Библиотека знаний - system:php

php-fpm в chroot и некоторые трудности

Anonymous (anonymous@undisclosed.example.com) — 2013-01-15T19:51:29+00:00

php-fpm в chroot и некоторые трудности

Относительно недавно я отказался от php-fcgi и apache и перевел все свои сервера под связку nginx + php-fpm, как-нибудь я напишу отдельно об этом. Сейчас же я хочу рассказать немного о php-fpm в chroot и некоторых проблемах, возникающих при помещении php-fpm в chroot.

php-fpm в chroot – для чего это нужно?

Для начала хотелось бы пояснить, для чего я это сделал. Дело в том, что всем известно, что любая программа содержит ошибки, а php, как язык с очень большими допущениями и низким порогом вхождения, прямо-таки провоцирует программистов и тех, кто себя ошибочно таковыми считает, допускать серьезные ошибки при написании скриптов, что ведет к брешам в безопасности. К тому же мало кто пишет сам для себя, за частую используются коммерческие или бесплатные cms.

Любая более-менее крупная cms имеет массы возможностей, часто написанных разными людьми. И, соответственно, чем больше возможностей, тем больше потенциальных мест для уязвимостей. Теперь представим, что у вас на сервере размещено несколько проектов (а такое как правило и бывает, ибо делать отдельный сервер или пусть даже виртуальную машину для каждого сайта слишком расточительно). Или, быть может, вы даже решили предоставлять услугу shared hosting’а.

Теперь представим, что один из проектов был скомпрометирован нехорошими людьми. Потенциально эти люди могут получить доступ к каждому из проектов, находящихся по соседству со взломанным сайтом. Даже если вы все, казалось бы, предусмотрели, проставили нужные права, включили кривой safe mode или черт-знает-что еще сделали для защиты, у опытных хакеров может оказаться туз в рукаве в виде только что открытой дырки в по, позволяющей обойти ваши защиты. Что же делать? На помощь приходит php-fpm с полезной опцией помещения исполняемых процессов в chroot.

Какие возникают трудности при помещении php-fpm в chroot?

Проблема номер один

Самая первая проблема, которая у меня возникла – это пропал коннект к mysql. Расследование показало, что невозможно отрезолвить доменные имена (dns не работал). Замена localhost на 127.0.0.1 проблему решила, но не полностью. Немного погуглив, я нашел решение, оно оказалось простым (элегантность, конечно, под вопросом). В папку /etc (отсчет от корня chroot) мы кладем файлы nsswitch.conf и resolv.conf. В папку lib (lib64 для 64-битных систем) кладем libnss_dns-2.X.so и делаем на него симлинк libnss_dns.so.2. Всё, после этого не забудьте сделать жесткий рестарт (restart) для php-fpm, т.к. мягкий рестарт (reload) не подгружает библиотеки.

Проблема номер два

Проблема номер два: перестали работать сессии. Решил я это очень просто: ведь нужен еще и временный каталог, а он остался за пределами chroot. Создаем /tmp (если у вас в php.ini другой путь для сессий, то либо создайте и его, либо исправьте на /tmp). Не забудьте назначить владельца и группу root для /tmp и сделать 777 + sticky bit. Для тех, кто не в курсе, sticky bit запрещает удаление чужих файлов в таком каталоге. Для чего это нужно, если у нас chroot? А для того, чтобы пользователь не мог удалить темп, мы создаем пустой файлик (н-р, .no_delete) с правами рута. Теперь юзер не может удалить .no_delete, а значит не может удалить и tmp – всё просто

Проблема номер три

Проблема номер три: перестали работать некоторые самописные скрипты. Тут всё просто, в скриптах были прописаны абсолютные пути – меняем на относительные или на новые абсолютные с учетом chroot.

Проблема номер четыре

Проблема номер четыре: сломался mod_python для php. Поскольку я сомневаюсь, что его использует сколько-нибудь значимое число людей, я не буду вдаваться в подробности. Скажу лишь, что решение было некрасивым, но оно работает.

Проблема номер пять

Проблема номер пять: перестала работать функция mail(). Дело в том, что sendmail (почтовик по умолчанию) оказался за пределами chroot. Копировать его, как libnss категорически неприемлемо, т.к. это потянет за собой кучу библиотек от libC. Такое решение неверно в корне. Однако, заокеанские друзья подсказали решение. Нужно поставить статически линкованный mini_sendmail. Но, чтобы им воспользоваться надо внести небольшое изменение в код mini_sendmail.

Открываем mini_sendmail.c и ищем:

username = getlogin();
заменяем на:

username = "mini_sendmail";

Причем имя юзера может быть любым, даже несуществующим: это простая формальность, которая не влияет на работу mini_sendmail.

