25

Здравствуйте. Делаю что-то вроде сайта с редактором PHP кода. При нажатии на клавишу просмотра, у меня в специальной директории создаётся папка с уникальным id и в ней файл с самим php кодом (пример: /_projects/6dfh78d76dfg87/index.php). Дальше эта страничка открывается в iframe.

Так вот к проблеме: столкнулся с проблемой безопасности. С созданного файла можно редактировать любой файл сайта (.htaccess и другие файлы сайта). Я набросал пару вариантов, как можно ограничить доступ к файлам своего сайта:

  1. Защитить изменение и удаление важных файлов (но тут недостаток: можно редактировать файлы чужого "проекта")
  2. Запретить файлам с директории /_projects/{ID}/ обращаться к файлам, которые находятся вне папки {ID}
  3. Запретить некоторые функции в PHP
  4. Скрыть директории и файлы от функций таких, как scandir, dirname...
  5. Проверять PHP файл на наличие запрещённых функций

Но не знаю, как можно осуществить эти варианты. Подскажите, как можно их осуществить или кто-то знает вариант получше? Буду очень признателен. Заранее спасибо.

8
  • 2
    А не вариант выбрасывать ../ - такие пути и сравнивать с путями? а вообще вот если посмотреть на sandbox.onlinephpfunctions.com, они при выполнении скрипта запрещают функции такие как opendir и так далее, в php.ini : disable_functions = 4 янв 2017 в 19:07
  • В любом варианте вы по сути предоставляете полный доступ к ресурсам вашего сервера, так что, даже если вы запретите редактировать чужие файлы, тогда просто станут грузить проц на 100% майнингом биткоинов :)
    – andreymal
    7 янв 2017 в 9:35
  • @andreymal, там в htaccess можно ограничить степень и время загрузки скрипта. Я просто возьму и запрещу скрипты, которые грузятся больше 30 секунд (к примеру)
    – Yuri
    7 янв 2017 в 9:37
  • За htaccess очень быстро убегут и станут юзать, например, Python, до которого htaccess никак не дотянется :) Ну или в крайнем случае напишут такой скрипт, который будет работать ровно 29.9 секунд и каждые полминуты перезапускать его :)
    – andreymal
    7 янв 2017 в 9:46
  • @andreymal, к htaccess я вообще закрою доступ всем. А вот с такой перспективой проблема. Я склоняюсь к ответу Mikhail Vaysman, так как контейнер не даст такого вытворять..
    – Yuri
    7 янв 2017 в 9:47

4 ответа 4

18
+200

Самым надежным вариантом будет запуск кода внутри контейнера (например, Docker) с настроенным SECCOMP и selinux SELinux. При этом вы можете запускать любой код, а не только PHP.

Код может делать почти всё, что угодно и ограничить его можно как угодно.

Презентация о том как можно обезопасить Docker container: Слайды и Видео

10
  • Не подскажете какую-то ссылочку по этому поводу? В этой безопасности ничего не знаю )
    – Yuri
    4 янв 2017 в 19:27
  • я обновил ответ. добавил ссылки на документацию и презентацию. 4 янв 2017 в 19:33
  • Сложновато. Ладно, если никто не ответит "проще", отмечу как правильные, спасибо :)
    – Yuri
    4 янв 2017 в 19:38
  • да. это сложное решение, но одно из надежнейших. и не надо думать над анализом самого кода. 4 янв 2017 в 19:41
  • Вы простите, я за ответ возложу премию, и если тогда уже не будет лучше ответа, то вы получите +100 в репутацию )
    – Yuri
    5 янв 2017 в 20:47
10

@Yuri, судя по пути из вашего примера - речь идет о *nix системе. А там все просто, самое главное - обозначить "бизнес логику" вашего проекта. Иными словами обозначить "кто может что".

  • для PHP выделяем отдельного "пользователя"
  • обозначаем ему права

Таким образом он не сможет сделать то, что ему не позволено.

Важно

Важно права десять раз продумать. Пример. Пользователю дано право/возможность создавать любой файл. Пользователь создает файл с расширением .php... а потом возьмет и его исполнит. Вы понимаете, что он сможет сделать все, что в "доступности" прав пользователя, имеющего доступ к ресурсам *.php

Таки образом

Используя встроенные средства *nix вы ограничиваете множество действий, которые пользователь может выполнить в принципе. А в своем скрипте - вы "предусматриваете" нужный вам функционал. Для обеспечения безопасности - этого хватит вполне.

Понятие "любой файл" нужно четко определить. Путем, маской, зарезервированным названием...

Хороший принцип "запретить все, потом нужное разрешить". Это ваш случай.

2
  • Что делать если нужно безопасно выполнять пользовательские php скрипты? К примеру если делается аналог Project Euler.
    – Arnial
    13 янв 2017 в 14:42
  • Для этого нужно обозначить критерии требуемой безопасности.
    – Majestio
    13 янв 2017 в 15:18
6

На мой взгляд самый простой способ это просто проверять токен и id пользователя при редактировании файла. У вас это решение номер 2. 1 Авторизоваться 2 получить список файлов и папок /_projects/{ID}/ 3 Если пользователь может ввести путь самостоятельно, то парсить путь и сопоставлять {ID} папки и {ID} пользователя

Как ещё один вариант: Сгенерировать уникальную папку владельца, путь к которой будет сложно подобрать, например, KMnwVmc6Uz7zsJ4w, этот вариант менее безопасный. Так как редактирование вы не закрываете, а просто полагаетесь, что папку никто не найдет

5

Выполняйте скрипты централизованно, через include в собственном сценарии роутинга. Там Вы можете через директиву ограничить доступ к файловой системе для каждого пользователя ресурса:

ini_set('open_basedir', $userProjectDir);

Выше $userProjectDir в текущем сеансе исполнения подняться не удастся. Путь к директории должен быть абсолютным.

Далее, есть ещё одна проблема - доступ к localhost. Пользовательский скрипт должен иметь доступ только к разрешённым портам. Этого можно достичь либо ограничением пользователя среды исполнения (php-fpm, apache, ..) в iptables, либо виртуализацией. Виртуализация так же позволяет ограничивать ресурсы машины по отношению к пользователю.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.