Повышаем безопасность стека web-приложений (виртуализация LAMP, шаг 4/6)

[danielnewman]

Оттягиваю момент публикации последних двух частей перевода до споров, рекеомендаций и прочего самого главного в таких статьях — до ваших комментариев.

[timukas]

«Options Indexes» и «AllowOverride All» — какое же это повышение безопасности?

[danielnewman]

Запретить .htaccess в папках? На сколько и зачем? All, None, AuthConfig, FileInfo, Indexes, Limit, Options?
А вот на счет Options Indexes — нужно не лениться класть во все папки index-файлы. Хотя, Options Indexes можно переопределить в .htaccess. По какой-то причине, обычно, хостинги этого не делают. Хотя, вот именно во втором случае я с вами соглашусь.

— Пасаны, пишем «Options -Indexes».

[timukas]

При данной конифгурации апача и запросе например your-domain/index.php, апач будет искать .htaccess во всех 3 папках. Т.е /var/.htaccess, /var/www/.htaccess и /var/www/html/.htaccess

[danielnewman]

Да, вы чертовский правы. Это чуть ли не правило №2 оптимизации производительности apache.
Запрещаем использование .htaccess во всех папках.

DocumentRoot /var/www/html
<Directory />
    AllowOverride None
</Directory>

Разрешаем его использование в /var/www/html/ и ниже

<Directory /var/www/html/>
    AllowOverride all
</Directory>

[dharrya]

В большинстве случаев это плохое решение:

AddHandler php5-script .php
AddType text/html .php

Правильней было бы сделать как-то так:

<FilesMatch "\.ph(p?|tml)$">
AddHandler php5-script .php
AddType text/html .php
</FilesMatch>

Имхо в 99% случаев выполнение файлов file.php.jpg как php не требуется.

[dharrya]

Чёрт, писать комменты с утра — зло:)
Естественно должно быть так:

<FilesMatch "\.php$">
AddHandler php5-script .php
AddType text/html .php
</FilesMatch>

и не забыть вычистить php из типов (зависит от ОСи):

root@AKrasichkov:/etc# cat mime.types | grep php
application/x-httpd-php				phtml pht php
application/x-httpd-php-source			phps
application/x-httpd-php3			php3
application/x-httpd-php3-preprocessed		php3p
application/x-httpd-php4			php4
application/x-httpd-php5			php5

Это во-первых не даст выполнять pht файлы как php, о которых разработчики обычно не догадываются. Во-вторых это не позволит дергать php на файлах вида file.php.any