PHP-Funktionen einschränken, ohne die Anwendung zu beschädigen

PHP enthält Funktionen, mit denen sich Prozesse ausführen, Verbindungen öffnen oder Interaktionen mit dem System durchführen lassen. Manche Anwendungen benötigen sie, andere nicht.

disable_functions kann einschränken, was bereits ausgeführter PHP-Code tun kann, behebt aber keine Schwachstelle und ersetzt weder Updates noch Isolierung, minimale Rechte oder die Untersuchung eines Einbruchs.

Suchen Sie unter cPanel > Select PHP Version > Options nach disable_functions, sofern der Selektor das erlaubt. Prüfen Sie die Version und den Geltungsbereich; mehrere Websites können diese Konfiguration gemeinsam nutzen.

Löschen Sie die vorhandene Konfiguration nicht und kopieren Sie keine allgemeine Liste. Notieren Sie den aktuellen Wert und deaktivieren Sie nur Funktionen, bei denen Sie geprüft haben, dass die Anwendung sie nicht benötigt. Als Ausgangspunkt für eine Anwendung, die keine Systemprozesse ausführt, können Sie Funktionen wie diese einzeln bewerten:

exec,passthru,proc_open,shell_exec,system

Nehmen Sie eval nicht auf: Es ist ein Sprachkonstrukt und kann mit disable_functions nicht deaktiviert werden. Deaktivieren Sie auch keine Netzwerk-, Datei-, Prozess- oder Protokollierungsfunktionen, ohne vorher die Abhängigkeiten und geplanten Aufgaben der Anwendung zu prüfen.

Prüfen Sie nach jeder Änderung die vollständige Funktion der Websites, geplanten Aufgaben und Wartungsprozesse. Wird eine Funktion benötigt, aktivieren Sie sie wieder und setzen Sie eine geeignete Kontrolle auf einer anderen Ebene ein.

Prüfen Sie Web-Aufgaben und Konsolenbefehle getrennt, da sie unterschiedliche PHP-Konfigurationen verwenden können. Versuchen Sie nicht, diese Direktive mit ini_set() innerhalb der Anwendung zu ändern: PHP behandelt sie als Systemeinstellung.

Seit PHP 8 ist eine deaktivierte Funktion nicht mehr definiert, und Benutzercode kann eine andere mit diesem Namen definieren. Deshalb darf sie nicht als ausreichende Isolationsbarriere gelten. Die PHP-Dokumentation erklärt ihre Grenzen.