PHP

Configura tu PHP de forma segura

ByLuis October 6, 2006

PHP viene por defecto configurado para desarrollo, pero en producciÃ³n hay opciones que no son recomendables sobre todo por temas de seguridad. Cambiad en el php.ini las siguientes opciones para mejorar la seguridad en tu entorno de producciÃ³n:

Desactiva el acceso a ficheros remotos: las funciones fopen, file_get_contents, y include permiten el acceso a ficheros remotos (http://host/..), lo cual puede dar problema en temas de seguridad. Si necesitas acceder a ficheros remotos puedes usar fsockopen o funciones de CURL.

allow_url_fopen = Off

Register globals: aunque ahora viene por defecto desactivado, en versiones anteriores de PHP, los parÃ¡metros de entrada se registraban como variables globales.

register_globals = Off

Restringe a quÃ© ficheros puede acceder PHP: normalmente PHP solo necesita acceder a ficheros situados en cierto path, por lo que para evitar que se acceda a otros paths, es conveniente restringir su acceso.

open_basedir = /www/ficheros

Modo seguro: PHP dispone de un modo seguro, en el que Apache solo puede acceder a ficheros de los que sea dueÃ±o, aunque nos puede dar problemas sobre todo cuando se trabaja en grupo, la tranquilidad que nos aporta pesa mÃ¡s que este inconveniente. Para ello usaremos una propiedad para que solo ejecute scripts que le pertenecen y otra permite acceso a los ficheros que pertenecen al grupo de Apache aun cual sea el dueÃ±o.

safe_mode = Off
safe_mode_gid = On

Acceso permitido a ficheros binarios: el modo seguro tampoco permite ejecutar ficheros binarios, pero se le puede indicar en que ruta si se pueden ejecutar.

safe_mode_exec_dir = /www/ejecutables

Acceso a variables de entorno: tampoco estÃ¡ permitido acceder a variables de entorno en el modo seguro, pero se puede inluir una lista (separada por comas) de prefijos que se permiten para estas variables.

safe_mode_allowed_env_vars = PHP_

Controlar lÃmites: tambiÃ©n es conveniente controlar ciertos lÃmites, como el tiempo de ejecuciÃ³n, el de tamaÃ±o mÃ¡ximo subido y muchos otros.

max_execution_time = 30 ; Tiempo mÃ¡ximo de ejecuciÃ³n
max_input_time = 60 ; Tiempo mÃ¡ximo que trata la entrada
memory_limit = 16M ; Memoria mÃ¡xima para la ejecuciÃ³n de un script
upload_max_filesize = 2M ; TamaÃ±o mÃ¡ximo de un fichero para subir
post_max_size = 8M ; TamaÃ±o mÃ¡ximo de un POST

Control de acceso a ficheros mediante Apache: aunque en este caso se debe configurar Apache, tampoco biene mal el contarlo. Se trata de evitar que Apache acceda a ficheros importantes, por ejemplo ficheros .inc, .sql.

<FilesMatch "\.(inc|.*sql)$">
Order allow,deny
Deny from all
</FilesMatch>

Evita el acceso a la shell: Taufpate nos recomienda tambiÃ©n evitar que se intente acceder a la shell. Si tienes un server y das hosting tienes que tener cuidado con los usuarios que usan mambo, phpnuke, jooomla, etc.., sistemas que a diario reportan problemas de seguridad y nunca son actualizados por sus usuarios.

disable_functions = system, exec, shell_exec, passthru, pcntl_exec, putenv, proc_close, proc_get_status, proc_nice, proc_open, proc_terminate, popen, pclose, set_time_limit, ini_alter, virtual, openlog, escapeshellcmd, escapeshellarg, dl, curl_exec, parse_ini_file, show_source

Checklist for Securing PHP Configuration

VÃa / dzone

PHP

Usar Neo4j con PHP usando REST

ByLuis June 6, 2010

neo4j es una base de datos de grafos que puede ser muy útil para aplicaciones tipo redes sociales. El problema para los que usamos PHP es que neo4j está en Java y para usarlo desde PHP o se una un bridge que conecte con Java o usar la versión REST de neo4j y acceder vía web.

Su uso es muy sencillo:

$graphDb = new GraphDatabaseService('http://localhost:9999/');
$node = $graphDb->createNode();
$node->message = "Hello, ";
$node->blah = "blah blah";
$node->save();

Se le puede añadir todas las propiedades que se quieran, que se transforman en un array de datos que luego se enviarán en json.

El único problema que tiene esta librería es que no genera índices, aunque es muy sencillo modificar, ya que tan solo es necesario añadir una llamada para generar el índice:

HTTPUtil::jsonPostRequest($this->_neo_db->getBaseUri().'index/node/clave/'.$this->_data['clave'], $this->_neo_db->getBaseUri().'node/'.$this->_id);

siendo ‘clave’ lo que queramos añadir como índice. También es necesario modificar HTTPUtil::jsonRequest para que cuando $data no sea un array no se codifique en JSON.

