Fonctions PHP à bloquer

[CyberSee]

Salut, j"aimerais avoir votre avis sur les fonctions à bloquer sous PHP. J'ai télécharger 3 shell script pour voire comment elles fonctionnent et je suis venu à la conclusion que les fonction suivantes devrait être bloquer.

curl_exec,curl_multi_exec,parse_ini_file, dl, show_source, shell_exec, passthru, phpinfo, popen, proc_open, allow_url_fopen, symlink, escapeshellarg, escapeshellcmd, system, exec, passthru, php_uname, posix_getpwuid, posix_getgrgid, posix_mkfifo, pg_lo_import, dbmopen, dbase_open, pcntl_exec, apache_child_terminate, apache_setenv, define_syslog_variables, posix_kill, posix_setpgid, posix_setsid, posix_setuid,posix_uname, proc_close, pclose, proc_nice, proc_terminate

En connaissez vous d'autre qui pourrais nuire?

"Je sais que c'est facile a contourner comme limitation ... mais je trouve ça quand même important d'avoir un php.ini le mieux configurer possible."

[gruik]

pcntl_exec, les backticks aussi (je sais pas si c'est restreignable (restrictible ?)), plus globalement toutes les fonctions tierce-parties susceptibles de bypass open_basedir, d'écrire sur le filesystem, de causer sur le reseau (je pense par exemple à toutes les commandes ftp_*) ou d'executer du code
en fait à bien y réfléchir y'a sans doute plus interet à ne pas chercher une approche exhaustive pour disable_function, ou alors à changer de langage...

[InstinctHack]

regarde sur internet, il y a moyen de désactiver des pans entier des fonctions via une directive (oublié le nom :$ )

[WizOut]

Voilà pour ma part tous ce que j'ai bloqué ...

"pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal, pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,exec,shell-exec,system,passthru,putenv,popen,escapeshellarg,escapeshellcmd,proc_close,proc_get_status,proc_nice,proc_open,proc_terminate,ini_set,parse_ini_file,show_source,xmlrpc_entity_decode,posix_uname,posix_setuid,posix_setsid,posix_setpgid,ini_get,ini_get_all,ini_restore,apache_child_terminate,apache_setenv,define_syslog_variables,eval,ftp_exec,ftp_get,mysql_pconnect,highlight_file,shell_exec,chmod,readdir"

[Knight]

Je pense que la fonction chmod permet de faire pas mal de choses aux BH