Forum

Bonjour,

Je me suis fais un petit serveur LAMP, avec également phpmyadmin et webmin. Je voudrais configurer Apapche et PHP afin qu'il ne montrent pas leur version et pour sécuriser un peu le tout, mais je trouve divers fichiers pour faire cela, et je ne sais pas lequel modifier.
j'ai des fichiers dans /etc, également dans /etc/httpd.

Si quelque s'y connait en config / sécu LAMP, merci d'avance,
Très cordialement,

ANDRE Ani

Salut,

Déjà, 1° ne pas utiliser phpmyadmin (ou le limiter à son réseau privé)



Pour la partie httpS et un peu de sécurisation, j'étais en train de réfléchir à faire un tuto. (J'ai des infos sur le comment faire sur Debian, je vais adapter pour Mageia)

Merci

Ok dac, merci du conseil. Mais... le code, je le met dans quel fichier, j'avoue être un peu perdu entre les différents fichiers de conf (et sur le net je ne trouve pas grand chose qui corresponde à Mageia).

Pour php, j'ai un fichier /etc/php.ini et /etc/php-cgi-fcgi.ini, et je ne sais pas lequel modifier pour la config de php.
Et peut-être qu'il y a d'autres fichiers encore je ne sais pas...

Peut être pourrais-je t'aider pour le tuto, ça m'intéresse. Dis moi si je peux faire quelque chose.

Édité par ANDRE_Ani Le 30/11/2012 à 08h22

Salut,

la configuration pour phpmyadmin, c'est dans ce fichier:

/etc/httpd/conf/webapps.d/phpmyadmin.conf

Par défaut, je vois que seul 127.0.0.1 (soit la machine sur laquelle est installée phpmyadmin) à accès à l'outil.

Pour le tuto, j'ai plein de fichiers texte sur mon PC un peu partout, je vais donc centraliser ça, et en rédiger un tuto.

Merci

Ok merci bien.
Si je peux aider, se serait volontiers, n'hésites pas

Salut,







tu développes ?

Salut,

c'est simple, si tu laisses accessible phmyadmin à tout public, les robots vont se faire plaisir. S'ils trouvent le mot de passe jackpot, c'est pas bien

La personne malveillante peut supprimer des choses en base de données, ou la blinder jusqu'à faire exploser ta capacité disque.

Merci

je crois pas non! comment laisse tu phpmyadmin à "tout public" ? les robots vont donc hacker ton phpmyadmin, sans faille, sans connaitre le chemin de celui ci ? (configuration apache) en quoi phpmyadmin serait il moins costaud que un cms ? Comment gère tu ta base sur un serveur distant ? tous par ssh ? que dire alors de webmin ou plesk(qui lui utilise phpmyadmin) ?







Valable pour tout code/site/cms qui existent, que ce soit a cause d'une faille (injection sql, upload, $_GET ou $_POST, etc....), après si ton mot de passe est digne de ce nom, et que le site/cms est à jour, ça risque pas plus que autres choses.



De plus tu peux bloquer le dossier phpmyadmin avec un .htaccess bien configurer pour éviter les failles de sécurité. ,le renommer aussi, destadminphpdédé, ne pas le lier au nom de domaine mais àl'ip -> conf apache.

PaLmAs, tu a l'air de t'y connaître. Connaitrais-tu par hasard le fichier de conf sur Mageia pour PHP ?
Je voudrais sécuriser un peu lamp, mais je ne sais pas trop dans quel fichier faire les modifs.

Merci d'avance,
Très cordialement,

ANDRE Ani

Salut,

le fichier de conf de php est /etc/php.ini

Après, pour éviter les injections SQL ou tout autres tentatives de piratage via des URL truquées, tu peux installer mod_security via

Merci Adrien.D. J'ai un autre fichier avec les même choses dedans et donc je ne savais pas lequel modifier.
Et pour la doc, sur le net, si on a pas ubuntu, c'est galère de trouver quelque chose.

Bonjour,

Je n'arrive pas à avoir l'url rewriting. J'ai installé wordpress et mis une url personnalisée.
Dans httpd.conf, j'ai bien cette ligne :


Et dans apache, le module est chargé semble-t-il :



Mais l'url rewriting ne fonctionne pas, j'ai que des 404...
Qu'ais-je oublié svp ?

Merci d'avance,
Très crdialement,

ANDRE Ani

Hello,



Tu peux modifier la valeur "ServerTokens" de "Full" à "Prod"

dans /etc/httpd/conf/httpd.conf (qui est le fichier de conf principal de Apache sous Mageia).

Oui, merci, c'est fait. Je savais quoi faire mais pas dans quel fichier le faire, car j'ai aussi un :
php-cgi-fcgi.ini
Et du coup je ne savais pas lequel modifier, mais c'est bon, j'ai modifié php.ini.

Maintenant, j'essaye d'activer l'url rewriting, l'envoie de mail (avec ssmtp) et ensuite voir mod-securiy.

Bon, sa avance

L'URL rewriting marche. Il faut mettre AllowOverride à All dans http.conf. Il semble que mon soucis venait de là.

Les mails de wordpress marche aussi finalement. J'ai du changer de compte mail (dans ssmtp) tout simplement.

Maintenant, je vais voir pour le mod_security. Il semble être chargé car j'ai security_module (shared) qui apparait en vérifiant avec apachectl. Et dans /etc/httpd/modules.d j'ai 82_mod_security.conf.
Alors plus qu'à regarder la config de ce truc la