книги хакеры / журнал хакер / 133_Optimized

eaccelerator.shm_max="0" eaccelerator.shm_ttl="0" eaccelerator.shm_prune_period="0" eaccelerator.shm_only="0"

// Устанавливаем максимальный уровень сжатия для контентного кэширования

eaccelerator.compress="1" eaccelerator.compress_level="9"

Создаем каталог для файлов кэша:

$ mkdir /tmp/eaccelerator

$ chmod 0777 /tmp/eaccelerator

Перезапускаем apache:

$ sudo /etc/init.d/apache2 restart

Вот и все. Теперь можно выполнить замер производительности. Разработчики утверждают, что ее прирост может достигать 10-ти раз, однако по личному опыту могу сказать, что зачастую эта цифра становится еще выше.

IONCUBE PHP ENCODER Идея хранения и запуска байткода вместо оригинального PHP-кода открывает одну интересную возможность: сокрытие исходного кода. Транслировав PHP-код в байткод, мы не только получим прирост производительности, но и существенно усложним процесс исследования и модификации кода.

Сразу оговорюсь: несмотря на то, что eAccelerator и другие аналогич- ные по функциональности системы и позволяют осуществить трансляцию в байткод, использовать их для защиты PHP-приложения довольно наивно. Стандартная виртуальная машина языка PHP проста, хорошо документирована и не скрывает то, что скрывать бессмысленно, поэтому восстановить изначальный PHP-код из байткода или изменить поведение приложения будет достаточно просто.

Для установки настоящей, стойкой защиты на PHP-скрипты принято применять протекторы, наиболее известные из которых называются Zend Optimizer и IonCube PHP Encoder. Первый — это платный проект разработчиков PHP, защитные техники которого однажды уже показали свою нестойкость (в результате доверие к продукту упало). Второй разрабатывается компанией IonCube, обладает в три раза меньшей ценой и использует гораздо более изощренные техники сокрытия оригинального кода. Ему и будет посвящена остальная часть раздела.

Основные характеристики IonCube PHP Encoder:

•Трансляция PHP-скриптов в байткод (спецификации которого закрыты).

•Шифрование других типов файлов (например, XML, шаблоны Smarty, изображения).

•Генерация лицензионных файлов для ограничения доступа к закодированным файлам (Pro/Cerberus Encoder).

•Обфускация байткода после компиляции.

•Возможность получать файлы форматов ASCII или Binary.

•Использование цифровых сигнатур для защиты скриптов от модификации.

•Защита от вызова закодированных файлов из неавторизованных файлов.

•Совместимость с открытыми расширениями, такими как mmcache и eAccelerator.

•Возможность создания триальных скриптов, которые перестают работать после истечения определенного срока (Pro/ Cerberus Encoder).

•Защита файлов от запуска на машинах с определенными IP/ MAC-адресами и DNS-именами (Pro/Cerberus Encoder).

•Интеграция с IonCube Package Foundry.

•Возможность вставки текстовых аннотаций и других данных в закодированные файлы.

•Чрезвычайно быстрое кодирование (благодаря чему возможно кодирование на лету).

IonCube транслирует PHP-код в байткод для собственной виртуальной машины, проводит оптимизацию, обфускацию, шифрует легко читаемые участки. При этом для исполнения байткода применяется IonCube PHP Loader, включающий в себя виртуальную машину, и потому необходимый везде, где должен быть запущен закодированный PHP-скрипт. Для восстановления кода, зашифрованного PHP Encoder, взломщику придется вслепую произвести дизассемблирование байткода виртуальной машины (естественно, ни документации, ни исходного кода ВМ никто ему не даст), затем расшифровать зашифрованные данные, разобрать и подчистить код от обфускации и только после этого попытаться восстановить исходный PHP-код. При этом, даже если взломщик попытается просто изменить код (например, для отключения проверки на регистрацию), приложение перестанет функционировать из-за несовпадения контрольной суммы в цифровой подписи. Тогда придется менять и ее.

Не возьмусь говорить, что взломать PHP-скрипты, закодированные PHP Encoder, невозможно, но это как раз тот случай, когда затраты не окупают результатов.

IonCube PHP Encoder доступен в виде триальной версии, которую можно получить, следуя инструкциям, опубликованным на странице

www.ioncube.com/encoder_eval_download.php. Для установки достаточно выполнить пять шагов:

1.Зарегистрироваться и скачать последнюю версию PHP Encoder.

