Installer PHP : Différence entre versions

De Analyse Développement Hacking
Sauter à la navigation Sauter à la recherche
m (Sécurité avec PHP)
 
(Aucune différence)

Version actuelle datée du 12 septembre 2019 à 14:29

Naviguer dans ce wiki : Accueil du wiki - Objectifs - Administrateur - Bureautique - Développeur - Intégrateur - Marketing - Multimédia - Objets numériques - Jeux - We make Hack
Consulter le site : Accueil du site - Annuaire - Blog - Forum - Outils - Utilisateur     Consulter le Redmine : Accueil du Redmine

Sommaire

Installer PHP

Installer PHP sur GNU/Linux

Connaître la version courante de PHP

# Utiliser "php -v" pour afficher la version courante de PHP :
php -v
PHP 7.3.6-1 (cli) (built: May 31 2019 11:36:51) ( NTS )
Copyright (c) 1997-2018 The PHP Group
Zend Engine v3.3.6, Copyright (c) 1998-2018 Zend Technologies
    with Zend OPcache v7.3.6-1, Copyright (c) 1999-2018, by Zend Technologies
# Si aucun paquet n'est installé, alors, le message suivant s'affiche :
La commande « php » n'a pas été trouvée, mais peut être installée avec :
sudo apt install php7.3-cli
sudo apt install hhvm

Désinstaller les paquets de PHP pour installer une version supérieure

# Arrêter Apache2 :
sudo service apache2 stop
# Désactiver les modules PHP activés (Ne semble pas indispensable.) :
# sudo a2dismod "Les modules PHP activés."
# Supprimer définitivement les paquets de PHP7.3 et purger, puis, lancer un autoremove.
# Vérifier une dernière fois si il reste des paquets pour PHP7.3. Observer que le dossier /etc/php/7.3 ait bien été supprimé.
sudo apt-get remove --purge php7.3 php7.3-curl libapache2-mod-php7.3 php7.3-cli php7.3-common php7.3-mbstring php7.3-gd php7.3-intl php7.3-xml php7.3-mysql php7.3-mcrypt php-zip
sudo apt-get autoremove --purge
sudo apt-get autoremove -y $( dpkg -l |awk ' /php7.3/ {print $2 }' |xargs)
# Si PHPMyAdmin est installé, refuser la suppression de PHPMyAdmin avec dbconfig-common.
# Sa réinstallation se fera par la suite avec les mêmes données.

PHP 7.0

Lister le nom des paquets disponibles pour php7.0. Utiliser cette liste pour installer tous les paquets de PHP 7.0 sur GnU/Linux.
sudo apt-cache pkgnames | grep php7.0

Installation des paquets pour Mint avec Apache2

sudo apt install php7.0 php7.0-curl libapache2-mod-php7.0 php7.0-cli php7.0-common php7.0-mbstring php7.0-gd php7.0-intl php7.0-xml php7.0-mysql php7.0-mcrypt php-zip
Le fichier php.ini de Apache2 : /etc/php7.0/apache2/php.ini.

Installation des paquets pour Mint avec Nginx

sudo apt-get install php7.0 php7.0-fpm php7.0-cli php7.0-common php7.0-mbstring php7.0-gd php7.0-intl php7.0-xml php7.0-mysql php7.0-mcrypt php7.0-zip
Le fichier php.ini de Nginx : /etc/php/7.0/fpm/php.ini

PHP 7.1

Mettre à jour les paquets de PHP 7.0 pour les paquets de PHP 7.1.

Choix du dépôt pour Mint - Ubuntu

sudo apt-get install python-software-properties
sudo add-apt-repository ppa:ondrej/php
sudo apt-get update
# Sur le même modèle que les paquets utilisés pour installer PHP 7.0, on peut installer les paquets suivants pour PHP 7.1 :
sudo apt install php7.1 php7.1-curl libapache2-mod-php7.1 php7.1-mysql php7.1-cli php7.1-common php7.1-mbstring php7.1-gd php7.1-intl php7.1-xml php7.1-mcrypt php-zip
# Un tutoriel propose des paquets supplémentaires pour PHP 7.1 ce qui semble être plus adapté :
sudo apt install --no-install-recommends php7.1 php7.1-curl libapache2-mod-php7.1 php7.1-mysql php7.1-mbstring php7.1-gd php7.1-intl php7.1-xml php7.1-mcrypt php7.1-zip php7.1-json php7.1-msgpack php7.1-memcached php7.1-sqlite3 php7.1-gmp php7.1-geoip php7.1-redis
A la fin de cette installation, PHPMyAdmin n'est plus fonctionnel et doit être réinstallé.
Réinstaller PHPMyAdmin avec sudo apt install phpmyadmin.
Ne pas reconfigurer la base de données.
Reconfigurer Apache2.
PHPMyAdmin fonctionne à nouveau correctement.

PHP 7.2

Choix du dépôt pour Debian

apt-get install apt-transport-https lsb-release ca-certificates
wget -O /etc/apt/trusted.gpg.d/php.gpg https://packages.sury.org/php/apt.gpg
echo "deb https://packages.sury.org/php/ $(lsb_release -sc) main" >> /etc/apt/sources.list.d/php.list
apt-get update
apt-get install php7.2 php7.2-opcache libapache2-mod-php7.2 php7.2-mysql php7.2-curl php7.2-json php7.2-gd php7.2-intl php7.2-mbstring php7.2-xml php7.2-zip php7.2-fpm php7.2-readline
service apache2 restart

Choix du dépôt pour Ubuntu

How to Install PHP 7.2, 7.1, 7.0 on Ubuntu 18.04 & 16.04 using PPA : https://tecadmin.net/install-php-7-on-ubuntu/

PHP 7.3

Choix du dépôt pour Debian

sudo apt-get install apt-transport-https lsb-release ca-certificates
sudo wget -O /etc/apt/trusted.gpg.d/php.gpg https://packages.sury.org/php/apt.gpg
echo "deb https://packages.sury.org/php/ $(lsb_release -sc) main" | tee /etc/apt/sources.list.d/php7.3.list
apt-get update
Lister tous les paquets contenant PHP7.3 :
apt-cache search php7.3
apt-get install php7.3 php7.3-opcache libapache2-mod-php7.3 php7.3-mysql php7.3-curl php7.3-json php7.3-gd php7.3-intl php7.3-mbstring php7.3-xml php7.3-zip php7.3-fpm php7.3-readline
Source : https://www.rosehosting.com/blog/how-to-install-php-7-3-on-debian-9/

Activer PHP-FPM

# Utiliser PHP-FPM permet d’améliorer la sécurité et les performances.
# Le simple module PHP surcharge le serveur car chaque process Apache est rattaché à un moteur PHP complet.
# L'ajout de PHP-FPM ne semble fonctionner correctement qu’à partir de la version d’Apache 2.4.9.
# Avant cette version, Apache ne pouvait pas utiliser les sockets Unix pour communiquer correctement avec le serveur PHP-FPM.
# Cette méthode pour activer PHP-FPM a été testée sur Debian avec PHP7.2 et PHP7.3.
# Pour activer PHP-FPM :
# Activer le module proxy_fcgi, setenvif :
sudo a2enmod proxy_fcgi setenvif
# Activer la configuration de php7.3-fpm :
sudo a2enconf php7.3-fpm
# Il est indispensable de désactiver le module PHP pour permettre à PHP-FPM de fonctionner :
sudo a2dismod php7.3
# Redémarrer Apache2 et PHP-FPM :
sudo service apache2 restart
sudo service php7.3-fpm restart
# Si PHP-FPM est correctement activé, la valeur Apache 2.0 Handler devrait être remplacée par FPM/FastCGI depuis "phpinfo.php" à la ligne Server API :
Php-fpm-php-ini.png
# Suite à une modification du fichier php.ini, il n’est plus nécessaire de redémarrer le service apache2. Il faut redémarrer le service php7.3-fpm.
# En utilisant PHP-FPM, il est facile d’utiliser plusieurs version de PHP sur un même serveur Web et de choisir la version en fonction du vhost.
# <FilesMatch \.php$>
#       SetHandler "proxy:unix:/var/run/php/php7.3-fpm.sock|fcgi://localhost/"
# </FilesMatch>
# Vérifier que PHP-FPM est bien configuré pour utiliser les sockets :
# grep -E '^\s*listen\s*=\s*[a-zA-Z/]+' /etc/php/7.3/fpm/pool.d/www.conf
# Sinon, éditer la configuration pour permettre à PHP-FPM d'utiliser les sockets :
# sudo nano /etc/php/7.3/fpm/pool.d/www.conf

