주의사항: 본 팁 은 선의에 입각하여 제공합니다. 아래의 작업중 발생하는 어떠한 책임도 지지 않습니다.
#개요 :
php는 매우 편리하고 사용하기 쉬운 언어이나 대부분의 리눅스 서버에 php 설치시 기본값은 php functions을 제한하지 않습니다.
#잠정문제점 중 하나:
하지만 php로 만든 아주 간단한 phpshell 파일을 웹호스팅 계정에 올려놓고 실행시키면 같은 서버내에 있는 모든 계정 (domain1.co.kr, domain100.net...등) 에 있는 99.9% 의 모든 데이터베이스를 사용하는 프로그램 (예, 게시판, 쇼핑몰 등 포함) 의 Database 사용자, 이름, 및 암호를 바로 알아 낼 수 있습니다. 이는 매우 중대한 위험 요소입니다.
쇼핑몰의 고객정보를 누구나 빼 갈수 있다고하면 매우 큰 일이 일어날 수 있습니다.
#해결방법 :
/etc/php.ini 을 열어서 아래의 부분을 찾아서, 아래부분을 찾아서
; This directive allows you to disable certain functions for security reasons.
; It receives a comma-delimited list of function names. This directive is
; *NOT* affected by whether Safe Mode is turned On or Off.
disable_functions =
아래처럼 변경하여 줍니다. 특히 proc_open는 꼬~~~ 옥 넣어주어야 합니다.
; This directive allows you to disable certain functions for security reasons.
; It receives a comma-delimited list of function names. This directive is
; *NOT* affected by whether Safe Mode is turned On or Off.
disable_functions = "system,exec,shell_exec,proc_open"
#실제 상황 :
구글등에서 php shell 를 검색후 phpshell 파일을 계저에 올려놓고 실행을 하여 봅니다. 그래서 아래처럼 나오면 정상입니다 - 즉, php shell 이 작동되지 않게 세팅이 되어 있는 경우입니다.
# 실제스크린샷 ( 보안이 되지 않았을 경우....)
아래에서 'cat' 이라는 명령어는 파일 내용을 보여주기이며 dbconfig.php 는 이 파일을 보여주라는 명령입니다. 보시다시피 아래는 db 암호를 바로 볼 수 있는 경우 입니다....
$ cat dbconfig.php
<?
$mysql_host = "localhost";
$mysql_user = "penguins_crm";
$mysql_password = "password";
$mysql_db = "penguins_crm";
?>
아래는 cd / 하여서버 루트로 간 경우입니다. 즉 서버내 어떤곳이든 이동하여 상당수 파일을 볼 수 있습니다. 왜냐하면 게시판등 db 정보를 포함하는 파일은 대부분이 권한이 others 도 rw 로 되어 있기 때문입니다.
$ cd /
$ dir
backup boot etc lib media mnt opt root selinux sys usr
bin dev home lost+found misc net proc sbin srv tmp var
#개요 :
php는 매우 편리하고 사용하기 쉬운 언어이나 대부분의 리눅스 서버에 php 설치시 기본값은 php functions을 제한하지 않습니다.
#잠정문제점 중 하나:
하지만 php로 만든 아주 간단한 phpshell 파일을 웹호스팅 계정에 올려놓고 실행시키면 같은 서버내에 있는 모든 계정 (domain1.co.kr, domain100.net...등) 에 있는 99.9% 의 모든 데이터베이스를 사용하는 프로그램 (예, 게시판, 쇼핑몰 등 포함) 의 Database 사용자, 이름, 및 암호를 바로 알아 낼 수 있습니다. 이는 매우 중대한 위험 요소입니다.
쇼핑몰의 고객정보를 누구나 빼 갈수 있다고하면 매우 큰 일이 일어날 수 있습니다.
#해결방법 :
/etc/php.ini 을 열어서 아래의 부분을 찾아서, 아래부분을 찾아서
; This directive allows you to disable certain functions for security reasons.
; It receives a comma-delimited list of function names. This directive is
; *NOT* affected by whether Safe Mode is turned On or Off.
disable_functions =
아래처럼 변경하여 줍니다. 특히 proc_open는 꼬~~~ 옥 넣어주어야 합니다.
; This directive allows you to disable certain functions for security reasons.
