RTzRa's hive - software:php

APC в PHP

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

APC в PHP

APC - это Alternative PHP Cache, а если по-русски то php-акселератор. Бесплатная и открытая система для кэширования предкомпилированных PHP скриптов, позволяет значительно увеличить производительность PHP скриптов выполняющихся из под mod_php.

Ставится обычно просто:

# apt-get install php-apc

На Ubuntu 10.04 LTS по умолчанию ставится версия 3.1.3p1-2 и тут скрывается маленький подвох: из-за небольшого косяка в APC апачевский лог error.log забивается следующей ерундой:

[Thu Oct 14 23:56:25 2010] [apc-warning] Potential cache slam averted for key ...

Некоторые гуглолюди предлагают починить прописыванием директив

apc.slam_defense=0
apc.write_lock=0

но лично мне это не помогло, т.к. в данной версии apc.slam_defense просто отсутствует.

Решение простое: откатиться до более старой версии или обновиться до 3.1.5

Я выбрал обновление. Итак, поехали:

# apt-get install php5-dev apache2-threaded-dev
# pecl install apc-3.1.5
# service apache2 restart

Если интересно как работает APC и насколько эффективно, делаем следующее:

# cp /usr/share/php/apc.php /путь-до-папки-на-вашем-вебсервере - для НОВОЙ версии
# cp /usr/share/doc/php-apc/apc.php.gz /путь-до-папки-на-вашем-вебсервере - для СТАРОЙ версии
# gzip -d /путь-до-папки-на-вашем-вебсервере/apc.php.gz - для СТАРОЙ версии

При необходимости правим владельца файла, ставим права на apc.php и открываем страничку http://www.ваш-вебсервер.ru/apc.php

Там можно понаблюдать за жизнью кэша, посмотреть эффективность его работы, проверить на наличие новой версии и так далее.

Сносим все (если нужно) таким способом:

# pecl uninstall apc-3.1.4
# apt-get remove php-apc

php и eAccelerator

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

php и eAccelerator

Что такое: PHP accelerator & optimizer

Ubuntu 10.04.3 LTS x64 - в пакетах нет уже собранного eAccelerator'а, значит будем собирать самостоятельно.

Ставим необходимый софт для сборки:

# apt-get install build-essential php5-dev

Переходим в папку где будем собирать, я использую /usr/src/

# cd /usr/src

Берем свежий пакет с сайта eAccelerator :

# wget http://bart.eaccelerator.net/source/0.9.6.1/eaccelerator-0.9.6.1.tar.bz2

Распаковываем

# tar xvf eaccelerator-0.9.6.1.tar.bz2

Заходим в папку

# cd eaccelerator-0.9.6.1

Подготавливаем все к сборке:

# phpize
# ./configure --enable-eaccelerator=shared

Собираем и устанавливаем:

# make
# make install

Посмотрите пути, куда будет скопирован собранный eaccelerator.so, у меня это папка /usr/lib/php5/20090629/

Подключаем eAcceletor: Можно отредактировать оригинальный php.ini или создать новый файл в папке conf.d которую использует PHP - в моем случае это /etc/php5/conf.d

# cd /etc/php5/conf.d
# touch eaccelerator.ini

Добавляем в файл следующие строки:

; Подключаем
zend_extension                  = "/usr/lib/php5/20090629/eaccelerator.so"
; Размер кэша, в Мб. Не может быть больше чем /proc/sys/kernel/shmmax, (0 - использовать по умолчанию, 32 Мб)
eaccelerator.shm_size           = "0"
; Папка для хранения кэша
eaccelerator.cache_dir          = "/var/cache/eaccelerator"
; Переключатель модуля (1 - вкл и 0 - выкл)
eaccelerator.enable             = "1"
; Переключатель оптимизатора  (1 - вкл и 0 - выкл)
eaccelerator.optimizer          = "1"
; Проверять время модификации файлов кеша для их перекомпиляции (1 - вкл и 0 - выкл)
eaccelerator.check_mtime        = "1"
; Добавляет отладочную информацию в лог (1 - вкл и 0 - выкл)
eaccelerator.debug              = "0"
; Куда писать отладочную информацию
eaccelerator.log_file           = "/var/log/eaccelerator.log"
; Фильтр расширений файлов которых надо кешировать. Например, "*.php *.phtml"
eaccelerator.filter             = ""
; Размер выделяемой памяти, в байтах. Допустимо вводить в формате 10240, 10K, 1M и т.д. (0 - безлимит)
eaccelerator.shm_max            = "0"
; Время жизни кеша, секунд
eaccelerator.shm_ttl            = "0"
; Период удаления старых данных из памяти, секунд (0 - не удалять)
eaccelerator.shm_prune_period   = "0"
; Использовать для кеша только память ( 0 - используется диск и память, 1 - только память)
eaccelerator.shm_only           = "0"
; Переключатель уровня сжатия (1 - вкл, 0 - выкл)
eaccelerator.compress           = "1"
; Степень уровня сжатия (1 - минимум, 9 - максимум)
eaccelerator.compress_level     = "7"
; Ограничивает запуск скрипта управления, аналог open_base_dir
eaccelerator.allowed_admin_path = "/var/www/eaccelerator"

