Sichere Webanwendungen mit PHP

Buchcover......Page 1
Sichere Webanwendungen mit PHP......Page 4
Impressum......Page 5
Inhalt......Page 6
Einleitung......Page 12
1.1 Historie: PHP......Page 18
1.2 PHP heute......Page 20
1.3 PHP und Apache......Page 21
1.4 PHP als eigenständige Anwendung......Page 22
1.6 Sicherheitskonzepte für Webanwendungen......Page 23
2.1 Variablenverfügbarkeit......Page 30
2.2 Superglobale Arrays......Page 36
2.3 Zugriff auf Uploads......Page 38
2.4 Verzeichnisindizierung und Suchmaschinen......Page 39
2.5 Index- und Default-Dateien......Page 41
3.1 Temporäre Dateien......Page 44
3.2 Sessions: Permissive Konfiguration oder »Alles ist erlaubt«......Page 53
3.3 Globaler Dateisystemzugriff......Page 58
3.4 Auslieferung von Dateien......Page 66
3.5 Include-Dateien......Page 68
4.1 Grundsatzprobleme......Page 84
4.2 Lösungsansätze......Page 98
5.1 Flexibilität......Page 136
5.2 Strikte Erzeugung......Page 142
5.3 Gültigkeit......Page 152
5.4 Session-Umgebung sichern......Page 155
5.5 Speicherung......Page 166
5.6 Sessions und Frames......Page 182
6.1 Upload und PHP......Page 184
6.2 Uploads prüfen......Page 200
6.3 Download und PHP......Page 206
7.1 Wie greift PHP auf Dateien zu?......Page 218
7.2 Angriff auf dateibasierte Webanwendungen......Page 225
7.3 Pfade und ihre Tücken......Page 231
7.4 Dateiangaben als Parameter......Page 238
7.5 Thread- und Binär-Sicherheit......Page 249
8 SSL......Page 252
8.1 Allgemeine Hinweise......Page 253
8.2 OpenSSL-Installation......Page 254
8.3 Erzeugung eines Zertifikats......Page 256
8.4 Ein eigenes Zertifikat......Page 258
8.5 Zertifikat in den Webserver integrieren......Page 262
8.6 SSL zur Authentifizierung nutzen......Page 267
8.7 SSL-Funktionen in PHP......Page 275
9.1 php.ini......Page 280
9.2 Safe Mode......Page 281
9.3 Basisverzeichnis mit open_basedir......Page 284
9.4 Speicherlimits......Page 286
9.5 Ausführungszeit......Page 292
9.6 Klassen und Funktionen deaktivieren......Page 293
9.7 dl: Nachladen von Erweiterungen......Page 294
9.8 allow_url_fopen und allow_url_includeURLs......Page 295
9.9 Variablenverfügbarkeit......Page 296
9.10 Uploads......Page 300
9.11 Sessions......Page 302
9.12 Fehlerausgabe und -verfolgung......Page 311
9.13 PHP verbergen......Page 313
10.1 Buffer Overflows und andere Tücken......Page 314
10.2 Einschränkungen der Kommandozeile......Page 319
10.3 Netzwerkprogrammierung......Page 324
11.1 Unzureichende Berechtigungen......Page 332
11.2 Temporäre Dateien......Page 338
11.3 Unix-Sockets, Named Pipes und Shared Memory......Page 340
11.4 SSL-Verbindungen......Page 347
12 Die SQL-Injection......Page 352
12.1 Kommentare......Page 354
12.2 Ergänzung......Page 356
12.3 Zusätzliche SQL-Anweisungen......Page 365
12.4 Falsche Daten......Page 367
12.5 Abhilfe gegen SQL-Injections......Page 368
13.1 Fremde Aufrufe......Page 372
13.2 Fehlerhafte Parameterverwertung......Page 378
13.3 Was nicht in JavaScript-Code gehört......Page 396
13.4 Formularvervollständigung und Co.......Page 399
14.1 PHP-Konfiguration durch Apache......Page 402
14.2 Einsicht von Konfigurationsdateien......Page 403
14.3 CGI oder integriertes Modul......Page 405
14.4 suExec......Page 407
14.5 chroot mit mod_chroot......Page 411
14.6 URL-Sicherung mit mod_rewrite......Page 416
14.7 Benutzerverfolgung mit mod_log_forensic......Page 418
15.1 Variablen......Page 420
15.3 Klassen und Funktionen......Page 429
15.4 Dateizugriff......Page 439
15.5 Ausgabe......Page 446
15.6 Aufruf externer Programme......Page 449
Stichwortverzeichnis......Page 454