2.Распаковать полученный архив и скопировать загрузчик в каталог PHP-модулей (он может быть другим):

$ cd ~/tmp

$ tar -xzf ioncube_encoder_evaluation.tar.gz $ cd ioncube_encoder_evaluation

$ sudo cp loaders/ioncube_loader_lin_5.3.so /usr/lib/ php5/20060613+lfs/

3. Добавить в секцию [PHP] файла php.ini строку:

zend_extension = /usr/lib/php/modules/ioncube_loader_ lin_5.3.so

4. Перезапустить индейца:

$ sudo /etc/init.d/apache2 restart

5. Закодировать файлы с помощью команды ioncube_encoder5 (или просто ioncube_encoder в случае PHP4):

$ ~/tmp/incube_encoder5 --obfuscate all оригинал.php \ -o закодированный_скрипт.php

Больше информации об аргументах командной строки ioncube_encoder ты узнаешь из официального руководства пользователя.

WEB OPTIMIZER Любой web-дизайнер, разработчик или системный администратор, хоть раз занимавшийся оптимизацией содержимого веб-сайта, знает, что этот процесс требует применения множества самых различных техник и времени, которое приходится тратить на рутинные, однообразные действия. Большую часть этих действий, конечно, можно оптимизировать с помощью скриптов и шаблонов конфигурационных файлов, однако различные CMS и Web-сервера могут внести в подход различия, скрипты придется дорабатывать, а конфиги переписывать.

Наверное, именно такие мысли посещали головы российских webразработчиков из ООО «ВЕБО» незадолго до того, как они приступили к разработке автоматизированной системы оптимизации контента. В результате их работы появился Web Optimizer (code.google.com/p/weboptimizator) — набор PHP-скриптов, которые выполняют всю рутинную работу по оптимизации контента Web-сайта на лету.

•Объединение внешнего и встроенного кода.

•Минимизация файлов (удаление из кода комментариев, незначащих пробелов, символов табуляции, переносов строк с целью уменьшения объема файлов и ускорения их загрузки).

•gzip-сжатие файлов.

•Клиентское кэширование.

•Серверное кэширование.

•Поддержка множественных хостов.

•Автоматическое создание CSS Sprites.

•Автоматическое применение Data:URI.

•Ненавязчивая загрузка JavaScript.

Перефразируя авторов, можно сказать, что пользователям Web Optimizer больше не придется натравливать компрессор на каждый имеющийся js-файл, удалять комментарии из HTML-файлов и вытягивать их в одну строку, настраивать кэширование и проделывать многие другие рутинные операции. Все это сделает полностью автоматизированная система, которая проста в установке и не требовательна к ресурсам.

Опять же, если верить словам разработчиков (подкрепленным внушительной таблицей с замерами производительности), то среднее увеличение скорости загрузки страниц, обработанных Web Optimizer, составляет примерно 250% (а в некоторых слу- чаях и до 500%). «Сайты ускоряются в среднем в 2,5 раза (+21 в оценке YSlow, -34% в размере, -43% в количестве внешних объектов)».

Для установки Web Optimizer следует выполнить три простых шага:

1.Обзавестись Web-сервером с поддержкой PHP и SSH-доступом (FTP тоже подойдет).

2.Получить последнюю версию Web Optimizer:

$ wget http://web-optimizator.googlecode.com/files/web- optimizer.v0.6.6.zip

3. Распаковать архив в корневой каталог Web-сервера:

$ cd /var/www

$ sudo unzip /ïóòü/ê/web-optimizer.v0.6.6.zip

Чтобы Web Optimizer смог сохранять кэшированные версии обработанных им файлов, следует установить права на запись на файл weboptimizer/config.webo.php и каталог web-optimizer/cache для пользователя, под которым работает Web-сервер:

$ sudo chmod +w web-optimizer/config.webo.php

$ sudo chmod -R +w web-optimizer/cache $ sudo chmod -R www-data:www-data weboptimizer/cache

Все, теперь открываем страницу http://ñàéò/weboptimizer/index.php в браузере и приступаем к настройке фреймворка. Самый простой путь — довериться системе, ввести логин и пароль администратора и нажать кнопку «Быстрая установка». Web Optimizer пройдется по цепочке расположенных на Web-сервере файлов и создаст их закэшированные сжатые версии. Также он произведет необходимую для последующей работы системы модификацию оригиналов или (если они недоступны для записи) выведет инструкцию об их изменении.