Optimiser la consommation de RAM

# Éditer la configuration de PHP FPM :
sudo nano /etc/php/7.2/fpm/pool.d/www.conf
# Tentative pour améliorer les performances sur un petit VPS de 1Go de RAM.
pm = dynamic
pm.max_children = 25
pm.start_servers = 2
pm.min_spare_servers = 2
pm.max_spare_servers = 4
pm.max_requests = 0
request_terminate_timeout = 35s
sudo service php7.2-fpm restart
# Vider puis consulter la mémoire disponible :
free -h && sudo sysctl vm.drop_caches=3 && free -h

A tester : Optimiser l'environnement

https://www.christophe-meneses.fr/article/mettre-en-place-un-environnement-apache-php-fpm

Optimiser les Workers FPM

# Activer mpm worker pour PHP FPM :
a2enmode mpm_worker
# Configurer l'un ou l'autre module :
/etc/apache2/mods-enabled/mpm-event.conf
/etc/apache2/mods-enabled/mpm-worker.conf

Configurer PHP FPM

# Éditer le fichier de configuration de PHP FPM :
sudo nano /etc/php/7.3/fpm/pool.d/www.conf
# Avec un serveur VPS de 1Go de Ram, j'utilise actuellement la configuration suivante :
pm = dynamic
pm.max_children = 5
pm.start_servers = 2
pm.min_spare_servers = 1
pm.max_spare_servers = 3
# Le message d'erreur suivant se retrouve dans les logs :
WARNING: [pool www] server reached pm.max_children setting (5), consider raising it.
# Je décommente la valeur suivante pour voir si il y a du mieux :
pm.max_requests = 500

Sources complémentaires

# Optimisation étapes par étapes : https://medium.com/@sbuckpesch/apache2-and-php-fpm-performance-optimization-step-by-step-guide-1bfecf161534
# Configurer les workers de php-fpm pour traiter la charge : https://www.deltasight.fr/configurer-workers-php-fpm/
# https://stackoverflow.com/questions/18761239/apache-server-reached-maxclients-setting-consider-raising-the-maxclients-settin

Trouver les services PHP

whereis php
php: /usr/bin/php7.3 /usr/bin/php /usr/lib/php /etc/php /usr/share/php7.3-json /usr/share/php7.3-opcache /usr/share/php7.3-gd /usr/share/php7.3-intl /usr/share/php7.3-readline /usr/share/php7.3-xml /usr/share/php7.3-curl /usr/share/php7.3-mysql /usr/share/php7.3-mbstring /usr/share/php7.3-zip /usr/share/php7.3-common /usr/share/php /usr/share/man/man1/php.1.gz

Configurer le fichier php.ini de PHP

PHP peut être utilisé par un site web ou en ligne de commande.
Un fichier configure le site Web et un autre fichier configure les paramètres du serveur.
Les deux interpréteur PHP, web et ligne de commande, peuvent avoir des configurations différentes.
Deux fichiers php.ini peuvent donc exister.
Utiliser php.info pour connaître le php.ini utilisé par le site Web.
Utiliser le terminal pour trouver le php.ini sur le serveur avec la commande "locate php.ini".
Si locate ne trouve rien, utiliser "find / -name php.ini".
# Rendu de la commande locate php.ini :
cd /etc/php
locate php.ini
/etc/php/7.3/apache2/php.ini
/etc/php/7.3/cli/php.ini
/etc/php/7.3/fpm/php.ini
# Trouver le php.ini de PHP cli avec la commande "php --ini" :
php --ini | grep "Loaded Configuration File"
Loaded Configuration File:         /etc/php/7.3/cli/php.ini
php --ini
Configuration File (php.ini) Path: /etc/php/7.3/cli
Loaded Configuration File:         /etc/php/7.3/cli/php.ini
Scan for additional .ini files in: /etc/php/7.3/cli/conf.d
Additional .ini files parsed:      /etc/php/7.3/cli/conf.d/10-mysqlnd.ini,
/etc/php/7.3/cli/conf.d/10-opcache.ini,
/etc/php/7.3/cli/conf.d/10-pdo.ini,
/etc/php/7.3/cli/conf.d/15-xml.ini,
/etc/php/7.3/cli/conf.d/20-calendar.ini,
/etc/php/7.3/cli/conf.d/20-ctype.ini,
/etc/php/7.3/cli/conf.d/20-curl.ini,
/etc/php/7.3/cli/conf.d/20-dom.ini,
/etc/php/7.3/cli/conf.d/20-exif.ini,
/etc/php/7.3/cli/conf.d/20-fileinfo.ini,
/etc/php/7.3/cli/conf.d/20-ftp.ini,
/etc/php/7.3/cli/conf.d/20-gd.ini,
/etc/php/7.3/cli/conf.d/20-gettext.ini,
/etc/php/7.3/cli/conf.d/20-iconv.ini,
/etc/php/7.3/cli/conf.d/20-intl.ini,
/etc/php/7.3/cli/conf.d/20-json.ini,
/etc/php/7.3/cli/conf.d/20-mbstring.ini,
/etc/php/7.3/cli/conf.d/20-mysqli.ini,
/etc/php/7.3/cli/conf.d/20-pdo_mysql.ini,
/etc/php/7.3/cli/conf.d/20-phar.ini,
/etc/php/7.3/cli/conf.d/20-posix.ini,
/etc/php/7.3/cli/conf.d/20-readline.ini,
/etc/php/7.3/cli/conf.d/20-shmop.ini,
/etc/php/7.3/cli/conf.d/20-simplexml.ini,
/etc/php/7.3/cli/conf.d/20-sockets.ini,
/etc/php/7.3/cli/conf.d/20-sysvmsg.ini,
/etc/php/7.3/cli/conf.d/20-sysvsem.ini,
/etc/php/7.3/cli/conf.d/20-sysvshm.ini,
/etc/php/7.3/cli/conf.d/20-tokenizer.ini,
/etc/php/7.3/cli/conf.d/20-wddx.ini,
/etc/php/7.3/cli/conf.d/20-xmlreader.ini,
/etc/php/7.3/cli/conf.d/20-xmlwriter.ini,
/etc/php/7.3/cli/conf.d/20-xsl.ini,
/etc/php/7.3/cli/conf.d/20-zip.ini

Avec php 7.3

# Éditer la configuration :
sudo nano /etc/php/7.3/apache2/php.ini
# Redémarrer le service :
sudo service apache2 restart

Avec php 7.3 fpm

# Éditer la configuration :
sudo nano /etc/php/7.3/fpm/php.ini
# Redémarrer le service :
sudo service php7.3-fpm restart

Configurer php.ini depuis le dossier racine de son site

Il est possible de créer un fichier php.ini dans le dossier qui contient l'ensemble des fichiers et dossiers de votre CMS pour appliquer une configuration particulière.
Désactiver par exemple le paramètre Output Buffering en ajoutant la ligne suivante : output_buffering = Off

Vérifier les fichiers logs régulièrement pour rester informé des erreurs rencontrées

Le chemin des logs de PHP est configuré depuis le fichier php.ini de PHP, par exemple "/var/log/php".
Consulter cette page pour aller plus loin avec les logs : Gestion des logs.
Suivre régulièrement les informations proposées dans les logs pour une bonne maintenance de son système.