; It receives a comma-delimited list of function names. This directive is
; *NOT* affected by whether Safe Mode is turned On or Off.
disable_functions = "system,exec,shell_exec,proc_open"
#실제 상황 :
구글등에서 php shell 를 검색후 phpshell 파일을 계저에 올려놓고 실행을 하여 봅니다. 그래서 아래처럼 나오면 정상입니다 - 즉, php shell 이 작동되지 않게 세팅이 되어 있는 경우입니다.
Fatal Error!
proc_open() has been disabled for security reasons
in /home/sunjoo/html/phpshell/phpshell.php, line 240.
# 실제스크린샷 ( 보안이 되지 않았을 경우....)
아래에서 'cat' 이라는 명령어는 파일 내용을 보여주기이며 dbconfig.php 는 이 파일을 보여주라는 명령입니다. 보시다시피 아래는 db 암호를 바로 볼 수 있는 경우 입니다....
$ cat dbconfig.php
<?
$mysql_host = "localhost";
$mysql_user = "penguins_crm";
$mysql_password = "password";
$mysql_db = "penguins_crm";
?>
아래는 cd / 하여서버 루트로 간 경우입니다. 즉 서버내 어떤곳이든 이동하여 상당수 파일을 볼 수 있습니다. 왜냐하면 게시판등 db 정보를 포함하는 파일은 대부분이 권한이 others 도 rw 로 되어 있기 때문입니다.
$ cd /
$ dir
backup boot etc lib media mnt opt root selinux sys usr
bin dev home lost+found misc net proc sbin srv tmp var
[이 게시물은 관리자님에 의해 2011-10-31 17:12:10 PHP & HTML에서 이동 됨]
댓글 4개
PhotoFly
17년 전
좋은 정보 감사합니다...^^
disable_functions = "phpinfo"
이렇게 한다면
phpinfo();
를 사용할수없게되겠죠?
disable_functions = "phpinfo"
이렇게 한다면
phpinfo();
를 사용할수없게되겠죠?
hanpedro
17년 전
이런 무서운 일이 있었네요?
cmpanel
17년 전
서버호스팅을 하시면 고객이 ssh 요청을 할 경우에도, 이점을 유의하셔야 합니다. 즉, ssh 계정으로 로그인하면 사실상 db 정보를 볼 수 있기 때문입니다.
PhotoFly 님의 아이디어는 생각을 못 해 보았네요. ^.^ 항상 많은 좋은 팁 고맙습니다
PhotoFly 님의 아이디어는 생각을 못 해 보았네요. ^.^ 항상 많은 좋은 팁 고맙습니다
comet
17년 전
좋은정보 감사합니다~
게시판 목록
프로그램
| 번호 | 제목 | 글쓴이 | 날짜 | 조회 |
|---|---|---|---|---|
| 7430 |
 wooriteam |
11년 전 | 4947 | |
| 7429 | 11년 전 | 1780 | ||
| 7428 |
멋진남자임
|
11년 전 | 1173 | |
| 7427 |
sdflksdj2
|
11년 전 | 831 | |
| 7426 | 11년 전 | 1366 | ||
| 7425 | 11년 전 | 1393 | ||
| 7424 | 11년 전 | 1054 | ||
| 7423 |
SeungYeon
|
11년 전 | 565 | |
| 7422 | 11년 전 | 811 | ||
| 7421 |
sdflksdj2
|
11년 전 | 691 | |
| 7420 | 11년 전 | 973 | ||
| 7419 |
 Terrorboy |
11년 전 | 1405 | |
| 7418 |
멋진남자임
|
11년 전 | 1440 | |
| 7417 | 11년 전 | 608 | ||
| 7416 |
senseme
|
11년 전 | 1233 | |
| 7415 | 11년 전 | 963 | ||
| 7414 | 11년 전 | 715 | ||
| 7413 | 11년 전 | 4851 | ||
| 7412 | 11년 전 | 4407 | ||
| 7411 |
holla
|
11년 전 | 898 | |
| 7410 | 11년 전 | 4254 | ||
| 7409 | 11년 전 | 3929 | ||
| 7408 | 11년 전 | 4273 | ||
| 7407 | 11년 전 | 5090 | ||
| 7406 | 11년 전 | 4737 | ||
| 7405 | 11년 전 | 4303 | ||
| 7404 | 11년 전 | 765 | ||
