PHP-hispano.net

Objetivo del documento

El objetivo de este documento es que el programador que lo lea adquiera unas nociones básicas (y no tan básicas) sobre seguridad que pueda aplicar a la hora de hacer sus aplicaciones. La mayoría de temas que aquí se presentan son temas reales, que se producen al no tener el programador tales nociones. La mayoría de temas en los que se va a basar el documento están orientados al uso en páginas web.

Entiendo como usuario malintencionado aquel que busca en nuestra aplicación fallas de seguridad y las explota por puro aburrimiento, sin ánimo de reportar esos fallos al programador para que puedan ser subsanados (hay gente que lo hace).

La mejor forma de protegerse es no confiar nunca en cualquier valor que no sea fijo. Si no estás seguro de que una variable va a tener el valor que esperas, o que una llamada a unlink() borra el archivo que quieres, asegúrate, pues puede ser por ahí por donde empiece un ataque.

Asegurarse no consiste en ejecutar el script y decir uy, esto funciona como espero, sino que hay que agotar todas las posibilidades de ataque antes de subir tu página al servidor definitivo.

Cómo leerlo

El documento presupone ciertos conocimientos de PHP, y que el lector sea capaz de poner atención al leer, por lo que se pide encarecidamente que, en caso de que la tengas puesta, quites la música y prestes total atención a lo que hay escrito.

Los bloques de código son ejemplos: los habrá que funcionen y que no. Hay ejemplos de lo que hay que hacer, y también de lo que no hay que hacer, todo con el objetivo de que el lector aprenda a arreglar sus errores viendo código de otra persona.

A lo largo de todo el documento se podrán ver ejemplos que presentan fallos de seguridad, debido a una mala configuración de PHP o un mal uso de las llamadas a las variables.

En otros casos verás ejemplos cuyo código tiene en cuenta los principales aspectos de seguridad. Es muy importante que NO copies y pegues directamente estos códigos en tu página. Antes debes comprender todo lo que se explique para poder aplicarlo.

Archivos de configuración

php.ini

Archivo de configuración de PHP. Puedes ver que php.ini estás usando con phpinfo (más adelante se explica qué es y como usar phpinfo).

httpd.conf

En él guarda su configuración el servidor HTTP Apache; al ser este el más utilizado por desarrolladores y servicios de alojamiento (tanto gratuitos como de pago) es en el que se centrarán los comentarios de este documento. Normalmente se encuentra en el directorio conf en el directorio raíz de Apache.

.htaccess

Fichero especial que usa Apache en el que se pueden poner ciertas llamadas a sus directivas o las de algunos módulos que haya cargado. Requiere permisos para poder utilizarlo. Más adelante se enseña a comprobar si es posible su uso.

Tipos de directivas

PHP_INI_SYSTEM

Las directivas de este tipo se pueden modificar en el php.ini y en el httpd.conf

PHP_INI_PERDIR

Las directivas de este tipo pueden cambiarse en los archivos php.ini, httpd.conf y .htaccess. Para saber como cambiarlas en archivos .htaccess consulta la siguiente sección.

PHP_INI_USER

Según el manual de PHP (en su versión española): La entrada puede definirse en scripts de usuario. Si miramos el manual en inglés (más recomendable, la verdad) veremos que en realidad quiere decir que las directivas pueden ser modificadas en el registro de Windows. Aunque listada en el manual, parece no haber ninguna directiva que sea de este tipo (supongo que se podrán modificar las de tipo PHP_INI_SYSTEM). Al no ser la mayoría de servicios de alojamiento usuarios de Microsoft Windows no explicaré como cambiar estas directivas.

PHP_INI_ALL

Estas directivas pueden ser cambiadas en cualquier parte, incluso en el propio script por medio de ini_set().

Cómo cambiar directivas del tipo PHP_INI_PERDIR

Lo primero que deberías hacer es obtener información sobre la actual configuración del servidor, mediante el uso de estas líneas.

<?php phpinfo() ?>

La función phpinfo() nos muestra información sobre la configuración de PHP y sobre la máquina en la que está instalado. En la página que genera veremos como está ajustado PHP. Es importante familiarizarse con esta función y con su salida, puesto que es básica y se usará muy a menudo.

Antes de explicar como cambiar este tipo de directivas debes asegurarte de que tu servidor cumple una serie de requisitos:

PHP como módulo de Apache

Es fácil saber si PHP está compilado o instalado como módulo de Apache. Simplemente tienes que mirar en el phpinfo() la línea en la que pone Server API tenga un valor como Apache 2.0 Handler.

