Tabla de contenidos

Funciones restringidas/inhabilitadas por Modo Seguro

El Modo Seguro de PHP es un intento para resolver el problema de la seguridad en un servidor compartido. Tratar de resolver este problema al nivel de PHP es arquitectónicamente incorrecto, pero ya que las alternativas en un servidor web y a niveles de sistemas operativos no son tan realistas, mucha gente, especialmente la de proveedores de Internet (ISP), usa el Modo Seguro por ahora.

Las directivas de Configuración que controlan el Modo Seguro son:
Directiva Valor por Omisión
safe_mode Off
safe_mode_gid 0
safe_mode_include_dir “”
safe_mode_exec_dir 1
open_basedir “”
safe_mode_allowed_env_vars PHP_
safe_mode_protected_env_vars LD_LIBRARY_PATH
disable_functions “”


Cuando safe_mode está en On, el PHP verifica si el dueño del script actual coincide con el dueño del fichero a ser operado por una función de fichero. Por ejemplo:

-rw-rw-r– 1 rasmus rasmus 33 Jul 1 19:20 script.php -rw-r–r– 1 root root 1116 May 26 18:01 /etc/passwd

Corriendo este script.php <?php
readfile
('/etc/passwd');
?>
resulta in este error cuando Modo Seguro está habilitado:

Warning: SAFE MODE Restriction in effect. The script whose uid is 500 is not allowed to access /etc/passwd owned by uid 0 in /docroot/script.php on line 2

Sin embargo, pueden haber ambientes donde una estricta verificación del UID no es apropiada, y una relajada verificación del GID es suficiente. Esto es soportado por medio del switch safe_mode_gid. Seteándolo a On hace la verificación relajada GID, seteándolo a Off (el valor por omisión) hace la verificación del UID.

Si en vez del safe_mode, Ud. setea un directorio open_basedir, entonces todas las operaciones de fichero estarán limitadas a los ficheros bajo ese directorio especificado. Por ejemplo (ejemplo de httpd.conf de Apache):

<Directory /docroot> php_admin_value open_basedir /docroot </Directory>

Si Ud. corre el mismo script.php con este seteo open_basedir, entonces este es el resultado:

Warning: open_basedir restriction in effect. File is in wrong directory in /docroot/script.php on line 2

Ud. también puede inhabilitar funciones individuales. Note que la directiva disable_functions no puede ser usada fuera del fichero php.ini lo que significa que Ud. no puede inhabilitar funciones en los principios per-virtualhost o per-directory en su fichero httpd.conf. Si agregamos esto a nuestro fichero php.ini:

disable_functions readfile,system

Entonces obtenemos esta salida:

Warning: readfile() has been disabled for security reasons in /docroot/script.php on line 2