Создаем папку, куда будет складывать кэш во время работы eAccelerator:

# mkdir /var/cache/eaccelerator
# chown www-data.www-data /var/cache/eaccelerator

Ну и пора перезапускать Apache

# sudo service apache2 restart

Настроек в ini-файле много, описание можно посмотреть здесь: http://www.eaccelerator.net/wiki/Settings

Проверить а заработали ли все можно создав php-файл с текстом

<?php
phpinfo();
?>

Если после открытия этого файла нашлось упоминание eAccelerator - значит все заработало. Так же можно проверить папку /var/cache/eaccelerator на наличие новых файлов.

Увеличиваем объем используемой памяти

По умолчанию переменная eaccelerator.shm_size установлена в «0» - это означает использовать объем памяти, принятый в операционной системе по умолчанию. Для Debian/Ubuntu это всего 32 Mb. Мало, что же это за кэш такой? Будем увеличивать.

Добавляем в файл /etc/sysctl.conf строчку

kernel.shmmax = 268435456	# 256 Mb
#kernel.shmmax = 494967295	# 512 Mb

и меняем в /etc/php5/conf.d/eaccelerator.ini

eaccelerator.shm_size           = "256"

Чтобы изменения вступили в силу необходимо применить внесенные изменения в sysctl.conf и перезапустить веб-сервер

# sudo sysctl -p
# sudo service apache2 restart

И зайдя на страничку управления eAccelerator можно посмотреть все ли заработало.

Траблшутинг

"Не работает" (с)

Если PHP обновлялся, то eAccelerator перестанет работать. Признаки простые: на страничке управления видим

Caching enabled 	no   
Optimizer enabled 	no   
Check mtime enabled 	no

хотя в файле конфигурации все включено, а команда

# php -m

пишет примерно следующее:

[eAccelerator] This build of "eAccelerator" was compiled for PHP version 5.3.2-1ubuntu4.7. Rebuild it for your PHP version (5.3.2-1ubuntu4.9) or download precompiled binaries.

Решается просто: нужно заново пересобрать как указано выше. Если собираете в старом каталоге, то сначала надо его почистить:

# make clean

и затем собрать снова.

Проблема с open_basedir

При компиляции (в версиях 0.9.6 и 0.9.6.1) вылазит ошибка:

PHP Warning:  Unknown: open_basedir restriction in effect. File() is not within the allowed path(s): (<your_open_basedir_dirs>) in Unknown on line 0

Все оказывается просто. При использовании директивы PHP open_basedir для обеспечения безопасности, нужно собрать eAccelerator с опцией –without-eaccelerator-use-inode. Данный механизм хранения кэша не совместим с open_basedir, поэтому open_basedir в сочетании с этой опцией приводит к фатальным ошибкам в скриптах.

спасибо leopard: http://leopard.in.ua/2010/07/28/eaccelerator_open_basedir/

Ссылки

Домашняя страничка - http://www.eaccelerator.net/ и https://eaccelerator.net/ и еще http://sourceforge.net/projects/eaccelerator/

php, eAccelerator, eaccelerator.shm size

PHP: учимся программировать

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

PHP: учимся программировать

https://tutsplus.com/course/php-fundamentals/

php, tutorial, php fundamentals, учебники, обучение

Безопасность и PHP

anonymous@undisclosed.example.com (Anonymous) — Mon, 18 Jul 2022 20:14:01 +0000

Безопасность и PHP

Чек-лист

✅ Смотрим список активных модулей:
# php -m
Отключаем ненужные:
# mv /etc/php.d/sqlite3.ini /etc/php.d/sqlite3.disable

✅ Отключаем отображение информации о версии PHP:
expose_php=Off
Это параметр для php.ini.

