Hi,

also bei mir läuft PHP5 auf Apache 2, und irgendwie hab ich's bei den
beiden noch nicht geschafft, dass ich bei Tipp-(etc.) Fehlern
irgendwelche Fehlermeldungen bekomme.

Es erscheint immer eine blütenweiße Seite, sodass der Fehler nur mit
Auskommentieren gefunden werden kann, was sehr mühsam ist.

Hab ich da vielleicht bei der httpd.conf was falsches eingestellt?
Früher (PHP4 + Apache 2) lief das immer OOTB. :-/

-Andreas

Andreas Eibach schrieb:
> Hi,
>
> also bei mir läuft PHP5 auf Apache 2, und irgendwie hab ich's bei den
> beiden noch nicht geschafft, dass ich bei Tipp-(etc.) Fehlern
> irgendwelche Fehlermeldungen bekomme.
>
> Es erscheint immer eine blütenweiße Seite, sodass der Fehler nur mit
> Auskommentieren gefunden werden kann, was sehr mühsam ist.
>
> Hab ich da vielleicht bei der httpd.conf was falsches eingestellt?
> Früher (PHP4 + Apache 2) lief das immer OOTB. :-/

Guck in dein phpinfo() was bei display_error und error_reporting()
steht. Dazu kann man die Fehlermeldung auch in ein Log schreiben lassen.

Gruss
Joerg


--
TakeNet GmbH, Geschaeftsfuehrer Wolfgang Meier
97080 Wuerzburg Tel: +49 931 903-2243
Alfred-Nobel-Straße 20 Fax: +49 931 903-3025
HRB Wuerzburg 6940 http://www.takenet.de

Joerg Behrens schrieb:
> Andreas Eibach schrieb:
>> Hab ich da vielleicht bei der httpd.conf was falsches eingestellt?
> Guck in dein phpinfo() was bei display_error und error_reporting()
> steht. Dazu kann man die Fehlermeldung auch in ein Log schreiben lassen.

Angemerkt sei hier, dass du diese Einstellungen in der php.ini (Pfad ist
auch über phpinfo() zu finden) vornehmen musst.


Gruß,
Habbo

Jan Habbo Brüning wrote:

> Angemerkt sei hier, dass du diese Einstellungen in der php.ini (Pfad ist
> auch über phpinfo() zu finden) vornehmen musst.

Warum soll Jörg das nicht wissen sollen?

MfG, Ulf

Andreas Eibach schrieb:
> Hi,
>
> also bei mir läuft PHP5 auf Apache 2, und irgendwie hab ich's bei den
> beiden noch nicht geschafft, dass ich bei Tipp-(etc.) Fehlern
> irgendwelche Fehlermeldungen bekomme.
>
> Es erscheint immer eine blütenweiße Seite, sodass der Fehler nur mit
> Auskommentieren gefunden werden kann, was sehr mühsam ist.
>
> Hab ich da vielleicht bei der httpd.conf was falsches eingestellt?
> Früher (PHP4 + Apache 2) lief das immer OOTB. :-/
>
> -Andreas

Guck halt einfach ins Apache log!
Dort findest du auch so schöne Dinge wie segfaults, wo du via Webbrowser
sowieso nix mehr von siehst ausser ner blank page:-)


Gruß Stefan

"Joerg Behrens" <behrens [at] takenet.de> wrote:
>> Es erscheint immer eine blütenweiße Seite, sodass der Fehler nur mit
>> Auskommentieren gefunden werden kann, was sehr mühsam ist.
> Guck in dein phpinfo() was bei display_error und error_reporting()
> steht. Dazu kann man die Fehlermeldung auch in ein Log schreiben
> lassen.

AUTSCH.
Also das muss was neues sein, da bin ich mir sicher.
Da musste ich nie was rumstellen.
Womöglich wurde irgendwann der Default-Wert geändert.

; Print out errors (as a part of the output). For production web sites,
; you're strongly encouraged to turn this feature off, and use error
logging
; instead (see below). Keeping display_errors enabled on a production
web site
; may reveal security information to end users, such as file paths on
your Web
; server, your database schema or other information.

