Codice jailing PHP arbitrario

Question

Abbiamo un'applicazione Java IRC in cui agli utenti è consentito eseguire PHP arbitrario e ottenere il risultato. Ecco un esempio di ciò che questo viene utilizzato per:

btc: <php>$btc = json_decode(file_get_contents('https://btc-e.com/api/2/1/ticker'), true); $ticker = $btc['ticker']; echo "Current BTC Ticker: High: $".$ticker['high']." Low: $".$ticker['low']." Average: $" . $ticker['avg']; 

Abbiamo anche una messa a punto di pitone, ma ci piace PHP perché PHP non richiede a capo nel codice ovunque. (Perché questo è IRC, non possiamo dare è a capo a meno che non exec un file .py web-caricato)

Il problema è come impedire alle persone di cercare di sfruttare il sistema, come ad esempio in:

<php>echo readfile("/etc/passwd"); 

Quale sarebbe, chiaramente, leggere il file passwd per tutti da vedere.
Stiamo anche avendo questo problema, dopo aver cercato di bloccare readfile():

<php>$rf = readfile; echo $rf("/etc/passwd"); 

Come dovremmo andare sulla protezione di questo sistema? (Il codice completo è su github, per qualsiasi interessato: https://github.com/clone1018/Shocky)

Come una parte, nessuna informazione reale viene esposta, poiché l'intera cosa è in una VM, quindi non è una "bomba temporale" o qualcosa . Vogliamo comunque bloccarlo.

Answer 1

Questo sembra inserire un foro in un colino. La sicurezza del filesystem dovrebbe essere gestita dal sistema operativo, non dall'applicazione. E per quanto riguarda lo /etc/passwd, il sistema operativo lo sta già proteggendo.

Ecco la prima linea del mio /etc/passwd - sì, ho intenzione di postare pubblicamente:

root:x:0:0:root:/root:/bin/bash 

Di solito, le password non sono in realtà memorizzati in /etc/passwd. Le informazioni dell'utente sono, ma le password vengono sostituite con x, con la password reale disponibile solo per l'utente root.

Tuttavia, è necessario bloccare PHP in una certa misura. È possibile modificare molte opzioni PHP durante il runtime con ini_set, incluso open_basedir. http://www.php.net/manual/en/ini.core.php#ini.open-basedir

Answer 2

Se si desidera solo per limitare la lettura del file forse questo può aiutare http://www.php.net/manual/en/ini.core.php#ini.open-basedir

Se si sta utilizzando una vecchia versione di PHP < 5.4 è possibile considerare l'utilizzo di PHP safe mode

http://php.net/manual/en/ini.sect.safe-mode.php

Impostare le seguenti voci per la modalità provvisoria per limitare il php

safe_mode_exec_dir 
disable_functions = readfile,system 

e molti altri

Inoltre, l'utente non sarà in grado di leggere alcun file per il quale uid è diverso, ad es./Etc/password. Tieni presente che la modalità sicura è deprezzata/rimossa dalle ultime versioni di php