AllowOverride con el valor Options o All

Esto es un poco más pesado de comprobar, hay que hacer lo siguiente: pon en un archivo llamado .htaccess en el directorio que tengas la página una cadena como asdasd123. Si Apache muestra un Internal Server Error al actualizar esa página es que tenemos permiso para usarlos.

Si cumples estos dos requisitos ya puedes cambiar el valor de register_globals (u otras opciones de configuración de PHP) en el archivo .htaccess del directorio sobre el que queremos aplicar estas reglas (puede que tengas que crearlo):

#Para directivas con valores booleanos (On/Off, 1/0…) se usa php_flag
php_flag register_globals Off

#Para otras directivas se usa php_value
php_value error_reporting 4095

register_globals

No nos engañemos, tener register_globals a on no es inseguro, lo que provoca los fallos de seguridad es el no programar bien y el no tener en cuenta a posibles atacantes. Cualquier variable que no definamos, o cualquiera de la que no comprobemos datos puede ser víctima de envenenamiento de variables, aquí voy a exponer un poco que hacer en estos casos.

La comunidad PHP decidió desactivarlo por defecto (antes estaba activado) a partir de la versión 4.2.0.

Esta directiva inicialmente era de tipo PHP_INI_ALL (se podía cambiar con ini_set() en el php.ini o mediante archivos .htaccess), pero a partir de PHP 4.2.3 es de tipo PHP_INI_PERDIR (se puede cambiar solamente desde el php.ini o los archivos de configuración de Apache). Más abajo se explica como cambiar valores de configuración con este tipo de archivos.

La razón por la que en algunos de los ejemplos de este documento se usará register_globals a on es para que se vean los peligros que corres si lo tienes activado, y como (en medida de lo posible) subsanarlos.

error_reporting

Esta directiva, aunque extraordinariamente útil, puede llevar a nuestro atacante a conocer datos sobre nuestras aplicaciones, por lo que distinguiremos dos entornos: el entorno de desarrollo y el entorno de usuario final. Se explicará en que consiste cada una en su correspondiente sección.

error_reporting (tanto la directiva como la función) admiten como parámetro un número entero. Puedes usar las constantes numéricas que provee PHP para el control de errores y combinarlas con operadores bit a bit en el archivo php.ini y en tus aplicaciones, pero no en los archivos httpd.conf o .htaccess.

Los valores por defecto son los siguientes:

PHP 3

El valor por defecto es 7, lo que equivale a E_ERROR | E_WARNING | E_PARSE, pero dado que en PHP 3 no se soportaban las constantes en el archivo php3.ini el valor había de ser numérico.

PHP 4 y PHP 5

E_ALL & ~E_NOTICE. Se muestran todos los errores salvo los de tipo E_NOTICE y E_STRICT (este último solo es aplicable a PHP 5).

Las constantes predefinidas dedicadas al manejo de errores que usaremos habitualmente son estas:

E_ERROR

Errores fatales al ejecutar una aplicación, interrumpen la ejecución del mismo. Estos errores se producen por ejemplo al intentar utilizar funciones no definidas.

E_WARNING

Advertencias en tiempo de ejecución, no detienen la ejecución de una aplicación. Se produce cuando (por ejemplo) se proporciona a una función (como fwrite()) un recurso no válido como parámetro.

E_NOTICE

El tipo menos conocido, junto con E_STRICT, y de los más útiles. Estos errores se producen mayormente al encontrar el intérprete de PHP una variable o constante no definida. No detienen la ejecución.

E_ALL

Agrupa todos los errores excepto los de tipo E_STRICT.

E_STRICT

Está disponible únicamente a partir de PHP 5. Si habilitas este tipo de error PHP lanzará avisos si encuentra código obsoleto para que el programador (o sea, tú) puedas corregirlo y así mantener la compatibilidad e interoperabilidad.

Cada una de estas constantes tiene un valor numérico, puedes ver el valor de cada una imprimiendo la constante en cuestión.

Como este tema tiene bastante miga se va a explicar en una sección aparte.

safe_mode

Es de tipo PHP_INI_SYSTEM y está desactivada por defecto.

Esta directiva es, según el manual de PHP, un intento para resolver el problema de la seguridad en un servicio de alojamiento compartido (el más común, poca gente puede permitirse un servidor dedicado).

Básicamente lo que hace esta directiva al estar activada es comprobar que los ficheros sobre los que operamos desde otro fichero (la aplicación) tienen el mismo dueño (en sistemas UNIX).

