Vorwort:
Da es zahlreiche Anfragen und keine Dokumentation über die Anwendung von Suhosin in Verbindung mit PDAdmin gibt und ich dieses Feature trotzdem nutzen wollte, habe ich mich selbst rangemacht um Suhosin im Produktiv-Betrieb einsetzen zu können.
Dies will ich diesem wunderbaren Forum und seinen Usern nicht vorenthalten und hoffe dass Euch dieses HowTo ein Stück weiter bringt. Bei uns läuft Suhosin stabil im Produktiv-Betrieb. Auch gibt es keine (augenscheinlichen) Probleme bei der Benutzung von phpMyAdmin.
Einleitung:
Suhosin kann auf 2 verschieden Wegen eingesetzt werden.
Variante 1:
Suhosin in Form eines PHP-Patches
Variante 2:
Suhosin als Extension
Ich beschreibe hier die Installation und Verwendung von Suhosin als Extension.
Voraussetzung(en) bzw meine verwendete Config:
Installierte und funktionelle PDAdmin 4-Installation unter Verwendung der SE. Apache läuft auf CGI-Wrap oder FastCGI mit PHP5.2.x. 8Bei mir PHP5.2.13) Suhosin als Extension läuft jedoch auch auf PHP4, allen PHP5.2.x und auch auf PHP5.3! Die Verwendung des Zend Optimizer ist auch möglich, dazu am Ende des Tutorials mehr.
Für SuSE-User sollte auf jeden Fall gcc, automake und autoconf installiert sein. (Ist auch bei mir auf Deb Lenny 32Bit installiert)
Besorgen und Installieren von Suhosin:
Wir besorgen uns die neusten Sources vom Hardened-Projekt:
code:
1:
cd /tmp && wget http://download.suhosin.org/suhosin-0.9.33.tgz
Danach wird das ganze entpackt :
code:
1:
tar xvf suhosin-0.9.33.tgz
Kompilieren und installieren der Extension:
Lokalisiert wo php-devel in der SE liegt, denn dies wird zur Verwendung von phpize benötigt. Je nach eingesetzter PHP-Version könnte dies für Euch richtig sein --> /usr/local/pd-admin2/bin/phpize kann aber auch anders liegen. Bei PHP5 muss man eben PHP5 im Pfad angeben. Deshalb bitte beim folgenden Code diesen auf die eigenen Bedürfnisse anpassen!
code:
1:
2:
3:
4:
cd suhosin-0.9.33
/usr/local/pd-admin2/bin/phpize
./configure --enable-suhosin --with-php-config=/usr/local/pd-admin2/bin/php-config
make && make install
Die Extension (suhosin.so) liegt dann im Ordner /usr/local/pd-admin2/php5/lib/php/extensions/no-debug-non-zts-******
Config in die php.ini eintragen:
Damit die Extension geladen werden kann, muss die Konfiguration in die php.ini eingetragen werden. Hierbei gilt es zu beachten, dass man zuerst die richtige Extention-Directory in der php.ini einträgt.
Beispiel:
code:
1:
2:
; Directory in which the loadable extensions (modules) reside.
extension_dir = "/usr/local/pd-admin2/php5/lib/php/extensions/no-debug-non-zts-*******"
Ganz unten in der php.ini wird dann dieses hier eingetragen:
code:
1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
extension="suhosin.so"
[suhosin]
suhosin.simulation="On"
;suhosin.apc_bug_workaround = Off
;suhosin.multiheader = Off
suhosin.mail.protect = 1
suhosin.post.max_vars = 2048
suhosin.request.max_vars = 2048
suhosin.get.max_vars=512
suhosin.session.encrypt = Off
Das ganze speichern, hochladen und den Indianer neu starten:
code:
1:
svc –d /service/apache && svc –u /service/apache
Nun sollte man den Error_Log des Apache auf eventuelle Fehler beim Starten kontrollieren. Findet man keine Fehler die im Zusammenhang mit Suhosin stehen, so kann man jetzt den Testmodus abschalten.
Wir laden uns also wieder die php.ini zum bearbeiten, suchen diesen Punkt hier:
code:
1:
suhosin.simulation="On"
Und schalten Suhosin « scharf » in dem wir das « On » gegen ein « Off » ersetzen. Das sollte dann so aussehen:
code:
1:
suhosin.simulation="Off"
Das ganze speichern, hochladen und den Apache neu starten :
code:
1:
svc –d /service/apache && svc –u /service/apache
Nun ist Suhosin als Extension aktiv und verrichtet seinen Dienst. Siehe den Auszug aus meiner PHP-Info im Anhang. Weiter unten in Euerer PHP-Info findet Ihr die genaue Config von Suhosin. Die einzelnen Werte sind auf die eigenen Bedürfnisse einzustellen!
Wichtig ist für die Roundcubemail-benutzer aber dass der folgende Punkt nicht verändert werden darf.
code:
1:
suhosin.session.encrypt = Off
Wird diese Option angeschaltet oder gelöscht ist die Verwendung von RC nicht mehr möglich! Leider bin ich noch nicht dahinter gekommen wie man diese Option in der htaccess von RC anwenden kann wenn der Webserver auf CGI_Wrap oder FastCGI läuft. Wer hier weiter weiss möge es bitte ergänzen.
Aufgrund individueller Einstellungen kann es sein, dass Meldungen nicht in /var/log/suhosin.log, sondern in z.B. /var/log/messages zu finden sind! Es gilt trotzdem grundsätzlich die Logs nach eventuell vorhandenen Fehlern zu durchstoebern!
Hinweis für die Verwendung des Zend Optimizer in Verbindung mit der Suhosin-Extension:
Mittlerweile „beissen“ sich Suhosin und der Zend Optimizer nicht mehr. Allerdings darf die eingesetzte Version des Optimizer nicht kleiner als Version 3.2.1 sein! Wird dieses beachtet, arbeitet beides einwandfrei zusammen.
Abschliessende Worte
Alle weiteren Configs werden in der php.ini durch hinzufügen weiterer Optionen oder Bearbeitung der schon vorhandenen Einträge eingestellt. Weitere Optionen findet Ihr auf: http://www.hardened-php.net/suhosin/configuration.html
Weiterhin darf ein Hinweis auf http://www.squatlabs.de in diesem Tutorial nicht fehlen. Diese haben mir bei der Installation und Anwendung von Suhosin als Extension sehr geholfen!
