- App
- WoltLab Suite Core
Hallo,
ich würde gerne meinen wbb container etwas absichern und bin darauf auf ein Problem gestoßen.
Es gibt keinerlei Dokumentation zu dem Klassiker in Sachen PHP Hardening, den disabled_functions.
Wenn man sich so einliest, dann sind die Kandidaten dafür:
- ini_set
- php_uname
- getmyuid
- getmypid
- passthru
- leak
- listen
- diskfreespace
- tmpfile
- link
- ignore_user_abord
- shell_exec
- dl
- set_time_limit
- exec
- system
- highlight_file
- source
- show_source
- fpaththru
- virtual
- posix_ctermid
- posix_getcwd
- posix_getegid
- posix_geteuid
- posix_getgid
- posix_getgrgid
- posix_getgrnam
- posix_getgroups
- posix_getlogin
- posix_getpgid
- posix_getpgrp
- posix_getpid
- posix
- _getppid
- posix_getpwnam
- posix_getpwuid
- posix_getrlimit
- posix_getsid
- posix_getuid
- posix_isatty
- posix_kill
- posix_mkfifo
- posix_setegid
- posix_seteuid
- posix_setgid
- posix_setpgid
- posix_setsid
- posix_setuid
- posix_times
- posix_ttyname
- posix_uname
- proc_open
- proc_close
- proc_get_status
- proc_nice
- proc_terminate
- popen
- curl_exec
- curl_multi_exec
- parse_ini_file
- allow_url_fopen
- allow_url_include
- pcntl_exec
- chgrp
- chmod
- chown
- lchgrp
- lchown
- putenv
Die besonders fiesen sind in fett. Gibt es jemanden der weiß welche dieser PHP Funktionen das wbb nutzt? Für try&error sind das ein paar zu viel und die Doku schweigt sich leider zum Thema Sicherheit oder Hardening vollständig. Schade eigentlich. Da hätte man wirklich mal eine Stunde investieren können.
Curl wird ja zum Beispiel für die ES Integration genutzt. Es steht nur nirgends wie genau. Einfach alle anzuschalten führt leider zu einem nicht mehr benutzbaren Forum. Beim Upload von Bildern werden auch diverse Funktionen auf der Liste genutzt, nehme ich an.