Нажав на оранжевую стрелку в правой стороне экрана, можно произвести так называемую «Обычную установку», которая включает в себя возможность указать опции оптимизации вручную.

PHP INTRUSION DETECTION SYSTEM (PHPIDS) Многие из нас применяют системы обнаружения вторжений на своих серверах. Некоторым достаточно сетевых IDS, другие также устанавливают и локальные, однако мало кто применяет Web IDS, предназначенные для «отлова» попыток взлома Web-сайтов.

PHPIDS одна из представительниц таких систем. Это легкая в использовании, быстрая система обнаружения атак, которая умеет ловить разные виды XSS, SQL-инъ- екции, расщепления запроса (HTTP Response Splitting), проходы по каталогам (Directory traversing), RFE/LFI, DoS, LDAP-инъекции и многое другое. Причем это не просто слова, а реально работающая система, которая способна

отбить охоту взлома у 99% злоумышленников. Для сомневающихся открыта специальная страничка, перейдя на которую, любой желающий может попробовать обмануть систему.

PHPIDS представляет собой PHP-библиотеку, которую следует подключать к проекту. В результате все входные данные попадают на ее вход, после чего

производится их парсинг и проверка на легальность. В случае обнаружения попытки вторжения принимающий данные скрипт завершается, формируется отчет и отсылается системному администратору (сохраняется на диске, отсылается разработчикам PHPIDS, вписать нужное).

Установить систему очень просто:

1. Скачиваем последнюю версию PHPIDS с офсайта и распаковываем:

$ cd /tmp

$ wget http://php-ids.org/files/phpids- 0.6.3.1.tar.bz2

$ tar -xjf phpids-0.6.3.1.tar.bz2 $ sudo mkdir /var/phpids

$ sudo mv lib /var/phpids $ cd /var/phpids/lib/IDS

$ sudo chown -R www-data:www-data tmp

Обрати внимание, что мы намеренно установили PHPIDS рядом с корневым каталогом Web-сервера (а не в него). Так мы изолировали его каталоги от просмотра посторонними. 2. Открываем конфигурационный файл Config/Config.ini. php и вносим в него необходимые изменения. На данном этапе достаточно модифицировать всего одну опцию:

info

•Обфускация— приведениеисходного текстаилиисполняемогокодапрограммы квиду,сохраняющему

еефункциональность, нозатрудняющему анализ,понимание алгоритмовработыи модификациюпридекомпиляции.Другими словами,запутывание кода.

•PhpSecInfo

(phpsec.org/projects/ phpsecinfo/)добавляет функциюphpsecinfo,

предоставляющую информациюобезо- пасностиPHP-окру- женияисоветыпоее улучшению.

ЗАМЕРЫПРОИЗВОДИТЕЛЬНОСТИWEB-САЙТАСУСТАНОВЛЕННЫМ

WEB OPTIMIZER

132

*/

$request = array( 'REQUEST' => $_REQUEST, 'GET' => $_GET,

'POST' => $_POST, 'COOKIE' => $_COOKIE

);

$init = IDS_Init::init(dirname(__

FILE__) . '/var/phpids/lib/IDS/

Config/Config.ini.php');

/*

* Инициализируем PHPIDS и читаем результаты проверки

*/

$ids = new IDS_Monitor($request, $init);

$result = $ids->run();

/* * Если обнаружена атака — заносим

результат в логи и завершаем работу */

if (!$result->isEmpty())

{

echo $result;

require_once 'IDS/Log/File.php'; require_once

'IDS/Log/Composite.php';

$compositeLog = new IDS_Log_Composite();

$compositeLog->addLogger(IDS_ Log_File::getInstance($init));

$compositeLog->execute($result);

die('Attack detected');

}

}

4. Чтобы PHPIDS проверял все наши PHPскрипты, добавим файл phpids.php к каждому из них. Для этого откроем php.ini и внесем в него следующую строку:

auto_prepend_file /var/www/phpids.php

То же самое можно сделать при помощи

.htaccess:

php_value auto_prepend_file /var/ www/phpids.php

5. Перезапускаем апач:

$ sudo /etc/init.d/apache2 restart

Это все. Теперь можешь протестировать PHPIDS, набрав в адресной строке браузера что-нибудь вроде "http://сайт/phpids.ph p?test=%22%3EXXX%3Cscript%3Ealert(1 )%3C/script%3E".