Directives PHP

Introduction aux directives de PHP

# Le fichier "php.ini" pour configurer les directives pour PHP.
# Le fichier "php.ini" pour PHP7.3 FPM :
/etc/php/7.3/fpm/php.ini
# Redémarrer PHP après chaque modification dans les directives du fichier "php.ini".
# Redémarrer PHP7.3 FPM :
sudo service php7.3-fpm restart
# Afficher la valeur actuellement configurée pour une directive avec PHP et la fonction ini-get() : https://www.php.net/manual/fr/function.ini-get.php
# Par exemple :
<?php
echo 'open_basedir = ' . ini_get('open_basedir') . "\n";
?>
Liste des directives de php.ini : https://www.php.net/manual/en/ini.list.php
Utiliser les sections avec php.ini : https://www.php.net/manual/en/ini.sections.php
Un ancien exemple de directives pour le fichier php.ini de PHP commenté en français sur une base Centos en 2014 :
Exemple Apache pour le fichier de configuration php ini
Cette page pourra être supprimée après relecture.

allow_url_fopen - Interdire l'ouverture et l'inclusion de fichiers distants

# Il est conseillé pour des raisons de sécurité d'interdire l'ouverture et l'inclusion de fichiers distants.
# Manuel de la fonction fopen : https://secure.php.net/manual/en/function.fopen.php
allow_url_fopen = Off
allow_url_include = Off

cgi.force_redirect - Sécurité pour les adresses de navigation web

Configurer Apache2 + PHP + FastCGI ou cgi comme décrit ici.
PHP fonctionne avec FastCGI qui permet de réduire l'encombrement de la mémoire du serveur Web tout en bénéficiant de la vitesse et de la puissance de l'ensemble du langage PHP.
La directive de configuration cgi.force_redirect empêche quiconque d'appeler directement PHP avec une URL telle que http://www.domaine.ext/cgi-bin/php/hack/backdoor.php.
# Activer cgi.force_redirect pour des raisons de sécurité.
cgi.force_redirect=On

disable_functions - Désactiver certaines commandes potentiellement dangereuses

Vérifier que le site fonctionne correctement, sinon, identifier la commande trop restrictive.
disable_functions = php_uname, getmyuid, getmypid, passthru, leak, listen, diskfreespace, tmpfile, link, ignore_user_abord, shell_exec, dl, exec, system, highlight_file, source, show_source, fpaththru, virtual, posix_ctermid, posix_getcwd, posix_getegid, posix_geteuid, posix_getgid, posix_getgrgid, posix_getgrnam, posix_getgroups, posix_getlogin, posix_getpgid, posix_getpgrp, posix_getpid, posix, _getppid, posix_getpwnam, posix_getpwuid, posix_getrlimit, posix_getsid, posix_getuid, posix_isatty, posix_kill, posix_mkfifo, posix_setegid, posix_seteuid, posix_setgid, posix_setpgid, posix_setsid, posix_setuid, posix_times, posix_ttyname, posix_uname, proc_open, proc_close, proc_get_status, proc_nice, proc_terminate, pcntl_alarm, pcntl_fork, pcntl_waitpid, pcntl_wait, pcntl_wifexited, pcntl_wifstopped, pcntl_wifsignaled, pcntl_wifcontinued, pcntl_wexitstatus, pcntl_wtermsig, pcntl_wstopsig, pcntl_signal, pcntl_signal_get_handler, pcntl_signal_dispatch, pcntl_get_last_error, pcntl_strerror, pcntl_sigprocmask, pcntl_sigwaitinfo, pcntl_sigtimedwait, pcntl_exec, pcntl_getpriority, pcntl_setpriority, pcntl_async_signals
# Fonctions recommandées pour la désactivation d'après le site : http://php.xmb.cz/disable-functions/ :
disable_functions = apache_child_terminate, apache_get_modules, apache_get_version, apache_getenv, apache_lookup_uri, apache_note, apache_request_headers, apache_reset_timeout, apache_response_headers, apache_setenv, getallheaders, virtual,chdir, chroot, exec, passthru, proc_close, proc_get_status, proc_nice, proc_open, proc_terminate, shell_exec, system, chgrp, chown, disk_free_space, disk_total_space, diskfreespace, filegroup, fileinode, fileowner, lchgrp, lchown, link, linkinfo, lstat, pclose, popen, readlink, symlink, umask, cli_get_process_title, cli_set_process_title, dl, gc_collect_cycles, gc_disable, gc_enable, get_current_user, getmygid, getmyinode, getmypid, getmyuid, php_ini_loaded_file, php_ini_scanned_files, php_logo_guid, php_sapi_name, php_uname, sys_get_temp_dir, zend_logo_guid, zend_thread_id, highlight_file, php_check_syntax, show_source, sys_getloadavg, closelog, define_syslog_variables, openlog,pfsockopen, syslog, nsapi_request_headers, nsapi_response_headers, nsapi_virtual, pcntl_alarm, pcntl_errno, pcntl_exec, pcntl_fork, pcntl_get_last_error, pcntl_getpriority, pcntl_setpriority, pcntl_signal_dispatch, pcntl_signal, pcntl_sigprocmask, pcntl_sigtimedwait, pcntl_sigwaitinfo, pcntl_strerror, pcntl_wait, pcntl_waitpid, pcntl_wexitstatus, pcntl_wifexited, pcntl_wifsignaled, pcntl_wifstopped, pcntl_wstopsig, pcntl_wtermsig, posix_access, posix_ctermid, posix_errno, posix_get_last_error, posix_getcwd, posix_getegid, posix_geteuid, posix_getgid, posix_getgrgid, posix_getgrnam, posix_getgroups, posix_getlogin, posix_getpgid, posix_getpgrp, posix_getpid, posix_getppid, posix_getpwnam, posix_getpwuid, posix_getrlimit, posix_getsid, posix_getuid, posix_initgroups, posix_isatty, posix_kill, posix_mkfifo, posix_mknod, posix_setegid, posix_seteuid, posix_setgid, posix_setpgid, posix_setsid, posix_setuid, posix_strerror, posix_times, posix_ttyname, posix_uname, setproctitle, setthreadtitle, shmop_close, shmop_delete, shmop_open, shmop_read, shmop_size, shmop_write
# phpinfo : Utilisé pour vérifier les valeurs de la configuration.
# php_uname : Empêche l'affichage des liens du wiki dans le module Joomla.
# set_time_limit : Got error 'PHP message: PHP Warning: set_time_limit() has been disabled for security reasons in /var/www/wiki.visionduweb.fr/includes/GlobalFunctions.php on line 2958 (Mediawiki).

display_errors log_errors error_log - Ne pas afficher les erreurs PHP mais les journaliser

