже находили XSS уязвимость: www.securityfocus.com/bid/15248/exploit

[impass]

XSS и без этого много где встречается
возьмите 10 совершенно случайных сайтов и проверьте :)

[prool]

Взлом сайта начинается с существования сайта. Все немедленно удалите свои сайты! Отключите питание серверов! Рубите сетевые кабели!