IPC: Session “Lesser Known Security Problems in PHP Applications”
Donnerstag, 30.10.2008Stefan Esser hat in seinem Vortrag “Lesser Known Security Problems in PHP Applications” den Schwerpunkt auf weniger bekannter, aber nicht minder gefährliche Sicherheitsprobleme in PHP Anwendungen gelegt. Diese werden in vielen anderen Vorträge zur PHP Security meistens nicht erwähnt oder nur am Rande.
Auch wenn die Folien noch nicht über die IPC Website abrufbar sind (folgt wohl in Kürze), könnt ihr euch diese von einem älteren Vortrag z.B. als PDF hier downloaden oder bei Slideshare anschauen. Inwieweit diese vom gestrigen Vortrag evtl. abweichen, erschließt sich mir nicht auf den ersten Blick. Im wesentlichen stimmen sie aber überein.
Einfach zusammen gefasst kann man seine mit vielen Beispielen gespickten Kernaussagen wie folgt zusammen fassen:
- $_REQUEST nicht verwenden
- auto_globals_jit in der php.ini abschalten
- für jede Anwendung ein eigenes Verzeichnis für die temporären Sessiondaten verwenden und in der Session einen Application Marker verwenden
- Datenbanktransaktionen für Anwendungstransaktionen verwenden, alle Fehler der Datenbank behandeln
- den Random Number Generator nicht selber anstossen (seed), keine erstellten Zufallszahlen ausgeben und vor allem keine Zufallszahlen für sicherheitsrelevanten Daten wie Passwörter verwenden
Viele der genannten Sicherheitsprobleme waren mir bisher tatsächlich nicht bekannt, auch wenn ich sie selber gar nicht nutze (wie z.B. $_REQUEST). So konnte ich aus dem Vortrag so einiges mit nehmen. Wer nicht selber da war, sollte sich zumindest die Slides von Stefan anschauen.