✅ Отключаем отображение ошибок PHP для посетителей:
display_errors=Off
Вместо этого логируем их отдельно:
log_errors=On
error_log=/var/log/httpd/php_scripts_error.log

✅ Если не нужна загрузка файлов на веб сервер, отключите эту возможность:
file_uploads=Off
Если загрузка нужна, то хотя бы ограничьте максимальный размер файла до необходимого предела:
file_uploads=On
upload_max_filesize=10M

✅ Отключаем функцию allow_url_fopen, если не используются сайтом. Она открывает широкие возможности для взлома, если разработчики забудут о фильтрации входящих данных.
allow_url_fopen=Off

✅ Настройка размера POST запросов. Этот параметр должен быть не меньше upload_max_filesize, если разрешена загрузка файлов. Если же она запрещена, то большой разрешённый размер post запросов не нужен. Вряд ли вам через формы потребуется заливать большой объём данных.
post_max_size=10M
или
post_max_size=10K

✅ Подобрать необходимые лимиты выполнения скриптов. Тут всё сильно зависит от самого сайта. В идеале, много ресурсов не выделять, но, к примеру, тот же Bitrix, требует очень много оперативной памяти и времени выполнения для своих скриптов.
max_execution_time = 30
max_input_time = 30
memory_limit = 64M

✅ Отключаем потенциально опасные функции PHP. Оставляем только то, что реально нужно.
disable_functions = exec,passthru,shell_exec,system,
proc_open,popen,curl_exec,curl_multi_exec,
parse_ini_file,show_source

✅ Убедиться, что параметр cgi.force_redirect не отключен принудительно. По дефолту, если его явно не указать, то он будет включен.
cgi.force_redirect=On

✅ Убедиться, что php работает от отдельного непривилегированного пользователя. Настройка будет зависеть от используемого менеджера процессов php. Проверяем примерно так:
# ps aux | grep php

✅ Ограничиваем доступ php к файловой системе:
open_basedir = «/var/www/html/»

✅ Настраиваем место хранения для сессий:
session.save_path = «/var/lib/php/session»
Важно убедиться, что туда нет доступа посторонним. Кроме веб сервера эта директория никому не нужна. Также туда не должно быть доступа с сайта.

Suhosin

Suhosin позволяет бороться с SQL-инъекциями (SQL injections), атаками на переполнение буфера, с отправкой спама через некачественно написанные скрипты, с воровством cookie и т.д. В некоторых случаях может вызывать проблемы, поэтому использовать осторожно. Возможно стоит сразу прописать в /etc/php5/apache2/conf.d/suhosin.ini значение suhosin.get.max_value_length = 4096

Если требуется передавать параметры suhosin через .htaccess то надо сделать следующее:

Изменить в файле /etc/php5/conf.d/suhosin.ini параметр suhosin.perdir на
```
suhosin.perdir = "p"
```
Прописать в конфиге Апача для сайта или папки параметр
```
AllowOverride All
```
Добавить в .htaccess необходимые параметры, например
```
suhosin.post.max_vars = 2048
suhosin.request.max_vars = 2048
```

Тюним php.ini

Отключаем выполнение некоторых функций:
- disable_function=«exec, system, passthru, shell_exec, proc_open»
Те самые параметры о которых везде понаписано много буковок:
- magic_quotes_gpc = 1
- safe_mode = 0
- register_globals = 0
Нет, ничего подключать не будем:
- allow_url_fopen = Off
- allow_url_include = Off
Никому не надо знать что за ошибки возникают, а если нужно - посмотрим логи
- display_errors = Off
- display_startup_errors = Off
- log_errors = On
- error_log = php_error.log
Запираем php в определенных папках:
- open_basedir=/var/www/you_mega_site.com:/tmp
Можно спрятать информацию о версии PHP:
- expose_php = Off

Чистота - залог покоя

Проверяем все места со скриптами - нигде не должно валяться беспризорных php-файлов. В особенности всяких шеллов, приблуд типа phpmyadmin и т.д. Если что-то подобное используется - в отдельную папку с хитрым именем, на папку пароль и закрыть ей листинг из апача.