# Depuis le fichier de configuration de PHP :
sudo nano /etc/php/7.3/fpm/php.ini
# Ne pas afficher les erreurs sur le site :
display_errors=Off
# Journaliser les erreurs vers un fichier :
log_errors=On
# error_log = syslog
# error_log = /var/log/php7.3-fpm.log
error_log = /var/log/apache2/php_errors.log
# Les droits appliqués au fichier de log :
-rw------- root root php_errors.log
# Le chemin vers le fichier de log est également indiqué depuis le fichier /etc/php/7.3/fpm/php-fpm.conf :
;error_log = /var/log/php7.3-fpm.log
sudo nano /etc/php/7.3/fpm/php-fpm.conf

error_reporting - Vérifier les variables non-initialisées

Pour vérifier les variables non-initialisées, utiliser la fonction error_reporting qui peut afficher les erreurs de niveau E_NOTICE.
# La directive display_errors doit ici être passée à On.
display_errors = On
error_reporting = E_ALL
# La directive error_reporting peut également être initialisée directement dans le code source d'une page PHP :
Ajouter au dessous de l'ouverture de la balise <?php
ini_set('error_reporting', E_ALL);
error_reporting(E_ALL);
@ini_set('display_error','1');
Source complémentaire : https://itinterviewguide.com/php-error-reporting/

error_log - Chemin du fichier de log de PHP

error_log = /var/log/apache2/php_errors.log
# Peut aussi être configuré pour rediriger les messages vers syslog-NG.

expose_php - Ne pas afficher la version de PHP

Définir expose_php = Off empêche simplement le serveur Web de renvoyer l'en-tête X-Powered-By.
C'est une bonne chose à faire, mais ne vous attendez pas à ce qu'elle offre beaucoup de protection.
Les pirates potentiels pourraient rechercher des versions obsolètes de PHP avec des failles de sécurité à exploiter même si cet en-tête est désactivé.
Les services tiers ne devraient pas avoir à se soucier de la version de PHP utilisée.
Le contenu doit être mis à disposition dans des formats indépendants de la plate-forme tels que JSON, XML.
Les services doivent pouvoir être utilisés par toutes les plates-formes et pas uniquement pour le langage PHP.
expose_php = Off

ignore_repeated_errors - Ne pas loguer une erreur récurrente

On supprimera plusieurs occurrences des mêmes erreurs lorsqu'elles proviennent de la même ligne du même fichier.
ignore_repeated_errors = On
Ignore_repeated_errors dans le fichier système php.ini peut interférer avec les tests, provoquant de faux rapports d'échecs.
Manuel des directives d'erreurs : https://www.php.net/manual/en/errorfunc.configuration.php

ignore_repeated_source - Ne pas loguer une erreur récurrente sur plusieurs lignes ou fichiers

On supprimera plusieurs occurrences des mêmes erreurs, même si elles proviennent de lignes différentes dans des fichiers différents.
ignore_repeated_source = Off

magic_quotes

# Cette fonctionnalité a été utilisée depuis PHP 5.3.0 mais a été supprimée depuis PHP 5.4.0.
# Magic quotes for incoming GET/POST/Cookie data.
# magic_quotes_gpc = Off
# Magic quotes for runtime-generated data, e.g. data from SQL, from exec(), etc.
# magic_quotes_runtime = Off
# Use Sybase-style magic quotes (escape ' with  instead of \').
# magic_quotes_sybase = Off
# Si l'accès à la configuration du serveur n'est pas disponible, l'utilisation de .htaccess est également une option :
# php_flag magic_quotes_gpc Off

mail.log - Obtenir les logs des mails envoyés avec la fonction mail()

Cette directive existe depuis PHP5.3 et permet d'obtenir les logs des mails envoyés avec la fonction PHP mail() depuis le serveur ou le site Web.
Les lignes suivantes permettent d'activer la directive mail.log depuis la configuration PHP via le fichier php.ini pris en compte par le serveur Apache2.
;# Ajoute une ligne avec des informations dans les logs des mails : En-tête X-PHP-Originating-Script qui inclue un UID unique pour le script et le nom du fichier.
;# Je veux obtenir les informations précises sur les mails. La directive est activée avec On.
;# Valeur en production : Off
mail.add_x_header = On
;# Gestion des logs des mails.
;# Valeurs de production : avec un chemin vers un fichier log configuré.
;# Ce fichier doit être créé. Ajouter les droits de apache/httpd.
mail.log = /var/log/php/mail.log

max_execution_time - Contrôler les ressources

max_execution_time =  30

max_input_time - Contrôler les ressources

max_input_time = 30

memory_limit - Augmenter la mémoire de PHP

# Augmenter la mémoire de PHP.
# La valeur par défaut de memory_limit est de 128M :
memory_limit = 128M

open_basedir - Limiter la navigation au système de fichiers du dossier contenant le ou les sites

# La directive open_basedir définit les répertoires à partir desquels PHP est autorisé à accéder aux fichiers en utilisant des fonctions comme fopen().
# Si un fichier est en dehors des chemins définis par open_basdir, PHP refusera de l'ouvrir.
# Un lien symbolique comme solution de contournement ne devrait pas fonctionner.
; Limiter l'accès de PHP au système de fichiers :
open_basedir = /var/www/site
# Il sera par exemple impossible d'inclure le fichier suivant depuis la racine du site pour exploiter des informations en parcourant le système de fichiers du serveur :
../../../../../../../etc/passwd
; Limiter le processus PHP au répertoire spécifié :
open_basedir="/var/www/html/"
; ------------------------------------
; Limiter le processus PHP aux répertoires spécifiés :
; open_basedir="/home/httpd/vhost/cyberciti.biz/html/:/home/httpd/vhost/nixcraft.com/html/:/home/httpd/vhost/theos.in/html/"
; ------------------------------------
Il est possible (Voir conseillé ?) de configurer le répertoire open_basedir directement depuis le VirtualHost.

Définir open_basedir dans le Virtualhost de chaque site

# Il semble préférable de définir le open_basedir directement depuis le fichier VirtualHost directement pour éviter les erreurs dans /var/log/apache2/error.log
tail /var/log/apache2/error.log
# Ajouter la directive open_basedir dans un Virtualhost :
<VirtualHost wiki.visionduweb.fr:443>
ServerName wiki.visionduweb.fr
ServerAdmin contacter@visionduweb.fr
DocumentRoot /var/www/wiki.visionduweb.fr
...
# Définir la valeur open_basedir pour le site.
# Avec cette valeur le site est fonctionnel, mais, c'est la valeur globale par défaut, et entraîne une erreur dans les logs.
SetEnv PHP_ADMIN_VALUE "open_basedir=/var/www"
# Avec cette valeur le site ne semble plus fonctionnel et affiche l'erreur directement sur le site !
SetEnv PHP_ADMIN_VALUE "open_basedir=/var/www/wiki.visionduweb.fr"
# Création d'un dossier temporaire "tmp" à la racine du wiki :
cd /var/www/
sudo mkdir tmp_php
sudo chown www-data:www-data -R tmp_php/
sudo chmod 750 -R tmp_php/
# Je change la configuration du chemin pour la directive en prenant en compte le sous dossier du wiki.
# Le message d'erreur n'est plus logué.
SetEnv PHP_ADMIN_VALUE "open_basedir=/var/www/wiki.visionduweb.fr/:/tmp_php/"
Si cette toute dernière commande ne semble pas retourner d'erreur pour le wiki, en revanche, le site principale retourne une erreur :
AH01071: Got error 'PHP message: PHP Warning:  file_exists(): open_basedir restriction in effect. File(/var/www/visionduweb.fr/defines.php) is not within the allowed path(s): (/var/www/wiki.visionduweb.fr/:/tmp/) in /var/www/visionduweb.fr/index.php on line 29PHP message: PHP Warning:  file_exists(): open_basedir restriction in effect. File(/var/www/visionduweb.fr/libraries/joomla) is not within the allowed path(s): (/var/www/wiki.visionduweb.fr/:/tmp/) in /var/www/visionduweb.fr/libraries/loader.php on line 340PHP message: PHP Fatal error:  Uncaught RuntimeException: Library path /libraries/joomla cannot be found. in /var/www/visionduweb.fr/libraries/loader.php:344\nStack trace:\n#0 /var/www/visionduweb.fr/libraries/loader.php(490): JLoader::registerPrefix('J', '/libraries/joom...')\n#1 /var/www/visionduweb.fr/libraries/import.legacy.php(52): JLoader::setup()\n#2 /var/www/visionduweb.fr/includes/framework.php(15): require_once('/var/www/vision...')\n#3 /var/www/visionduweb.fr/index.php(40): require_once('/var/www/vision...')\n#4 {main}\n  thrown in /var/www/visionduweb.fr/libraries/loader.php on line 344'
# Je change à nouveau la configuration du chemin pour la directive.
# L'ensemble des messages d'erreurs disparaissent.
SetEnv PHP_ADMIN_VALUE "open_basedir=/var/www/:/tmp/"
# Pourquoi le VirtualHost du wiki.visionduweb.fr entraîne une erreur sur le site visionduweb.fr qui a lui même sont propre VirtualHost.
# J'ai bien deux dossiers pourtant, pour les deux sites : /var/www/visionduweb.fr et /var/www/wiki.visionduweb.fr
# Pour pouvoir définir le bon dossier open_basedir pour chaque site, désactiver la directive open_basedir depuis la configuration de PHP et l'inclure directement  dans chaque VirtualHost.
# Les sites peuvent être restreints à leur propre open_basedir en ajoutant une seule ligne dans leur VirtualHost et il n'y a plus d'erreur dans les logs.
# Cette fois, ça fonctionne :
SetEnv PHP_ADMIN_VALUE "open_basedir=/var/www/visionduweb.fr/:/tmp_php/"
SetEnv PHP_ADMIN_VALUE "open_basedir=/var/www/wiki.visionduweb.fr/:/tmp_php/"
SetEnv PHP_ADMIN_VALUE "open_basedir=/var/www/green-adn.fr/:/tmp_php/"


