Thread: Apache, PHP, MySql absichern?

Hallo liebe Community!

Folgendes Problem: Für ein Projekt war ich nun gezwungen, einen Server aufzusetzen, der völlig autonom an einem x-beliebigen ort betrieben werden muss und dabei messungen durchführt und die daten in eine mysql datenbank schaufelt. Zum Ausgeben dieser Daten verwende ich php. Nun meine Frage: Könntet ihr vielleicht einen Blick auf eine Kopie der php-info werfen und mir sagen, ob ich was ganz grobes übersehen habe, was die Sicherheit massiv gefährdet? link zur kopie der phpinfo

Hab mich schon durch diverse Tutorials gequält, welche allerdings alle auf multi-user umgebungen und linux ausgelegt waren, beides ist bei meinem projekt nicht der fall. Wie gesagt: Auf den Server sollte theoretisch sowohl hardware als auch software-mäßig niemand zugriff haben außer mir. Und bezüglich der Tatsache, dass ich Windows als Hostsystem verwende möchte ich nur sagen:
a) nein, ich bin nicht verrückt   
b) Das hat gewisse softwaretechnische Gründe, auf die ich jetzt nicht näher eingehen will. Es ist sowieso geplant, das ganze noch auf linux umzustellen, wozu mir bis jetzt allerdings die zeit gefehlt hat.

mfg

Ich werf doch gerne auf deine PHPInfo    .
Scheint ja ein echt *GEHEIM*es Projekt zu sein    .
Ich kann keine Lücken erkennen (außer, dass der Server, wie schon gesagt, unter Windows läuft).
Machst du deinen eigenen Geheimdienst auf oder wozu braucht du sooo eine Sicherheit   

1) Danke für den Hinweis auf den Fehler, ich schreib offensichtlich immer öfters nur die hälfte von dem, was ich denke   

2) Geheim ist es nicht, aber ich will einfach verhindern, dass sich spambots meine email-adresse in ihre db einverleiben, deshalb hab ich alles, was auf den email namen per search & replace einfach durch *geheim* ersetzt, und daher ist auch automatisch der domain-name, server-name, etc. ersetzt worden. Aber keine sorge, ein nsa server wird das sicher nicht   

Es geht einfach darum, dass ich nicht einen Haufen Arbeit damit verschleudern will, nur weil nach 10 Tagen am Netz bereits jemand den Server gehackt hat. Windows selber sollte einigermaßen abgesichert sein (SP3, Firewall, so ziemlich alle Windows-Dienste deaktiviert, die nicht benötigt werden), jetzt wollte ich eben nur noch wissen, ob ich noch vergessen habe, sicherheitsrelevante module aus der php und apache konfiguration zu streichen.

mfg

Ich bin jetzt nicht deeeer Experte... Warte mal bis andere ihre Meinung losgeworden sind!

sieht ganz gut aus ich würde vielleicht noch ein paar Funktionen deaktivieren

disable_functions escapeshellcmd, exec, ini_restore, passthru, popen, proc_nice, proc_open, shell_exec, system

Und das anzeigen der PHPInfo würde ich eventuell auch noch unterbinden.

php abzusichern ist ein punkt, aber lange nicht alles.
Ich würde an deiner Stelle darüber nachdenken, das System ebenfalls abzusichern. z.B. könntest du Windows (wenn du darauf angewiesen bist) in einer virtuellen Umgebung laufen lassen. Das Wirtzsystem könnte dabei linux oder Solaris (vermutlich nur über vmware) sein...
...oder eben VMware ESX.
Du känntest dann deine Windows-welt quasi readonly machen, so dass bei jedem reboot Änderungen am System (z.B. durch Vieren) verloren gehen. Klar, dass du dann die DB auf einem anderen (logischen) System betreiben musst, dass könnte z.B. eine Linuxdomain sein.
Es nützt aber nix, wenn du jetzt wie wild mit deiner php-Sicherheit das Fenster eines Hauses zumauerst, die Tür aber speerangelweit aufsteht.

