Wer einen Virtual Server, Server oder auch Webspace mit Administrationsrechten an der php.ini besitzt, sollte sich nicht unbedingt auf die Grundeinstellungen im Auslieferungszustand verlassen und die eigenen Einstellungen vor dem Launch prüfen. In vielen Fällen können Einstellungen wie zum Beispiel register_globals oder allow_url_fopen aktiviert sein und damit ein Sicherheitsrisiko für die eigene Anwendung bergen.

Es gibt zwar keine allgemeingültig “sichere” php.ini und gewisse Einstellungen müssen für die eigene Anwendung angepasst werden, doch kann eine Analyse mit dem Tool PhpSecInfo für erste Hinweise und Erklärungen herangezogen werden. Am Ende des Beitrags befinden sich noch ein paar wichtige Ergänzungen.

Beispielanalyse

Sinnvolle Ergänzungen

• disable_functions =  eval exec passthru popen proc_open shell_exec system get_defined_functions dl apache_get_modules apache_get_version apache_get env apache_setenv fsockopen highlight_file ini_alter ini_restore phpinfo show_source symlink tmpfile rmdir
• open_basedir = [path to the directory of the web server / virtual host]
• safe_mode = On
• short_open_tag = Off
• session.use_only_cookies = 1
• session.cookie_httponly = 1
• session.name = my_app