# Create non-world-readable directory ?
cd /var/www/visionduweb.fr
sudo mv tmp/ joomla_tmp
--> Vérifier Joomla Extensions - Avertissements
--> PHPinfo ne trouve non plus pas de valeur pour upload_tmp_dir. Etrange que Joomla considère alors que upload_tmp_dir est défini.
--> Une issue est ouvert sur le Github de Joomla : https://github.com/joomla/joomla-cms/issues/25756
# Les droits à appliquer à un dossier /tmp : https://www.thegeekdiary.com/unix-linux-what-is-the-correct-permission-of-tmp-and-vartmp-directories/
-->
# Finalement, je pourrais me contenter du /var/tmp qui appartient à root ? ( préférer tout de me un dossier tmp spécifique pour php ? /var/www/php ou /var/tmp/php ?
cd /var/tmp
sudo mkdir php
/var/tmp$ sudo chown www-data:www-data php/
/var/tmp$ sudo chmod 1777 php/
; A définir depuis chaque VirtualHost
; open_basedir
; Définir globalement dans la configuration de PHP :
upload_tmp_dir=/var/tmp/php
sys_temp_dir=/var/tmp/php
{
# Voir aussi PrivateTmp=true (Concerne le système.)
PrivateTmp=true
}
# voir également :
https://support.plesk.com/hc/en-us/articles/360001540233-How-to-change-the-directory-for-storing-temporary-PHP-files-of-a-particular-PHP-version-on-a-Plesk-server
open_basedir = {WEBSPACEROOT}{/}{:}{TMP}{/}:/var/tmp
Pour VHost :


# Fonctionne à l'usage sans les 2 erreurs sur PhpSecInfo
#  -- Avec open_basedir désactivé en global et upload_tmp_dir + sys_temp -> /var/tmp
Exemple d'inclusion du répertoire /var/lib/php/sessions dans open_basedir :
SetEnv PHP_ADMIN_VALUE "open_basedir=/var/www/visionduweb.fr/:/tmp/:/var/lib/php/sessions"
#############################################
Au final je désactive tout ça avec SetEnv sur les 3 sites, car, je constate que mon PHPinfo n'affiche pas / plus les informations renseignées depuis le fichier /etc/php/7.3/fpm/php.ini
( Je me rend compte que j'avais des commentaires ### qui pouvaient bloquer la config !!! au lieu d'être en ;;; )
J'ai utilisé le php.ini de /etc/php/7.3/fpm/php.ini pour écraser le php.ini de /etc/php/7.3/apache2/php.ini
J'utilise le fichier /etc/php/7.3/fpm/pool.d/www.conf pour ajouter ma configuration exim qui est à nouveau prise en compte :
php_admin_value[sendmail_path] = /usr/sbin/exim4 -t -i -F mail@visionduweb.com -f mail@visionduweb.com
>> Je remet le /etc/php/7.3/apache2/php.ini original que j'avais sauvegardé.
>> Je remet 80M pour les valeurs de post_max dans le sudo nano /etc/php/7.3/fpm/php.ini
// Je remet upload_tmp_dir="/var/www/tmp_php" + session.save_path = "/var/www/tmp_php" dans le php.ini global de php7.3-fpm   <----  non-world-readable directory ???
// Je décommente la valeur de sendmail dans le /etc/php/7.3/fpm/pool.d/www.conf
>> Je redémarre. Je retrouve à nouveau les bonnes valeurs sur le PHP info ! (local + master)
#############################################
Le php-fpm ne voit pas le même contenu que /var/tmp à cause du fichier systemd.service utilisant PrivateTmp=true
Sinon, utiliser php.ini !
#############################################
// Réécrire les VirtualHost correctement en ajoutant la ligne pour tous les domaines

+
Réécrire le VirtualHost notamment de green-adn.fr
+
Vérifier que l'antibadbot soit activé (Retirer le moteur chinois.)

post_max_size

# Les deux directives doivent avoir les mêmes valeurs : (Obligatoire ?)
upload_max_filesize = 32M
post_max_size = 32M

sendmail_from - Pour Windows uniquement - Adresse de l'expéditeur

sendmail_from = mail@visionduweb.com
Manuel : http://php.net/sendmail-from

sendmail_path - Pour Unix et Linux uniquement - Configuration d'envoi des mails PHP par le service mail approprié

# Renseigner le service qui va émettre le mail envoyé depuis PHP ainsi que l'adresse d'expédition et de retour.
# Dans cet exemple Exim a été installé et configuré pour servir d'émetteur de mails.
; sendmail -t -i
; sendmail_path = /usr/sbin/sendmail -t -i
; sendmail_path = /usr/sbin/sendmail -t -i -F mail@visionduweb.com -f mail@visionduweb.com
sendmail_path = /usr/sbin/exim4 -t -i -F mail@visionduweb.com -f mail@visionduweb.com
Manuel : http://php.net/sendmail-path