Neo4J REST PHP API client

PHP

Autenticarse a Google Reader mediante PHP

ByLuis December 15, 2008

Un script en PHP para poder autenticarse en Google Reader API, para aquel que quiera realizar aplicaciones que necesiten de este servicio. El script es muy sencillo y quizás sea para que gente experimentada lo utilice.
Authenticating the Google Reader API
Vía / Script & Style

PHP

Añadir validaciones a Contact Form 7 en WordPress

ByLuis October 14, 2010

Contact Form 7 es uno de los plugins de WordPress más utilizados, ya que nos permite incluir formularios de contacto de forma sencilla en nuestros blogs. El problema viene cuando queremos añadir validaciones a los campos del formulario. Una forma sencilla, quizás haya un plugin que lo haga, es editar el functions.php y añadir un action al init que compruebe los valores de $_POST y devolver el JSON oportuno:


add_action('init', 'comprueba_form', 1); // prioridad 1 para que actue antes que el plugin
function comprueba_form() {
  if ( 'POST' == $_SERVER['REQUEST_METHOD'] && 
       isset( $_POST['_wpcf7_is_ajax_call'] ) && 
       $_POST['_wpcf7'] == '1') { // _wpcf7 es el id del formulario para diferenciarlos
    // comprobaciones
    if ($_POST['campo'] != 'valor') {
      echo '{"mailSent":false,"into":"#wpcf7-f2-p813-o1","captcha":null,"message":"El campo 'campo' falla.","onSentOk":null}';
      exit();
    }
  }
}

CMS | MYSQL | PHP

PureEdit: CMS sencillo

ByLuis February 22, 2008

PureEdit es un CMS para PHP y MySQL que nos facilitará la labor de desarrollo de la aplicación y la reducirá en tiempo notablemente. Dejándonos el control total del diseño y de la programación.

Este CMS se basa en la implementación de módulos mediante la definición de tablas en la base de datos, según unos determinados sufijos en los campos de las tablas, se pueden crear relaciones entre módulos y definir el tipo de campo de una forma directa y sencilla.
PureEdit
Vía / Smashing Apps

PHP

Añadir notificación de actualizaciones en el menú del admin de WordPress

ByLuis July 22, 2015

Si queremos indicar que hay novedades en algún elemento del menú del admin de WordPress, tendremos que añadir un simple filtro en nuestro functions.php. Esto puede ser necesario por ejemplo si tenemos un Custom Post Type y se actualiza mediante un cron, el usuario podría tener un vistazo rápido de como ha ido el cronjob si usamos ese tipo de notificaciones.

Para añadir estas notificaciones tendremos que hacer uso del filtro add_menu_classes, que aunque no creo que esté pensado para esto, nos permite modificar el menú antes de ser dibujado. En el filtro tendremos que buscar la opción del menú por la acción que realiza (posición 2 del array) y añadir un pequeño HTML en el título (posición 0 del array). Buscamos por la acción y no por el título ya que si usamos multi-lenguaje nos puede dar problemas.

add_filter( 'add_menu_classes', 'admin_menu_updates');
function admin_menu_updates( $menu ) {
  foreach($menu as $i=>$item) {
    if ($item[2] == 'edit.php?post_type=miposttype') {
      $c = get_transient( 'contador_updates_miposttype' );
      if ($c) $menu[$i][0] .= ' '.$c.'';
    }
  }
  return $menu;
}

Yo en este caso el valor lo almaceno usando la API de Transients, pero vosotros lo podéis gestionar como os venga mejor.

How to | Laboratorio | PHP

Laboratorio: leer ficheros zip desde PHP

ByLuis May 15, 2006

El formato de compresiÃ³n ZIP es uno de los mÃ¡s usados y siempre puede sernos de ayuda saber cÃ³mo manejarlo, por ejemplo para permitir que nuestros usuarios nos envien ficheros en zip y no tenerles que enviar varios ficheros de uno en uno, cosa que suele sacar de quicio.

En PHP, para leer un fichero zip debemos usar la librerÃa php_zip que ha sido desarrollada por Guido Draheim y que se puede bajar en: http://pecl.php.net/package/zip.

El uso es sencillo y tan solo dispone de unas pocas funciones:

zip_close: cierra un fichero zip.
zip_entry_close: cierra una archivo contenido en el zip.
zip_entry_compressedsize: nos devuelve el tamaÃ±o comprimido de un archivo contenido en el zip.
zip_entry_filesize: nos devuelve el tamaÃ±o real del archivo contenido en el zip.
zip_entry_name: nos devuelve el nombre del archivo contenido en el zip.
zip_entry_open: abre para lectura un archivo contenido en el zip.
zip_entry_read: lee un archivo contenido en el zip.
zip_open: abre un fichero zip.
zip_read: lee el siguiente archivo contenido en el zip.

Un simple ejemplo de cÃ³mo leer informaciÃ³n de un fichero zip serÃa el siguiente. Disponemos de una pÃ¡gina HTML que tiene un formulario para enviar un fichero:

<form action="zip.php" method='POST' enctype='multipart/form-data'<br />
<p>Seleccione un fichero ZIP para enviar
<br />
<input type="file" name="fichero" /<br />
<br />
<input type="submit" value="Enviar" /></p<br />

Y disponemos de un script PHP (en este caso se llama zip.php) que nos devuelve los archivos contenidos en el zip.

...
<ul>
<?php
$zip = zip_open($_FILES["fichero"]["tmp_name"]);
if ($zip) {
while ($entrada = zip_read($zip)) {
echo "<li>" . zip_entry_name($entrada) . "</li>";
}
zip_close($zip);
}
?>
</ul>
...

El nÃºmero de utilidades que le podemos sacar a la lectura de ficheros zip puede ser importante.

Similar Posts