bumsdiekuh.net..

Verwendet man die Standardeinstellungen des Suhosin Patch, so kommt es bei der Verwendung des WBB2 (Wolt Lab Burning Board) oder des PHPBB2 (dt. PHPBB Homepage) zu einem Fehler beim Setzen der Gruppen Zugriffsrechte (Beispiel wbb):

[Fri Sep 21 00:13:43 2007] [error] [client 84.164.x.x] ALERT - configured POST variable limit exceeded - dropped variable 'startpermiss
ion[79]' (attacker '84.164.x.x', file '/var/www/virtual/diginights.com/web/forum/acp/group.php'), referer: http://diginights.com/forum/
acp/group.php?action=permissions&groupid=31&sid=

Dieser Fehler tritt überall auf, wo die Post Variable größer ist, als der in Suhosin per default erlaubte Wert.
Abhilfe schafft folgende Änderung in der php.ini

[suhosin]
suhosin.post.max_vars = 2000
suhosin.request.max_vars = 1000

Links:
Beitrag im Woltlab Supportforum
Blogeintrag über Fehler in Verbindung mit phpBB2

Knapp 2 Wochen nach dem Release von PHP 5.2.4 wurde nun der passende Suhosin Patch veröffentlicht. Herunterladen könnt ihr das ganze auf der Downlad Seite des Hardened PHP Projects. Dort gibts dann auch die passende Extension.
Die Installation habe ich unter PHP absichern mit Suhosin bereits erläutert.

Bei uns läuft PHP 5.2.4 in Verbindung mit Suhosin stabil mit eAccelerator und dem PHP5 Framework Symfony.

Links:
eAccelerator Page
Symfony Project
Hardened PHP

Über Lücken und Schwachstellen in PHP liest man ja ständig. Die Entwickler sind beim fixen der Fehler leider auch nicht die schnellsten. Somit sollte man sich Gedanken über zusätzliche Absicherungen machen. Außerdem hat mich Martin unfreiwillig davon überzeugt, dass hier Handlungsbedarf besteht
Eine meiner Meinung nach gute Möglichkeit zur Absicherung stellt die Suhosin Erweiterung des Hardened PHP Projects dar.

Suhosin is an advanced protection system for PHP installations. It was designed to protect servers and users from known and unknown flaws in PHP applications and the PHP core.

Suhosin kommt in 2 Teilen - ein Teil ist ein Patch direkt für den PHP Core, der andere ist eine normale PHP Extension. Für optimalen Schutz sollte man beide einsetzen - muss aber nicht. Denn nicht jede Software ist 100% kompatibel zu den Einschränkungen, die Suhosin am PHP vornimmt.

Die Installation des Patches ist kinderleicht:
- Passende Version im Downloadbereich wählen.
- Patch das PHP Build verzeichnis entpacken
- in meinem Fall ein patch -p 1 -i suhosin-patch-5.2.3-0.9.6.2.patch ausführen
- PHP neu kompilieren und installieren
- nach einem Neustart sollte unter phpinfo nun ein "This server is protected with the Suhosin Patch 0.9.6.2" stehen.

Die Extension einzubauen ist ebenfalls kein Hexenwerk:
- Download der aktuellen Version vom Downloadbereich
- Entpacken und wechsel ins Source Verzeichnis
- phpize, configure & make
- Einbau in die PHP.ini mittels "extension="suhosin.so""
- nach dem Apache reload sollte sich die Zend Engine dann mit " with Suhosin v0.9.20, Copyright (c) 2002-2006, by Hardened-PHP Project" melden.

Danach solltet ihr noch eure Software testen, vor allem Fremdprodukte.
Natürlich hat das ganze auch den Nachteil, dass eure Applikationen ein wenig langsamer lauffen...wer aber eh Performance übrig hat, wird davon nicht viel merken. Nichtsdestotrotz gibts hier eine Benchmark Seite mit Vorher/Nachher Vergleichen. Außerdem gibts das Benchmark Skript auch zum Download


Bei uns funktioniert alles reibungslos, ob nun die Blogsoftware serendipity, das Webframework Symfony oder den PHP Accelerator eaccelerator, alles läuft bisher tadellos!

Viel Spaß beim ausprobieren.