session.save_path - Chemin d'enregistrement des sessions

# Les sessions font parties des éléments les plus convoités par les Hackers.
# Le support de session PHP permet de préserver certaines données lors des accès au site.
# Cela permet de créer des applications plus personnalisées et d'accroître l'attrait pour le site.
; session.save_path = "/var/lib/php/sessions"
session.save_path = "/var/www/tmp_php"
# S'assurer que le chemin est en dehors de /var/www/html et qu'il n'est pas lisible ni inscriptible par aucun autre utilisateur du système !
# Ce répertoire est créé ainsi :
cd /var/www
sudo mkdir tmp_php
sudo chown -R www-data:www-data tmp_php/
sudo chmod -R 1700 tmp_php/
# Les droits suivants sont affichés :
ls -la
drwx-----T  2 www-data www-data 61440 sept. 12 01:12 tmp_php
Todo.png
# Utiliser SELinux pour protéger le répertoire.
# L'option -Z de la commande ls affiche le contexte de sécurité SELinux (Le mode de fichier, l'utilisateur, le groupe, le contexte de sécurité et le nom du fichier.) :
ls -Z /var/www/
? html  ? html-BAK
# Vérifier si ps peut interroger un répertoire - > A faire < -
ps axZ | grep /var/www/
unconfined                      28093 pts/0    S+     0:00 grep --color=auto /var/www/
# Vérifier si ps retourne des valeurs pour le service apache2 - > A faire < -
ps axZ | grep apache2
unconfined                       1505 ?        Ss     0:01 /usr/sbin/apache2 -k start
unconfined                      18504 pts/0    S+     0:00 grep --color=auto apache2
unconfined                      21575 ?        S      0:00 /usr/sbin/apache2 -k start
unconfined                      21597 ?        S      0:00 /usr/sbin/apache2 -k start
Ok-ko.png Manuel : http://php.net/session.save-path

session.cookie_httponly - Refuser la manipulation des sessions avec JavaScript

# Il est déconseillé de manipuler les sessions à l'aide de JavaScript.
# Avec cette directive, JavaScript ne pourra lire les sessions, afin d'éviter les attaques de type XSS.
session.cookie_httponly = 1

sql.safe_mode

# Supprimé de PHP depuis la version de PHP5.4 et génère une erreur fatale de niveau E_CORE_ERROR lorsqu'il est activé.
# sql.safe_mode=On

sys_temp_dir

# Répertoire où les fichiers temporaires doivent être placés.
# La valeur par défaut est celle du système (Voir "sys_get_temp_dir".)
# sys_temp_dir = "/tmp"
# Je défini la valeur de cette directive sys_temp_dir avec la même valeur que celle utilisée pour définir upload_tmp_dir.
# Je voudrais dans un premier temps la définir à /var/tmp mais le CHMOD me surprend : drwxrwxrwt  5 root     root     4096 août   1 16:09 tmp
sys_temp_dir = "/var/tmp"
# Ressource complémentaire concernant la fonction sys-get-temp-dir (Et non pas la directive sys_temp_dir) : https://www.php.net/manual/en/function.sys-get-temp-dir.php
# La valeur de retour de sys_get_temp_dir() peut être définie globalement avec PHP depuis son fichier de configuration /etc/php/7.3/fpm/php.ini et de la directive "sys_temp_dir".
# Elle peut également être définie pour un répertoire avec la configuration : php_admin_value sys_temp_dir /path/to/tmp
# Cette fonction ne prend pas en compte les modifications spécifiques du VirtualHost.
# Depuis un système Linux, cette fonction renverra simplement "/tmp", et non le vrai chemin.
# <Virtualhost>
# php_admin_value open_basedir /home/user
# php_admin_value upload_tmp_dir /home/user/tmp
# php_admin_value session.save_path /home/user/tmp
# </Virtualhost>
###
# Pas certain !
# Les fichiers ajoutés dans /tmp par cette directive pourraient être les fichiers de session.
###

upload_max_filesize et post_max_size

# Il est bon de désactiver le système d'envoi de fichiers si vous n'utilisez pas de formulaires pour l'envoi de fichiers.
# Pour être totalement certain qu’aucun upload ne pourra être fait par quiconque y compris par vous.
# On peut également créer un fichier php.ini à la racine de son site et y inclure cette ligne.
file_uploads = Off
# Avec ce genre de formulaire, il faut limiter un répertoire d'envoi avec la directive upload_tmp_dir et une taille maximale :
# Les deux directives doivent avoir les mêmes valeurs.
upload_max_filesize = 32M
post_max_size = 32M

upload_tmp_dir

# Répertoire temporaire utilisé pour stocker les fichiers lors du téléchargement de fichier.
# Doit être accessible en écriture par n'importe quel utilisateur PHP exécuté.
# Si non spécifié, PHP utilisera les valeurs par défaut du système.
; Définit le répertoire temporaire utilisé pour stocker les fichiers lors du téléchargement de fichier :
; upload_tmp_dir="/var/lib/php/session"
upload_tmp_dir="/var/www/tmp_php"

Avertissement Joomla - Le répertoire temporaire n'est pas défini

Configurer cette directive permet de résoudre le message d'erreur de Joomla depuis Extensions/Gérer/Avertissements : Le répertoire temporaire PHP n'est pas défini.

Les solutions qui n'ont pas fonctionnées sur mon VPS

Avec Debian Stretch et Apache2.4 :
- Créer un fichier php.ini dans le dossier principale contenant les fichiers du site.
Ajouter la ou les lignes :
upload_tmp_dir=/tmp
J'ai testé le chemin relatif et absolu, sans succès.
Certains mutualisés acceptent le fichier php.ini et d'autres non.
Je ne sais pas si le fichier php.ini est bien accepté avec ma configuration pour le VPS ou si je dois ajouter une ligne de commande pour permettre la prise en compte d'un fichier php.ini ajouté dans le site.
Je laisse tomber cette solution.
- Ajouter une ligne dans le virtualhost
# Cette configuration m'empêche de redémarrer Apache2 :
<Directory /var/www/domaine.ext>
php_admin_value upload_tmp_dir /tmp
</Directory>
# Utiliser alors :
SetEnv PHP_ADMIN_VALUE "upload_tmp_dir=/var/www/tmp"
- Même principe avec le fichier .htaccess mais je n'ai pas testé, avec la ligne précédente qui ne fonctionnait pas depuis le VirtualHost.
- Il devrait être également possible de charger le fichier php.ini depuis le dossier local avec le fichier .htaccess mais je n'ai pas cherché a le faire.

La solution qui fonctionne sur mon VPS

Avec Debian Stretch et Apache2.4 :
# Créer le dossier "tmp" dans "/var/www/" :
# Vérifier les droits attribués, ou encore, le bon emplacement de ce répertoire sur le système, même si le résultat semble fonctionnel.
cd /var/www
sudo mkdir tmp
sudo chown www-data:www-data -R tmp/
# sudo chmod 755 -R tmp/
# Préférer la commande suivante ?!
sudo chmod 1700 -R tmp/
# Commencer par configurer PHP 7.2 et Apache2 avec le fichier php.ini
sudo nano /etc/php/7.2/apache2/php.ini
Modifier les valeurs suivantes :
upload_tmp_dir = /var/www/tmp
Vérifier que les deux lignes suivantes, les paramètres peuvent varier, mais ils doivent tous deux avoir la même valeur.
upload_max_filesize = 32M
post_max_size = 32M
Redémarrer Apache2. L'erreur est toujours affichée : Le répertoire temporaire PHP n'est pas défini
sudo systemctl restart apache2
Dans mon cas, j'ai activé PHP FPM, donc, c'est la version du php.ini de FPM qui doit être configurée.
sudo nano /etc/php/7.3/fpm/php.ini
Modifier à nouveau les valeurs suivantes :
upload_tmp_dir = /var/www/tmp
Vérifier que les deux lignes suivantes, les paramètres peuvent varier, mais ils doivent tous deux avoir la même valeur.
upload_max_filesize = 32M
post_max_size = 32M
Redémarrer Apache2 et PHP FPM :
sudo systemctl restart apache2
sudo service php7.2-fpm restart
Résolu. Le message " Le répertoire temporaire PHP n'est pas défini " n'est plus affichée dans Joomla.