Разрешаем некоторые функции PHP для определенных виртуальных хостов

В некоторых случаях требуется запретить использование некоторых функций через disable_functions и сделать индивидуальные настройки для определенных виртуальных хостов. Ан нет, disable_functions работает только из php.ini. Пр попытке включить конструкцию php_admin_value в .htaccess получаем сообщение « php_admin_value not allowed here», а попытки сделать это через конфиги Apache так же не дают эффекта: получаем ошибку «PHP Warning: exec() has been disabled for security reasons in…»

Как оказалось, победить можно, но при условии использования на сервере suhosin. Сборка php5-suhosin 0.9.29-1ubuntu1 старая, я пересобрал руками 0.9.33.

Итак, делаем:

В php.ini устанавливаем

disable_functions =

В suhosin.ini (а если такого нет, то в php.ini) запрещаем требуемые функции, например:

suhosin.executor.func.blacklist = "exec,system,passthru,shell_exec,proc_open"

В настройках виртуального хоста Apache добавляем конструкцию (например, разрешаем exec)

php_admin_value suhosin.executor.func.blacklist "system, passthru, shell_exec, proc_open"

Ищем взломанные файлы

Отсюда: http://habrahabr.ru/post/188878/

Измененные файлы за 7 дней

# find . -type f -name '*.php' -mtime -7

Подсчет хэш-сумм файлов и поиск измененных

#!/bin/sh

$files_path = "/root/bin/data"
$search_path = "/var/www/site/"
$mail_to = "your@mail.ru"

rm  $files_path/before.txt
rm  $files_path/diff.txt

mv $files_path/current.txt $files_path/before.txt

find $search_path -name "*.php" -type f -print0 | xargs -0 sha1sum > $files_path/current.txt
find $search_path -name "*.js" -type f -print0 | xargs -0 sha1sum >> $files_path/current.txt
find $search_path -name "*.html" -type f -print0 | xargs -0 sha1sum >> $files_path/current.txt
find $search_path -name "*.css" -type f -print0 | xargs -0 sha1sum >> $files_path/current.txt

diff -urN $files_path/before.txt $files_path/current.txt > $files_path/diff.txt

if [ `ls -la $files_path/diff.txt | awk '{print $5}'` -ne 0 ]; then

 echo "Files changed!"

 mail -s "Files changed!" $mail_to < $files_path/diff.txt

fi

Поиск вставок

# find . -type f -name '*.php' | xargs grep -l "eval *(" --color
# find . -type f -name '*.php' | xargs grep -l "base64_decode *(" --color
# find . -type f -name '*.php' | xargs grep -l "gzinflate *(" --color
# find . -type f -name '*.php' | xargs egrep -i "preg_replace *\((['|\"])(.).*\2[a-z]*e[^\1]*\1 *," --color

Сравнить две копии сайта

# diff -r copy-clean/ copy-compromised/ -x список_исключений

Поиск папок, открытых для записи

Ищет директории доступные для записи и php файлы в них. Результат будет сохранен в файл results.txt. Скрипт работает рекурсивно.

#!/bin/bash
 
search_dir=$(pwd)
writable_dirs=$(find $search_dir -type d -perm 0777)
 
for dir in $writable_dirs
do
    #echo $dir
    find $dir -type f -name '*.php'
done

php, suhosin, security, безопасность, .htaccess, expose php

Обновление PHP в Ubuntu 10.04

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

Обновление PHP в Ubuntu 10.04

Текущая (и похоже последняя) версия PHP в Ubuntu 10.04.4 - 5.3.2

Если нет возможности обновить Ubuntu, то будем обновлять PHP

Взято отсюда: https://gist.github.com/terwey/6416511

Создаем файл /etc/apt/sources.list/php5.list со следующим содержимым:

deb http://ppa.launchpad.net/ondrej/php5-oldstable/ubuntu lucid main 
deb-src http://ppa.launchpad.net/ondrej/php5-oldstable/ubuntu lucid main

Добавляем ключ:

# apt-key adv --keyserver keyserver.ubuntu.com --recv-keys E5267A6C

Обновляем список пакетов:

# apt-get update

Удаляем старые версии:

# apt-get remove libapache2-mod-php5 php-pear php5 php5-cgi php5-cli php5-common php5-curl php5-dev php5-gd php5-imagick php5-mysql

И ставим новые:

# apt-get install libapache2-mod-php5 php-pear php5 php5-cgi php5-cli php5-common php5-curl php5-dev php5-gd php5-imagick php5-mysql php5-mcrypt php-apc

Проверяем:

# php5 -v
PHP 5.4.33-2+deb.sury.org~lucid+1 (cli) (built: Sep 25 2014 09:04:16)
Copyright (c) 1997-2014 The PHP Group
Zend Engine v2.4.0, Copyright (c) 1998-2014 Zend Technologies

Далее настраиваем (если нужно) расширения в папке /etc/php5/apache2/conf.d/ и не забываем перезапустить все сервисы, использующие PHP.

