soziserver.de

Bislang waren vorrangig aus Komfort- und Kompatibilitätsgründen einige PHP-Einstellungen auf den Servern aktiviert, die in Verbindung mit unsicheren Scripten erfolgreiche Angriffe auf den Webspace ermöglichen können. Da sich diese Angriffe häufen, auf der anderen Seite diese Einstellungen immer seltener wirklich benötigt werden, werden wir Sie am Donnerstag, den 22.7.2010 auf allen Servern per Default deaktivieren.

Betroffen sind folgende Einstellungen:

* register_globals = off
Mit aktiviertem "register_globals" (die Option steht auf "ON") kann auf jeden Variablentyp mit Angabe des Variablennamens ("$variablenname") zugegriffen werden. Dies ist - gerade bei bereits älteren Skripten - oftmals für die Funktionalität des Skripts erforderlich. Andererseits birgt diese Option jedoch einige Sicherheitsrisiken, da böswilligen Angreifern auf diese Weise mehr Ansatzpunkte für einen Angriff gegeben werden. Bei Aktivieren der sicheren Einstellungen wird "register_globals" auf "OFF" gesetzt, d.h. PHP unterscheidet zwischen Variablen, die in einem Skript definiert wurden, Variablen, die in einer Adresse übergeben wurden, Formulareingaben, Variablen aus einem Cookie und Variablen einer Session. Man spricht in diesem Zusammenhang auch von den so genannten "EGPCS-Variablen" ( "$_ENV", "$_GET", "$_POST", "$_COOKIE" und "$_SERVER").

* allow_url_fopen = off
Bei aktiviertem "allow_url_fopen" (die Option steht auf "ON") ist das Einbinden externer Inhalte von anderen Servern möglich, andererseits erleichtert es den Angriff auf Ihre Skripte durch Dritte ganz erheblich. Mit Aktivieren der sicheren Einstellungen wird die Option auf "OFF" gesetzt und somit deaktiviert.

* allow_url_include = off
Aktivieren Sie allow_url_include (die Option steht auf "ON"), so ist das Einbinden externer PHP-Skripte von anderen Servern möglich. Diese Option erleichtert den Angriff auf Ihre Skripte durch Unbefugte ganz erheblich. Mit Aktivieren der sicheren Einstellungen wird die Option auf "OFF" gesetzt und somit deaktiviert.

Wenn diese Einstellungen zwingend benötigt werden können Sie über eine eigene php.ini (bzw. den php.ini-Editor, sofern dieser im Tarif enthalten ist) gesetzt werden, die Default-Einstellungen würden damit dann überschrieben.