Différence entre /var/tmp et /tmp

Les répertoires /tmp et /var/tmp servent tous les deux à stocker des fichiers temporaires, mais leur utilisation est légèrement différente.
La principale différence entre les deux réside dans leur période de conservation des données. Selon “pathname.com“, les données stockées dans /var/tmp sont plus persistantes que les données dans / tmp.
Par défaut, les données conservées dans /tmp sont conservées pendant 10 jours, contre 30 jours pour /var/tmp. C'est la principale différence entre ces deux. De plus, le contenu temporaire du programme dans / tmp est effacé après le redémarrage.
Quand un programme écrit des fichiers temporaires dans /tmp, il ne doit pas s'attendre à les retrouver d'un lancement de programme à l'autre.
En effet ce répertoire peut-être purgé n'importe quand. Dans la vaste majorité des distributions, ce répertoire est nettoyé à chaque redémarrage.
Les fichiers écrits dans /var/tmp seront conservés après redémarrage.

user_ini.filename - Utiliser un .user.ini dans un seul répertoire

# Activer la directive depuis le fichier php.ini de PHP (Pour PHP7.3 FPM : "/etc/php/7.3/fpm/php.ini".) :
user_ini.filename = ".user.ini"
# Vérifier que les directives peuvent être appliquées dans le fichier .user.ini depuis la colonne "Changeable" de la liste des directives : https://www.php.net/manual/en/ini.list.php
# Une directive à garder à l'esprit est la "user_ini.filename_ttl". Cette directive établit la fréquence à laquelle le fichier .user.ini est vérifié pour les modifications.
# En fonction de la fréquence à laquelle cette directive est définie, les modifications apportées à PHP peuvent rencontrer un léger délai avant d'être implémentées.
# Exemple d'utilisation de .user.ini pour modifier les valeurs suivantes depuis le site :
# upload_max_filesize = 32M
# post_max_size = 32M
# On peut lire depuis la liste des directives de PHP : " upload_tmp_dir 	NULL 	PHP_INI_SYSTEM ".
# La valeur de cette directive ne peut donc pas être modifiée depuis .user.ini mais uniquement avec la configuration globale de PHP depuis son php.ini principal.
# upload_tmp_dir=/tmp

Modules PHP

Il est conseillé de minimiser les modules utilisés pour des raisons de performances et de sécurité.
Supprimer ou renommer les fichiers des modules pour cela :
# Exemple :
sudo rm /etc/php.d/sqlite3.ini
sudo mv /etc/php.d/sqlite3.ini /etc/php.d/sqlite3.disable
Les autres modules compilés ne peuvent être supprimés qu'en réinstallant PHP avec une configuration réduite.
Télécharger le code source php à partir de php.net et le compiler comme suit avec le support de GD, fastcgi et MySQL
./configure --with-libdir=lib64 --with-gd --with-mysql --prefix=/usr --exec-prefix=/usr \
--bindir=/usr/bin --sbindir=/usr/sbin --sysconfdir=/etc --datadir=/usr/share \
--includedir=/usr/include --libexecdir=/usr/libexec --localstatedir=/var \
--sharedstatedir=/usr/com --mandir=/usr/share/man --infodir=/usr/share/info \
--cache-file=../config.cache --with-config-file-path=/etc \
--with-config-file-scan-dir=/etc/php.d  --enable-fastcgi \
--enable-force-cgi-redirect

Afficher la liste des modules PHP

php -m

Module MySQL pour PHP

php7.0-mysql : https://packages.debian.org/sid/php7.0-mysql

Module de support de ZIP natif

# Depuis php7.0 il semble qu'il ne soit plus nécessaire de charger le module depuis le php.ini.
; Installer le paquet php-zip sur Debian va également installer le paquet php7.0-zip.
; Ajouter la ligne suivante dans le fichier php.ini  
; extension=zip.so

mod_fastcgi

Cet technique n'a pas été testée mais la méthode proposée semble accessible.
Utilisateur PHP et ID de groupe : mod_fastcgi est un module cgi pour le serveur Web Apache. Il peut se connecter à un serveur FASTCGI externe. Vous devez vous assurer que php s'exécute en tant qu'utilisateur non root. Si PHP s'exécute en tant qu'utilisateur root ou utilisateur inférieur à 100, il peut accéder et / ou manipuler des fichiers système. Vous devez exécuter les CGI PHP en tant qu’utilisateur non privilégié à l’aide de suEXEC ou mod_suPHP d’Apache. La fonctionnalité suEXEC offre aux utilisateurs Apache la possibilité d'exécuter des programmes CGI sous des ID utilisateur différents de ceux du serveur Web appelant.
Bonnes pratiques : php-cgi s'exécute en tant qu'utilisateur phpcgi et apache s'exécute en tant qu'utilisateur apache.
Ajouter un utilisateur phpcgi au système :
https://www.cyberciti.biz/faq/howto-linux-add-user-to-group/
spawn-fcgi -a 127.0.0.1 -p 9000 -u phpcgi -g phpcgi -f /usr/bin/php-cgi
Utiliser un outil tel que spawn-fcgi pour générer des processus FastCGI locaux et distants en tant qu'utilisateur phpcgi :
https://www.cyberciti.biz/faq/freebsd-configure-nginx-php-fastcgi-server/

Variables Environnement Serveur

Source : http://www.creation-site.org/variables-environnement.html

Whois en PHP

Source : https://github.com/phpWhois/phpWhois

Moteur de template

Twig

Moteur de template par défaut de Symfony et sert de langage de template pour Drupal.
Disponible également pour de nombreux frameworks PHP dont Symfony, CodeIgniter, Laravel et Zend Framework.
Licence BSD.
Site officiel : https://twig.symfony.com

Smarty

Disponible pour de nombreux frameworks PHP dont Symfony, CodeIgniter, Laravel et Zend Framework ce qui facilitera la reprise des templates existants.
Licence LGPL.
Site officiel : https://www.smarty.net
https://github.com/ytake/Laravel.Smarty
https://github.com/noiselabs/SmartyBundle
http://www.coolphptools.com/codeigniter-smarty

Framework

Un framework est prévu pour libérer les développeurs des aspects « bas niveau » pour leur permettre de se concentrer sur des aspects « métier ».
L’idée de base :
Tout ce qui est bas niveau et commun à tous les sites peut-être fait une fois pour toute puis réutilisé pour tout le monde :
Accès base de données, routage de requêtes, cache, gestion d’utilisateurs, moteurs de rendu...
Certains frameworks sont pensés pour faciliter la distinction entre le contrôleur pour le code de traitement, le template pour l’affichage HTML et le modèle pour l’accès aux données.
Cette approche Modèle Vue Contrôle n’est pas une obligation, même avec les gros frameworks, mais est malgré tout une bonne pratique.
Le MVC est aujourd’hui un « standard » dans le développement d’applications Web.

Sécurité avec PHP

PhpSecInfo

PhpSecInfo fournit un équivalent de la fonction phpinfo () qui rapporte des informations de sécurité sur l'environnement PHP et offre des suggestions d'amélioration.
PhpSecInfo ne remplace pas les techniques de développement sécurisées et ne fait aucun audit de code ou d'application, mais, il peut constituer un outil utile dans une approche de sécurité multicouche.
Le site officiel de 2012 pour PhpSecInfo : http://phpsec.org/projects/phpsecinfo/index.html
Guide de sécurité du projet PHPsec : http://phpsec.org/projects/guide/

Télécharger PhpSecInfo

Le programme officiel mis à disposition sur PhpSecInfo n'est plus maintenu depuis 2007.
Il est tout de même fonctionnel / partiellement fonctionnel sur un environnement Apache 2.4 avec PHP 7.3.