Но это еще не все, для запуска sendmail придется поместить какой-нибудь шелл в chroot. Я последовал примеру из оригинала и статически скомпилировал busybox. Перед компиляцией я сделал make menuconfig и снял все галочки, кроме статической компиляции и ash. В бизибоксе есть еще sendmail, но почему-то он у меня не заработал. Времени разбираться особо не было, но если у кого-то получилось обойтись без mini_sendmail, то пишите свой рецепт в комментах. Скомпилировав busybox, я поместил его сюда /bin/sh в чруте. На всякий случай делаем restart для php-fpm. И, вуаля, mail() работает

Вот и все проблемы. Вкратце опишу, почему еще php-fpm, а не что-то иное. Прежде всего мы избавляемся от прожорливого и избыточного apache. Во-вторых, мы получаем фактически php-backend, поскольку php-fpm не вызывается динамически, а висит демоном постоянно. php-fpm контролирует выделение памяти и позволяет потенциально сократить расходы. Также это решение несколько ускоряет работу сервера за счет исключения затрат на запуск и выгрузку процессов php, если раньше вы использовали php-cgi/fcgi. По сравнению с php-cgi/fcgi php-fpm обеспечивает корректное завершение процессов по таймауту, и я стал гораздо реже получать 502-ошибку в логах.

Оригинал: http://linuxa.ru/blog/php-fpm-v-chroot-i-nekotorye-trudnosti

Библиотеки для повседневного использования

Anonymous (anonymous@undisclosed.example.com) — 2015-10-29T00:26:59+00:00

php, libs, libraries

Библиотеки для повседневного использования

Goutte

Goutte используется для скрапинга веб-сайтов и извлечения данных. Лицензия — MIT. Предоставляет обширный API для обхода сайтов/блогов и извлечения данных из HTML/XML.

https://github.com/FriendsOfPHP/Goutte

PHPGeo

PHPGeo — простая библиотека для измерения расстояния между двумя координатами с высокой точностью. Она использует формулу Гаверсинуса и Винсента для вычисления расстояния. Вы можете интегрировать ее с любым приложением, связанным с картами или местоположениями.

https://github.com/mjaschen/phpgeo

Geocoder

Если вы планируете разработать geo aware приложение, взгляните на Geocoder. Это расширяемая PHP-библиотека делится на 2 части: Provider и HttpAdapter. Она также предлагает дополнительный уровень абстракции для геокодирования.

http://geocoder-php.org/Geocoder/

Snappy

Snappy позволяет создавать снимки, миниатюры и PDF по URL или HTML страницы. Эта библиотека использует WebKit на основе wkhtmltoimage и wkhtmltopdf, доступна для Windows, OSX и Linux.

https://github.com/KnpLabs/snappy

Ratchet (websocket)

Ratchet — слабо связанная PHP библиотека, которая предлагает различные инструменты для разработки в режиме реального времени, двунаправленную связь приложения между сервером и клиентом через WebSockets. Есть много легкодоступных компонентов. Вы можете написать собственное приложение-чат за несколько минут.

http://socketo.me/

HTML Purifier

HTML Purifier — библиотека для фильтрации HTML, разработанная для удаления всего вредоносного кода. Может быть использована для защиты кода от XSS атак. Эта библиотека использует надежные белые списки, агрессивный разбор, и убеждается, что в результате разметка соответствует стандартам.

http://htmlpurifier.org/

Imagine

Imagine, это богатая объектно-ориентированная библиотека для работы с изображениями. Она может обрабатывать различные операции, такие как открытие, сохранение, создание, изменение размеров, водяные знаки, создать коллаж, делать отражение изображения и т.д. Система координат Imagine позволяет рисовать различные фигуры на изображениях. Класс для работы с цветом помогает создавать значения RGB для применения цветов к изображениям. Он также поддерживает слои и манипуляции для анимированных GIF.

http://imagine.readthedocs.org/en/latest/

URLify

A PHP port of URLify.js from the Django project. Handles symbols from Latin languages as well as Arabic, Azerbaijani, Czech, German, Greek, Latvian, Lithuanian, Polish, Romanian, Bulgarian, Russian, Serbian, Turkish, Ukrainian and Vietnamese. Symbols it cannot transliterate it will simply omit.

https://github.com/jbroadway/urlify

AsyncPHP

Библиотека для асинхронного запуска команд на php

https://github.com/asyncphp/doorman

OP Cache / Кеширование OP-кода

Anonymous (anonymous@undisclosed.example.com) — 2017-01-20T01:53:23+00:00

opcache, xcache, php, cache

OP Cache / Кеширование OP-кода

APC - умер

The Alternative PHP Cache[1] (APC) — бесплатный и открытый opcode кэшер для PHP. Он был задуман, как бесплатный, открытый и стабильный фреймворк для кэширования и оптимизации исходного кода PHP, также возможно кэширование пользовательских данных.

Поддерживает PHP4 и PHP5, включая 5.3 и 5.4.

https://github.com/addshore/apc-gui

APCU - без

https://github.com/krakjoe/apcu

OPCACHE - от PHP 5.5

Zend OPcache (ранее назывался "Zend Optimizer+") обеспечивает более быстрое выполнение PHP кода, посредством кэширования и оптимизации. Он улучшает PHP производительность, сохраняя скомпилированный байт-код в разделяемой памяти. Zend OPcache включен по умолчанию начиная с PHP 5.5.

Как расширение PECL поддерживался в версииях 5.2, 5.3 и 5.4.