Остальное по вкусу.

php, php5, update, upgrade, обновление, ubuntu, убунта, убунту

Как собрать PHP в Ubuntu без Suhosin

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

Как собрать PHP в Ubuntu без Suhosin

Имеем: Ubuntu 12.04.5, php версии 5.3.10 с вкомпилированным Suhosin и старый legacy-код, который криво работает с Suhosin. Отключение suhosin невозможно, т.к. в данной версии Ubuntu он вкомпилирован и не отключается. Увеличить версию php5 на более новую так же нельзя - код перестает работать.

Решение: собрать php самостоятельно. Глупо, но делать нечего.

Шаг 1

Создаем рабочую папку и переходим в нее:

# cd /usr/src
# mkdir packages
# cd packages

Шаг 2

Ставим пакеты для сборки:

# sudo apt-get install devscripts
# sudo apt-get install gcc debhelper fakeroot

Шаг 3

Скачиваем исходники PHP5

# sudo apt-get source php5

Шаг 4

Скачиваем все зависимости:

# sudo apt-get build-dep php5

Шаг 5

Отключаем Suhosin.

Открываем файл php5-5.3.10/debian/rules и изменяем строку

PHP5_SUHOSIN=yes

на

PHP5_SUHOSIN=no

Шаг 6

Изменяем версию пакета php5 чтобы не было конфликтов при установке:

# cd php5-5.3.10
# debchange -v 5.3.10-1ubuntu3.20.1~nosuhosin

В редакторе по умолчанию откроется файл для редактирования, в нем можно написать что-нибудь вроде

  * Disable Suhosin patch

После внесения изменений файл нужно сохранить

Шаг 6 1/2

Не все так просто, иначе бы и не писалась эта инструкция!

При попытке сборки я получал ошибку

# start our own mysql server for the tests
/bin/sh debian/setup-mysql.sh 1995 /usr/src/php5-5.3.10/mysql_db
make: *** [test-results.txt] Error 1
dpkg-buildpackage: error: debian/rules build gave error exit status 2

Как написано в интернетах это потому что не хватает прав на запуск mysql и лечится правкой файла php5-5.3.10/debian/setup-mysql.sh

Заменить строку:

$mysqld > $datadir/run.log 2>&1 &

на

$mysqld --user=root > $datadir/run.log 2>&1 &

У меня это не заработало, под каким бы пользователем я не пробовал запустить и с какими ключами.

Поэтому был выбран мошеннический способ: я ОТКЛЮЧИЛ тестирование MySQL путем правки файла php5-5.3.10/debian/rules

Было:

RUN_TESTS = yes
ifeq (nocheck,$(findstring nocheck,$(DEB_BUILD_OPTIONS)))
  $(warning Disabling checks due DEB_BUILD_OPTIONS)
  RUN_TESTS = no
endif
ifeq ($(DEB_HOST_ARCH),$(findstring $(DEB_HOST_ARCH),hurd-i386))
  $(warning Disabling checks on hurd-i386)
  RUN_TESTS = no
endif

стало:

RUN_TESTS = yes
ifeq (nocheck,$(findstring nocheck,$(DEB_BUILD_OPTIONS)))
  $(warning Disabling checks due DEB_BUILD_OPTIONS)
  RUN_TESTS = no
endif
ifeq ($(DEB_HOST_ARCH),$(findstring $(DEB_HOST_ARCH),hurd-i386))
  $(warning Disabling checks on hurd-i386)
  RUN_TESTS = no
endif

RUN_TESTS = no

Шаг 7

Собираем php5 командой

# sudo dpkg-buildpackage -rfakeroot

Шаг 8

Устанавливаем новые пакеты:

# sudo dpkg -i *.deb

и проверяем что у нас получилось:

# php5 -v
PHP 5.3.10-1ubuntu3.20.1~nosuhosin (cli) (built: Oct 28 2015 15:48:35)
Copyright (c) 1997-2012 The PHP Group
Zend Engine v2.3.0, Copyright (c) 1998-2012 Zend Technologies

ubuntu, 12.04, php5, suhosin, patch, mysql, setup-mysql.sh