Ajout de toutes les versions dans le même projet Github sur le dépôt PhpSecInfo de ZerooCool

# Le dépôt Github de Zer00CooL pour PhpSecInfo reprend les 4 versions présentées ci-dessous : https://github.com/ZerooCool/phpsecinfo
# La version de PhpSecInfo proposée par Zer00CooL en 2019 reprend les correctifs des versions précédentes : https://github.com/ZerooCool/phpsecinfo/tree/phpsecinfo-zeroocool-v0.2.1
1 - Version 2007
Le lien officiel pour télécharger la version de PhpSecInfo de 2007 v0.2.1 : http://phpsec.org/projects/phpsecinfo/phpsecinfo.zip
2 - Version 2007 vers 2009
Le lien officiel pour télécharger la version de PhpSecInfo de 2009 v0.2.2 : https://github.com/funkatron/phpsecinfo - https://github.com/funkatron/phpsecinfo/blob/master/CHANGELOG
3 - Version 2007 vers 2016
Le travail de mise à jour suivant ne semble pas avoir pris en compte les précédentes mises à jour de 2009.
Le lien non officiel pour télécharger la version de PhpSecInfo de 2009 v2.0.1a -> v2.0.2 de 2016 : https://github.com/bigdeej/PhpSecInfo - https://github.com/bigdeej/PhpSecInfo/blob/master/CHANGELOG
4 - Version 2007 ou 2009 vers 2019
Un fork de PhpSecInfo vers SecurityInfo.
Cette version semble être basée sur la v0.2.2 2009.
Le CHANGELOG n'est plus présent pour suivre l'évolution des correctifs de ce projet.
https://github.com/matomo-org/plugin-SecurityInfo/blob/master/PhpSecInfo/PhpSecInfo.php#L20
Cette mise à jour ne prend pas en compte les mises à jour de la v2.0.1a -> v2.0.2 de 2016.
Le lien officiel pour télécharger la version de SecurityInfo de 2019 : https://github.com/matomo-org/plugin-SecurityInfo

Installer PhpSecInfo Version 2007 v0.2.1 depuis le site officiel

1- Télécharger PhpSecInfo depuis le site officiel :
sudo wget http://phpsec.org/projects/phpsecinfo/phpsecinfo.zip
2- Renommer le dossier :
sudo mv phpsecinfo-20070406 phpsecinfo
3- Ajouter un fichier .htaccess pour ne pas rendre le rendu de PhpSecInfo public :
cd phpsecinfo
sudo bash -c "cat <<EOIPFW >> .htaccess
# Accès réservé à l'administrateur !
# Adresse IP de l'administrateur :
Require ip xx.xx.xxx.xx
EOIPFW"
4- Protéger le fichier .htaccess :
sudo chmod 440 .htaccess
ou
sudo chmod 444 .htaccess
5- Changer le propriétaire du dossier phpsecinfo pour permettre l'affichage depuis le navigateur :
cd ..
sudo chown www-data:www-data -R phpsecinfo
6- L'administrateur peut maintenant consulter le rapport de phpsecinfo :
https://www.visionduweb.fr/phpsecinfo/

Backdoor - Attention aux portes dérobées

Définition de la porte dérobée

Vous pouvez rencontrer des scripts PHP ou des backdoors classiques tels que c99, c99madshell, r57...
Un script PHP de porte dérobée est un script caché qui permet de contourner toute authentification et d'accéder au serveur.
Il est installé par un attaquant pour accéder au serveur tout en essayant de ne pas être détecté.
Généralement, un script PHP ou tout autre script CGI permet l’inclusion de code exploitant des vulnérabilités depuis le navigateur Web.
Un attaquant peut utiliser ces vulnérabilités pour télécharger des scripts shells lui apportant un certain nombre de possibilités :
Download files
Upload files
Install rootkits
Set a spam mail servers / relay server
Set a proxy server to hide tracks
Take control of server
Take control of database server
Steal all information
Delete all information and database
Open TCP / UDP ports and much more

Rechercher une porte dérobée en PHP

Utiliser la commande Unix / Linux grep pour rechercher dans le shell c99 ou r57:
# grep -iR 'c99' /var/www/html/
# grep -iR 'r57' /var/www/html/
# find /var/www/html/ -name \*.php -type f -print0 | xargs -0 grep c99
# grep -RPn "(passthru|shell_exec|system|base64_decode|fopen|fclose|eval)" /var/www/html/
Tous les shell backdoor php sont de grande taille. Utilisez ce qui suit pour le trouver :
find / -name "*.php" -type f -size +10000k -exec ls -lh {} ; | awk '{ print $9 ": " $5 }'
find /var/www -name "*.php" -type f -size +10000k -exec ls -lh {} ; | awk '{ print $9 ": " $5 }'

PHPIDS - Un script IDS pour PHP

PHPIDS (PHP-Intrusion Detection System) est une couche de sécurité simple à utiliser, bien structurée, rapide et à la pointe de la technologie pour votre application Web basée sur PHP.
Source : https://github.com/PHPIDS/PHPIDS

Installer Suhosin

https://suhosin.org/stories/index.html
https://www.cyberciti.biz/faq/rhel-linux-install-suhosin-php-protection/

Bibliographie

Programmer en PHP.

PHP FPM

Ko.png Apache HTTPD 2.4 : Mettre en place PHP-FPM FastCGI avec PHP 7 : https://www.security-helpzone.com/2017/03/11/apache-httpd-2-4-mettre-en-place-php-fpm-fastcgi-avec-php-7/

PHP multi-versions sur le même serveur Apache

Ko.png Source : http://www.pulsar-informatique.com/actus-blog/entry/php-multi-versions-sur-le-meme-apache

SuPHP

Ko.png SuPHP n'est plus maintenu depuis 2013 : http://www.suphp.org/Home.html
SuPHP n’est plus disponible pour Debian 9, les fonctions de SuPHP sont obsolètes et seront également supprimées d’ISPConfig.
Utiliser les modes PHP disponibles PHP-FPM ou PHP-FCGI avec suexec pour remplacer SuPHP.

Sécurité avec PHP

Ok.png Linux 25 PHP Security Best Practices For Sys Admins : https://www.cyberciti.biz/tips/php-security-best-practices-tutorial.html
Ok-ko.png Sécurité pour PHP : https://www.php.net/manual/fr/security.php

NAVIGATION

PARTICIPER ET PARTAGER

Vous êtes sur le wiki de Vision du Web.
Les pages présentées sur le wiki évoluent tous les jours.
Certaines recherches sont peu abouties et incluent des erreurs.
Pour participer sur le wiki, créer un compte utilisateur en haut à droite.
La recherche interne du wiki permet de trouver le contenu qui vous intéresse.
Les informations présentes sur ce wiki sont issues d'une recherche personnelle.
Identifiez-vous pour poser vos questions sur la page de discussion de VisionDuWeb.
Améliorer le contenu des pages en faisant des propositions depuis l'onglet discussion.
Les informations du wiki ne doivent pas servir à nuire à autrui ou à un système informatique.
De nombreux outils gratuits sont listés et disponibles dans la boîte à outils de Vision du web.
D'autres pages du wiki peuvent correspondre à vos attentes. La liste de toutes les pages du wiki.

VALORISER LE WIKI

Valoriser le contenu partagé sur le wiki avec un don en monnaie numérique :
AEON - Bitcoins - Bitcoins Cash - Bitcoins Gold - Bitcore - Blackcoins - Basic Attention Token - Bytecoins - Clams - Dash - Monero - Dogecoins - Ğ1 - Ethereum - Ethereum Classique - Litecoins - Potcoins - Solarcoins - Zcash

OBTENIR DE LA MONNAIE NUMERIQUE

Obtenir gratuitement de la monnaie numérique :
Gagner des Altcoins - Miner des Altcoins.
Consulter le miroir du wiki depuis Planet Hoster : Le miroir du wiki version du 12 Juillet 2019.