Поддерживает PHP5, включая 5.6.

Zend OPcache

Реализация OpCache позволит обрабатывать больше запросов в секунду и возвращать ответ быстрее, чем без движка кэширования байт-кода. Так как OpCache довольно прост в установке и конфигурировании, вся настройка не займет у вас много времени.

Ссылки

XCache / Кеширование OP-кода

Anonymous (anonymous@undisclosed.example.com) — 2016-02-15T08:41:52+00:00

opcache, xcache, php, cache

XCache / Кеширование OP-кода

Поддерживает функции оптимизации скриптов, кэширование байт-кода в оперативную память, кэширование пользовательских данных в shared memory, простое профилирование работы скриптов. Имеет собственный GUI, наличие и использование которого, однако, не обязательно для функционирования пакета. Бесплатен. Автор всегда делал основной упор на "стабильность работы".

Поддерживает PHP4 и PHP5, включая 5.6

http://xcache.lighttpd.net/wiki/XcacheIni

https://en.wikipedia.org/wiki/List_of_PHP_accelerators

Настройка

; configuration for php Xcache module
 
[xcache-common]
;; non-Windows example:
extension = xcache.so
;; Windows example:
; extension = php_xcache.dll
 
[xcache.admin]
xcache.admin.enable_auth = On
; Configure this to use admin pages
xcache.admin.user = "xcache"
; password01
xcache.admin.pass = ""
;xcache.admin.pass = ""
 
[xcache]
; ini only settings, all the values here is default unless explained

; select low level shm implemenation
xcache.shm_scheme =        "mmap"
; to disable: xcache.size=0
; to enable : xcache.size=64M etc (any size > 0) and your system mmap allows
xcache.size  =               128M
; set to cpu count (cat /proc/cpuinfo |grep -c processor)
xcache.count =                 2
; just a hash hints, you can always store count(items) > slots
xcache.slots =                8K
; ttl of the cache item, 0=forever
xcache.ttl   =                 0
; interval of gc scanning expired items, 0=no scan, other values is in seconds
xcache.gc_interval =           0

; same as aboves but for variable cache
xcache.var_size  =            4M
xcache.var_count =             1
xcache.var_slots =            8K
; default value for $ttl parameter of xcache_*() functions
xcache.var_ttl   =             0
; hard limit ttl that cannot be exceed by xcache_*() functions. 0=unlimited
xcache.var_maxttl   =          0
xcache.var_gc_interval =     300

; mode:0, const string specified by xcache.var_namespace
; mode:1, $_SERVER[xcache.var_namespace]
; mode:2, uid or gid (specified by xcache.var_namespace)
xcache.var_namespace_mode =    0
xcache.var_namespace =        ""

; N/A for /dev/zero
xcache.readonly_protection = Off
; for *nix, xcache.mmap_path is a file path, not directory. (auto create/overwrite)
; Use something like "/tmp/xcache" instead of "/dev/*" if you want to turn on ReadonlyProtection
; different process group of php won't share the same /tmp/xcache
; for win32, xcache.mmap_path=anonymous map name, not file path
xcache.mmap_path =    "/dev/zero"

 
; Useful when XCache crash. leave it blank(disabled) or "/tmp/phpcore/" (writable by php)
xcache.coredump_directory =   ""
; Windows only. leave it as 0 (default) until you're told by XCache dev
xcache.coredump_type =         0

; disable cache after crash
xcache.disable_on_crash =    Off

; enable experimental documented features for each release if available
xcache.experimental =        Off

; per request settings. can ini_set, .htaccess etc
xcache.cacher =               On
xcache.stat   =               On
xcache.optimizer =           Off
 
[xcache.coverager]
; enabling this feature will impact performance
; enabled only if xcache.coverager == On && xcache.coveragedump_directory == "non-empty-value"

; per request settings. can ini_set, .htaccess etc
; enable coverage data collecting and xcache_coverager_start/stop/get/clean() functions
xcache.coverager =          Off
xcache.coverager_autostart =  On

; set in php ini file only
; make sure it's readable (open_basedir is checked) by coverage viewer script
xcache.coveragedump_directory = ""

Xcache админ панель

https://xcache.lighttpd.net/wiki/InstallAdministration

Библиотека знаний - system:php

php-fpm в chroot и некоторые трудности

php-fpm в chroot и некоторые трудности

php-fpm в chroot – для чего это нужно?

Какие возникают трудности при помещении php-fpm в chroot?

Проблема номер один

Проблема номер два

Проблема номер три

Проблема номер четыре

Проблема номер пять

Библиотеки для повседневного использования

Библиотеки для повседневного использования

Goutte

PHPGeo

Geocoder

Snappy

Ratchet (websocket)

HTML Purifier

Imagine

URLify

AsyncPHP

OP Cache / Кеширование OP-кода

OP Cache / Кеширование OP-кода

APC - умер

APCU - без

OPCACHE - от PHP 5.5

Zend OPcache

Ссылки

XCache / Кеширование OP-кода

XCache / Кеширование OP-кода

Настройка

Xcache админ панель

Статьи