Funciones restringidas/inhabilitadas por Modo Seguro

Función Limitaciones
dbmopen() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado.
dbase_open() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado.
filepro() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado.
filepro_rowcount() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado.
filepro_retrieve() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado.
ifx_*() restricciones sql_safe_mode, (!= safe mode)
ingres_*() restricciones sql_safe_mode, (!= safe mode)
mysql_*() restricciones sql_safe_mode, (!= safe mode)
pg_loimport() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado.
posix_mkfifo() Comprueba si el directorio que va a utilizar, tiene la misma UID que el script que está siendo ejecutado.
putenv() Obecede las ini-directivas safe_mode_protected_env_vars y safe_mode_allowed_env_vars. Vea también la documentación de putenv()
move_uploaded_file() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado.
chdir() Comprueba si el directorio que va a utilizar, tiene la misma UID que el script que está siendo ejecutado.
dl() Esta función no está habilitada en safe-mode (modo-seguro)
backtick operator Esta función no está habilitada en safe-mode (modo-seguro)
shell_exec() (equivalencia funcional de backticks) Esta función no está habilitada en safe-mode (modo-seguro)
exec() Ud. puede correr sólo ejecutables dentro del safe_mode_exec_dir. Por razones prácticas, no está actualmente permitido tener componentes .. en la ruta del fichero ejecutable.
system() Ud. puede correr sólo ejecutatables dentro del safe_mode_exec_dir. Por razones prácticas, no está actualmente permitido tener componentes .. en la ruta del fichero ejecutable.
passthru() Ud. puede correr sólo ejecutatables dentro del safe_mode_exec_dir. Por razones prácticas, no está actualmente permitido tener componentes .. en la ruta del fichero ejecutable.
popen() Ud. puede correr sólo ejecutatables dentro del safe_mode_exec_dir. Por razones prácticas, no está actualmente permitido tener componentes .. en la ruta del fichero ejecutable.
mkdir() Comprueba si el directorio que va a utilizar, tiene la misma UID que el script que está siendo ejecutado.
rmdir() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado.
rename() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado. Comprueba si el directorio que va a utilizar, tiene la misma UID que el script que está siendo ejecutado.
unlink() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado. Comprueba si el directorio que va a utilizar, tiene la misma UID que el script que está siendo ejecutado.
copy() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado. Comprueba si el directorio que va a utilizar, tiene la misma UID que el script que está siendo ejecutado. (en source y target)
chgrp() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado.
chown() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado.
chmod() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado. Además, Ud. no puede setear los bits de SUID, SGID y sticky
touch() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado. Comprueba si el directorio que va a utilizar, tiene la misma UID que el script que está siendo ejecutado.
symlink() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado. Comprueba si el directorio que va a utilizar, tiene la misma UID que el script que está siendo ejecutado. (Nota: sólo el target es comprobado)
link() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado. Comprueba si el directorio que va a utilizar, tiene la misma UID que el script que está siendo ejecutado. (Nota: sólo the target es comprobado)
getallheaders() En Modo Seguro, las cabeceras que empiezan con ‘authorization’ (insensitivo al tipo de letra) no serán retornadas. Advertencia: esto está roto por la implementación de aol-server de getallheaders()!
header() En Modo Seguro, el UID del script está agregado a la parte realm de la cabecera WWW-Authenticate si Ud. setea esta cabecera (usado por HTTP Authentication).
highlight_file(), show_source() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado. Comprueba si el directorio que va a utilizar, tiene la misma UID que el script que está siendo ejecutado. (Nota: sólo afectado desde PHP 4.2.1)
parse_ini_file() Comprueba que los archivos/directorios que va a utilizar, tengan la misma UID que el script que está siendo ejecutado. Comprueba si el directorio que va a utilizar, tiene la misma UID que el script que está siendo ejecutado. (Nota: sólo afectado desde PHP 4.2.1)
Broadcom compra NetLogics Microsystems por 3.700 millones de dólares Broadcom ha acordado comprar NetLogics Microsystems, fabricante de chips de comunicaciones, por 3.700 millones de dólares. El acuerdo permitirá a B...
Lanzan versión de Instagram para Windows 10 Con la novedad, la aplicación ahora podrá ser utilizada en sistemas de escritorio pero la primera versión tiene serias limitantes. Tras el lanz...
Los 6 principios del marketing viral Algo que se llame "viral", "virósico" puede espantar a más de uno. Y mucho más en estas épocas. Nadie quisiera ser portador de un virus... pero, e...
Facebook ahora permite ver fotos a pantalla completa Facebook tomó nuevas medidas para mejorar su reproducción de imágenes, mostrando las imágenes en alta resolución por defecto y permitiendo verlas en u...
PlaySation Store vuelve a funcionar pero registra fallos por la carga excesiva de tráfico Casi un mes y medio después del ataque que desencadenó la pesadilla para Sony, la compañía ha anunciado que todos los servicios de PlayStation Network...
Nuevos problemas de Facebook Las autoridades alemanas han advertido a Facebook acerca de los problemas derivados de esta funcionalidad por el incumplimiento de la ley de protecció...
Libre Office 3.4.4 LibreOffice es una suite ofimática totalmente gratuita que surgió como alternativa a OpenOffice, tras la decisión de Oracle de lanzar una versión de p...
Chrome 19, listo para descargar El canal estable del navegador con mayor crecimiento en los dos últimos años acaba de liberar el nuevo Chrome 19 final. Disponible para usuarios de...
Ranking Sistemas Operativos abril 2013 Windows 7 consolida su posición como el sistema operativo más usado en todo el mundo por encima del vetusto XP y del nuevo Windows 8. 17/05/2013 - ...
Implantes LCD en los ojos podría ser el siguiente paso para jubilar a los anteojos Un investigador de la Universidad de Leeds, Inglaterra, está desarrollando unos lentes de contacto fabricadas con el mismo material que podemos encont...