| 7403 | 11년 전 | 5684 | ||
| 7402 | 11년 전 | 1521 | ||
| 7401 |
Terrorboy |
11년 전 | 979 | |
| 7400 | 11년 전 | 2975 | ||
| 7399 |
멋진남자임
|
11년 전 | 920 | |
| 7398 |
파랑새1597
|
11년 전 | 2708 | |
| 7397 | 11년 전 | 2277 | ||
| 7396 |
basketball
|
11년 전 | 1377 | |
| 7395 | 11년 전 | 1615 | ||
| 7394 | 11년 전 | 934 | ||
| 7393 | 11년 전 | 2075 | ||
| 7392 | 11년 전 | 852 | ||
| 7391 |
잘살아보자
|
11년 전 | 5365 | |
| 7390 |
잘살아보자
|
11년 전 | 2229 | |
| 7389 |
잘살아보자
|
11년 전 | 3323 | |
| 7388 |
파랑새1597
|
11년 전 | 932 | |
| 7387 | 11년 전 | 1108 | ||
| 7386 |
프리랜서퍼블리셔
|
11년 전 | 973 | |
| 7385 | 11년 전 | 1572 | ||
| 7384 |
울라라라우
|
11년 전 | 893 | |
| 7383 | 11년 전 | 1559 | ||
| 7382 |
잘살아보자
|
11년 전 | 4230 | |
| 7381 |
잘살아보자
|
11년 전 | 2000 | |
| 7380 |
잘살아보자
|
11년 전 | 1944 | |
| 7379 |
잘살아보자
|
11년 전 | 5911 | |
| 7378 |
senseme
|
11년 전 | 1902 | |
| 7377 |
잘살아보자
|
11년 전 | 2751 | |
| 7376 | 11년 전 | 2420 | ||
| 7375 |
잘살아보자
|
11년 전 | 1053 | |
| 7374 |
잘살아보자
|
11년 전 | 3166 | |
| 7373 |
잘살아보자
|
11년 전 | 2483 | |
| 7372 |
잘살아보자
|
11년 전 | 5834 | |
| 7371 |
잘살아보자
|
11년 전 | 3470 | |
| 7370 |
잘살아보자
|
11년 전 | 1917 | |
| 7369 |
잘살아보자
|
11년 전 | 2175 | |
| 7368 |
ksdhtm56
|
11년 전 | 575 | |
| 7367 | 11년 전 | 1438 | ||
| 7366 | 11년 전 | 936 | ||
| 7365 | 11년 전 | 3548 | ||
| 7364 |
잘살아보자
|
11년 전 | 1400 | |
| 7363 |
잘살아보자
|
11년 전 | 1372 | |
| 7362 |
잘살아보자
|
11년 전 | 1512 | |
| 7361 | 11년 전 | 3597 | ||
| 7360 | 11년 전 | 3564 | ||
| 7359 | 11년 전 | 3382 | ||
| 7358 |
멋진남자임
|
11년 전 | 1031 | |
| 7357 | 11년 전 | 3417 | ||
| 7356 | 11년 전 | 2604 | ||
| 7355 | 11년 전 | 3198 | ||
| 7354 |
파랑새1597
|
11년 전 | 652 | |
| 7353 |
잘살아보자
|
11년 전 | 2430 | |
| 7352 |
잘살아보자
|
11년 전 | 2421 | |
| 7351 |
잘살아보자
|
11년 전 | 2483 | |
| 7350 |
잘살아보자
|
11년 전 | 1478 | |
| 7349 |
잘살아보자
|
11년 전 | 1971 | |
| 7348 |
잘살아보자
|
11년 전 | 1288 | |
| 7347 |
잘살아보자
|
11년 전 | 1084 | |
| 7346 |
멋진남자임
|
11년 전 | 1652 | |
| 7345 | 11년 전 | 995 | ||
| 7344 | 11년 전 | 3878 | ||
| 7343 | 11년 전 | 3661 | ||
| 7342 | 11년 전 | 1288 | ||
| 7341 | 11년 전 | 2526 | ||
| 7340 |
 오드리15 |
11년 전 | 941 | |
| 7339 | 11년 전 | 1740 | ||
| 7338 | 11년 전 | 3351 | ||
| 7337 | 11년 전 | 3666 | ||
| 7336 | 11년 전 | 4605 | ||
| 7335 | 11년 전 | 980 | ||
| 7334 | 11년 전 | 1538 | ||
| 7333 | 11년 전 | 2942 | ||
| 7332 |
Terrorboy |
11년 전 | 1114 | |
| 7331 |
KeePin뽁이
|
11년 전 | 1106 |
댓글 작성
댓글을 작성하시려면 로그인이 필요합니다.
로그인하기