Veamos un ejemplo de esto (que puede sonar perfectamente a chino, no te preocupes):

$ ls -l
-rw-r--r--  1 root   root    36 2005-04-09 03:02 fichero1.php
-rw-r--r--  1 aeoris   aeoris    73 2005-04-09 03:02 fichero2.php

Como se puede ver el archivo con nombre fichero1.php pertenece al superusuario (o root) y el fichero2.php a aeoris, ahora veamos que pasa si intento leer el contenido de fichero1.php desde el archivo que me pertenece (fichero2.php) teniendo safe_mode activado.

Warning: file_get_contents(): SAFE MODE Restriction in effect. The script whose uid is 1000 is not allowed to access fichero1.php owned by uid 0 in /var/www/fichero2.php

Al no tener los mismos dueños se produciría un error.

Esto en un momento dado nos podría proteger contra otros usuarios del mismo alojamiento que, por ejemplo, quieran obtener datos sobre nuestras aplicaciones. En el momento en que intentasen hacerlo no podrían.

Pero… no podrían con PHP… con cualquier lenguaje es una cosa trivial hacer un explorador de archivos del sistema sencillito, con lo que puede ver donde están nuestros archivos, y en la mayoría de casos (al no estar en PHP y no tener safe_mode) visualizar el código fuente.

Mi consejo con este tema es que no confíes demasiado en esta directiva, pues no te protege en absoluto. Suele ser más molesta que útil (es mi opinión, no ha de tomarse como un referente).

Teniéndola activada también se restringirán algunas funciones, hay una lista de estas funciones en el manual de PHP que los mismos escritores definen como posiblemente incorrecta e incompleta.

open_basedir

Es de tipo PHP_INI_SYSTEM y tiene valor nulo por defecto.

Lo que hace es limitar el espacio de trabajo al directorio al que está ajustada la directiva. Si quisieramos incluir un fichero por encima de ese directorio lanzaría un error.

Veamos un ejemplo (teniendo en cuenta que open_basedir vale /var/www):

<?php
readfile('/etc/resolv.conf');
?>

Produciría este error:

Warning: readfile(): open_basedir restriction in effect. File(/etc/resolv.conf) is not within the allowed path(s): (/var/www/) in /var/www/open_basedir.php on line 3

Este tipo de error normalmente se ve al usar la función copy() para mover archivos que se han subido con un formulario. Este comportamiento es erróneo y debería usarse move_uploaded_file() en su lugar.

Esta directiva puede ser útil en un momento dado, pero por lo general dará quebraderos de cabeza innecesarios.

Entornos de desarrollo

En estos casos nos interesa que se muestren absolutamente todos los errores, puesto que nos ayudarán a corregir posibles fallas de seguridad (como que no definimos una variable por ejemplo) entre otras cosas.

PHP, como hemos visto antes, ajusta a un valor por defecto la directiva error_reporting, tenemos dos opciones para cambiarla (supongamos que estás en un servidor local, por tanto tienes acceso a todos los ficheros de configuración):

Cambiar la configuración en el php.ini

Esta es la solución más fácil, y también la mejor. En el archivo php.ini localiza la linea del error_reporting y cambia su valor por E_ALL | E_STRICT (si usas PHP 5) o E_ALL si usas PHP 4.

Usar la función error_reporting()

Esta solución es bastante pesada, por lo que no la recomiendo. Se trata de llamar a la función error_reporting() en cada uno de los archivos en los que queramos ajustar el reporte de errores. Debes llamarla con los parámetros con los que se ajustaría la directiva error_reporting (mira el punto anterior).

Entornos de usuario final

Ten siempre en cuenta al usuario, ¿qué leches le importa que no puedas conectar a la base de datos? ¿o que haya un error de tipo sintáctico? Absolutamente nada. También debes considerar que un usuario malicioso podría intentar forzar a que hubiesen errores, consiguiendo de esta manera información que le fuese útil a la hora de intentar vulnerar la seguridad de nuestra aplicación.

¿Qué se puede hacer para remediarlo? Simple. Con las mismas que antes (en el punto anterior, en nuestro servidor local) hacíamos que se mostrasen todos los errores aquí nos interesa que no se muestre ninguno.

Para ello haremos uso de otra directiva de PHP, diferente de error_reporting, se trata de display_errors().

Esta directiva es del tipo PHP_INI_ALL, por lo que puedes cambiarla usando ini_set(). Si eliges cambiarla de este tipo debes llevar cuidado, ya que si se produce un error fatal se mostará (ya que el ini_set() nunca llegará a ejecutarse, puesto que se ha terminado la ejecución antes de empezar a interpretarlo). A estas alturas ya conoces como cambiar los valores de las directivas de otras formas.

Pero… y si se produce un error, ¿cómo nos enteraríamos? ¡Sigue leyendo!.