XÀÊÅÐ 01 /133/ 10

СТАНДАРТНАЯУСТАНОВКАWEB OPTIMIZER ПОЗВОЛЯЕТПРОИЗВЕСТИТОНКУЮКОНФИГУРАЦИЮ СИСТЕМЫ

ИНТЕРЕСНЫЕAPACHE-МОДУЛИЭтот раздел посвящен сторонним Apache-модулям, которые ты можешь скачать из интернета и подключить к своему Web-серверу. Среди них есть как известные и повсеместно используемые модули, так и необычные проекты.

•mod_connection_limit (code.google.com/p/ mod-connection-limit) — ограничение на одновременное количество подключений к Web-серверу.

•mod_vhost_limit (apache.ivn.cl) — индивидуальный контроль пропускной способности и количества подключений для каждого виртуального хоста.

•mod_ipenv (mod-ipenv.sourceforge.net) — установка и снятие переменных окружения на основе IP-адресов è DNS-èìåí клиентов.

• mod_access_dnsbl (www.apacheconsultancy. com/modules/mod_access_dnsbl) — контроль доступа, основанный на черных и белых списках DNSBL.

•mod_cluster (jboss.org/mod_cluster) — динамический балансировщик нагрузки. Требует mod_proxy.

•mod_qos — реализация QoS (mod-qos. sourceforge.net), возможность использования разных приоритетов обработки в зависимости от типа запроса.

•mod_captcha (sourceforge.net/projects/modcaptcha) — реализация капчи в виде Apache-ìî- дуля. Для своей работы требует библиотеки GD 2.x и Berkeley DB 4.5.

• mod_swf2html (ilovedaemon.net/hanai/ apache/mod_swf2html) — конвертирует swf-файлы в HTML для того, чтобы они могли быть проиндексированы поисковыми машинами.

•mod_txt (apache.webthing.com/mod_txt) — показывает текстовые файлы, добавляя к ним хидер и футер (так же, как это сделано при отображении каталогов).

•mod_validator (apache.webthing.com/mod_ validator) — валидатор HTML, XML и SGML.

•mod_bash (www.autistici.org/bakunin/

mod_bash) — интерпретатор bash, встроенный в Apache.

ЧТО ЕЩЕ? Рассмотренные в статье обвески далеко не все, что было придумано web-раз- работчиками и программистами в области разгона и защиты Web-сервера. При должном терпении на просторах интернета ты сможешь найти массу проектов, которые позволят твоему серверу выдерживать большие нагрузки и самые изощренные типы атак. z

Äляначалаприпомним, какиеблизкие темымыужеподнималиврамкахэтой рубрики. Манипуляциимежличностныеиманипуляциимассовые? Было такое— сентябрьскийномерзапро-

шлыйгод. Общаятеориябезумств? Пожалуйте

виюньскийномерзатотжегод, можетпригодиться(почему— узнаешьчутьпозже). Про обманыикидаловотоже, вродебы, писали— открывайzзадекабрь. Всеэтистатьирассказалитебеотом, какдушевноздоровыелюди обманываютдругдруга, внушаютмотивации, заставляяизменятьстремленияижелания,

атакже— чемотличаютсялюдидушевно здоровыеотдушевнобольных. Вэтойстатьемы рассмотримлюдейнесовсемздоровых, ноине совсембольных, чтооченьактуально— таких людейвеликоемножество. Скореевсего, их немалоивтвоемпрямомокружении, простодо этогомоментатынезнал, почемуонитакие, кто

вэтомвиноватичтосэтимможносделать.

Немного теории

Кстати, стеориейуменявозникаетнефиговый диссонанс. Сделаешьвстатьемалозагруза, такредакторрубрикивозмутится— дескать, что этозабанальностидажизненныйопыт, гдеже тутпсихологическаясоставляющая, скрытые рычагиуправлениячеловекомит.д.? Прогрузишьчитателяпополнойпрограмме— такон, читатель, вотместкупроспамитменячем-то

134

UNITS