Ubuntu 10.04 php version da 5.3 a 5.2

L’ultima versione LTS del sistema operativo in uso in azienda prevede nei repository ufficiale l’uso del php versione 5.3.
Purtroppo, in azienda abbiamo dei software che hanno bisogno ancora della versione del php 5.2.

Ecco una rapida soluzione per forzare l’installazione del php dalla 5.3 alla 5.2 utilizzando i reposittory di Karmic :

[sourcecode language=”bash”]
#!/bin/sh

# Script to install PHP 5.2 from 9.10 on 10.04
# And pin it so it does not get updated

PKGS=`dpkg -l | grep php | awk ‘{print $2}’`

apt-get remove $PKGS

sed s/lucid/karmic/g /etc/apt/sources.list |
tee /etc/apt/sources.list.d/karmic.list

mkdir -p /etc/apt/preferences.d/

for PACKAGE in $PKGS
do
echo "Package: $PACKAGE
Pin: release a=karmic
Pin-Priority: 991
" | tee -a /etc/apt/preferences.d/php
done

apt-get update

apt-get install $PKGS
[/sourcecode]

WhatWeb

WhatWeb è uno strumento per la riga di comando che serve a prendere in brevissimo tempo molte informazioni sull’host interessato.

Gli elementi monitorabili spaziano da semplici aspetti come il server Web fino ad arrivare a quale versione del CMS o quale strumento Javascript di uso comune viene rilevato.
Un utile strumento per verificare quali informazioni esponiamo all’esterno.

L’output del comando è per gli amanti della shell: ecco un esempio :

Vediamo come installarlo su ubuntu e provarlo su qualche sito.
La prima cosa da fare, è scarica il pacchetto da qui
Ed installiamo le librerie :

[sourcecode language=”text”]
tar xvfz what*
cd ./wh*
sudo apt-get install ruby
sudo apt-get install libxslt-ruby
sudo apt-get install libxslt1-dev
sudo apt-get install rubygems
sudo apt-get install libopenssl-ruby
sudo apt-get install ruby1.8-dev
sudo gem install anemone

[/sourcecode]

Nascondi informazioni sulla versione Apache e sulla versione PHP

Di default Apache manda la propria versione di build ed informaizoni riguardanti i moduli installati (es: mod_php, mod_perl, mod_ssl) in ogni header http.

[sourcecode language=”text”]
telnet www.example.com 80
Trying www.example.com.com…
Connected to www.example.com.
Escape character is ‘^]’.
HEAD / HTTP/1.0 <- <strong>Premi Enter un paio di volte</strong>

HTTP/1.1 200 OK
Date: Fri, 09 Jan 2007 18:18:26 GMT
Server: Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.12 with Suhosin-Patch
Connection: close
Content-Type: text/html; charset=UTF-8

Connection closed by foreign host.
[/sourcecode]

In questo esempio si vede come con un semplice telnet ho scoperto che sistema operativo ho, quale versione del php installata e quale versione di Apache, e questo non è una buona cosa dal punto di vista della sicurezza.

Cosa faccio per disabilitarlo ?

Per disabiltiare l’invio di queste informazioni bisogna cambiare due direttive all’interno del file di configurazione di Apache :

/etc/apache2/apache2.conf
[sourcecode language=”text”]
ServerTokens Prod
ServerSignature Off
[/sourcecode]

e procedere ad un reload di Apache.
Occhio RELOAD… non RESTART.

Dopo questo passaggio l’output sarà :

[sourcecode language=”text”]
HTTP/1.1 200 OK
Date: Thu, 13 Jan 2011 10:31:08 GMT
<strong>Server: Apache</strong>
Last-Modified: Tue, 18 May 2010 13:19:39 GMT
ETag: "2b4052-57d-486de318c90c0"
Accept-Ranges: bytes
Content-Length: 1405
Vary: Accept-Encoding
Connection: close
Content-Type: text/html
[/sourcecode]