Der Aufwand eine VMWare-Landschaft auf dem Gerät zu installieren zahlt sich für so ein kleines Projekt kaum aus. Da ist er besser beraten er sichert das Windows-System ab, welches nach einer ordentlichen Konfiguration auch einem Linux (solange es nicht "gehärtet" ist) um nichts nach.

Ich würde Kosten-Nutzen abwägen. Außer du besitzt bereits genügend Know-How in Linuxdingen womit dir die Config leicht von der Hand geht und Windows dein schwarzer Fleck ist. Dann wäre es natürlich anders.

ESX Server mal dahingestellt.... die Installation von Windows in eine normale VM ist eigentlich gar kein großer Aufwand - und es ist völlig unkritisch, wenn die Umgebung zerschossen wird, da man ja vom eingefrohrenen Stand bootet.

Naja, zum einen muss er das Wirtssystem aufsetzen, konfigurieren und absicheren, den DB-Server auf Linux-Basis installieren sowie absichern und zum Schluss sein Windowssystem installieren, mit HTTP und PHP-Server ausstatten und absichern. Oder habe ich deinen Vorschlag falsch verstanden?

Wie gesagt. Das System würde dadurch flexibler, da du im Notfall einzelne VMs durch zwei Mausklicks "reparieren" kannst. Natürlich hätte ein Angreifer im Ernstfall neben dem Wirtssystem auch noch die anderen Systeme als Angriffsfläche. Doch dieser Nachteil bleibt vernachlässigbar, da ein kompetenter Angreifer sowieso rein kommt. (Was aber die Angreifer des normalen Internetrauschen nicht sind.)

Mir kommt der Aufwand doch etwas hoch vor, für so ein Vorhaben. Da es ja anscheinend um nichts Sicherheitskritisches geht.
Guten Router oder sogar ein Application Level Gateway zwischen Internet und Router setzen (was auf jeden Fall passieren sollte), sowie den Server richtig konfiguieren und Up-To-Date halten, halte ich in diesem Fall für sinnvoller.

Da der Aufwand deutlich geringer wäre.

Entschuldigt bitte vielmals, dass ich jetzt so lange nicht geantwortet habe, war übers Wochenende weg und hatte keinen Internetzugang.

Die Idee mit der VM kam mir auch schon, doch in einem Probebetrieb haperte es da an dem Hardwarezugriff auf mein USB-Messboard (welches ich ja für die Messung brauche). Und unter Linux bekomme ich wie gesagt derzeit meine selbstgeschriebene Messoftware nicht zum laufen (was sich aber auf dauer wohl einmal ändern wird, aber wie lange ich dafür noch brauche, ist derzeit nicht abschätzbar)

Router bzw. andere hardwaremäßige Maßnahmen kommen nicht in Frage, da am Serverstandort derzeit ein normaler Breitbandzugang meinerseits schlecht realisierbar ist. Deshalb funktioniert das ganze über ein UMTS-USB-Modem und sollte außerdem insgesamt einen geringen Strombedarf haben, welcher teilweise über ein Solarpanel abgedeckt werden sollte. Deshalb wird als Server wohl auch ein alter, ausgeschlachteter Laptop zum Einsatz kommen.

Ich glaube, es wird wohl das Beste sein, den Messcomputer gar nur als Datenbankserver laufen zu lassen, also ohne PHP und apache, nur MySQL und die Daten dann extern abzufragen, sodass die Webseite auf einem anderen Server liegt, und nur wenige die direkte domain des Datenbankservers kennen. Jetzt muss ich nur noch einen Freehoster finden, der es erlaubt, auf externe MySQL Datenbanken zuzugreifen. Hätte wohl auch den Vorteil, dass die nicht allzu schnelle Upload - Leitung des mobilen Breitbandmodems nicht auch noch durch den ganzen HTML-Code belastet wird.

Vielen Dank jedenfalls für die vielen Vorschläge, wenn noch jemandem etwas einfällt, so möge er es bitte hier reinschreiben. Jeder Tipp kann hilfreich sein   

mfg