BIN ICH FROH, dass auch auf produktiven Servern im öffentlichen
Internetbereich diese Option meist auf On steht. Habt ihr ne Ahnung, was
ich schon an Mails geschrieben hab "da kommt folgender Fehler: ... bitte
beheben".
Mit ner weißen Seite werden sie's nie erfahren, weil ich gar keinen
PHP-Fehler vermuten muss, sondern es könnte auch ein x-beliebiger sein.
Security und Paranoia liegen IMHO immer eng beieinander. ;P

Danke, jetzt funkt's.

-Andreas

Hallo, Stefan,

Du (sbraumi) meintest am 09.08.07:

>> Es erscheint immer eine blütenweiße Seite, sodass der Fehler nur mit
>> Auskommentieren gefunden werden kann, was sehr mühsam ist.

> Guck halt einfach ins Apache log!

Etwas pingeliger: ins "error_log" oder "error.log" (die Schreibweise
kann ein wenig differieren). Vermutlich in "/var/log/apache" oder "/var/
log/httpd".

Viele Gruesse!
Helmut

Andreas Eibach wrote:

> BIN ICH FROH, dass auch auf produktiven Servern im öffentlichen
> Internetbereich diese Option meist auf On steht.

display_errors=On auf Produktiven Servern? Das ist ein schwerer Fehler!
Dort logt man Fehler und reibt diese nicht unbedarften Nutzern unter die
Nase.

> ich schon an Mails geschrieben hab "da kommt folgender Fehler: ... bitte
> beheben".

Das ist fuer ordentlich aufgebaut Webanwendungen nicht nötig. Das sollte
der Admin automatisch aus dem entsprechenden Error-Log erfahren, das er
regelmaeßig checkt.

PHP-Fehlermeldungen die der User zu gesicht bekommt zeigen nur das das
System falsch aufgebaut wurde. Der User bekommt nur allgemiene Infos mit
denen er nicht auf irgendwelche systembezogene Informationen schließen kann.

MfG, Ulf

Helmut Hullen schrieb:
> Hallo, Stefan,
>
> Du (sbraumi) meintest am 09.08.07:
>
>>> Es erscheint immer eine blütenweiße Seite, sodass der Fehler nur mit
>>> Auskommentieren gefunden werden kann, was sehr mühsam ist.
>
>> Guck halt einfach ins Apache log!
>
> Etwas pingeliger: ins "error_log" oder "error.log" (die Schreibweise
> kann ein wenig differieren). Vermutlich in "/var/log/apache" oder "/var/
> log/httpd".
>
> Viele Gruesse!
> Helmut
>
Hehehe, bei dir wusste ich, dass du einen Linuxrechner hast.
Er hat aber nicht geschrieben, ob er Windows oder Linux nutzt:-)

Gruß Stefan

Ulf Kadner schrieb:
> Warum soll Jörg das nicht wissen sollen?

Davon gehe ich gar nicht aus. Aber der OP fragte nach Einstellungen in
der httpd.conf und Jörgs Antwort bezieht sich wohl eher nicht darauf.
Ich wollte in diesem Sinne nur ein Zeit vergeudendes Missverständnis
verhindern.


Gruß,
Habbo

Jan Habbo Brüning wrote:

> Davon gehe ich gar nicht aus. Aber der OP fragte nach Einstellungen in
> der httpd.conf und Jörgs Antwort bezieht sich wohl eher nicht darauf.
> Ich wollte in diesem Sinne nur ein Zeit vergeudendes Missverständnis
> verhindern.

Aha. Du antwortest auf Jörgs Posting mit der Anrede "Du" und willst
damit nicht Jörg ansprechen? Das muste mir mal genauer erklären... :-)

MfG, Ulf

Ulf Kadner schrieb:
> Aha. Du antwortest auf Jörgs Posting mit der Anrede "Du" und willst
> damit nicht Jörg ansprechen? Das muste mir mal genauer erklären... :-)

Dafür hatte ich meinen Kommentar extra als "Anmerkung" gekennzeichnet.
Wenn das zu Missverständnissen führte, ist das natürlich mein Fauxpas ... :)


Gruß,
Habbo

"Ulf Kadner" <dr_logic [at] gmx.net> wrote:
> Andreas Eibach wrote:
>
>> BIN ICH FROH, dass auch auf produktiven Servern im öffentlichen
>> Internetbereich diese Option meist auf On steht.
>
> display_errors=On auf Produktiven Servern? Das ist ein schwerer
> Fehler!

Im Corporate-Bereich schon. Sprach jetzt aber von irgendwelchen
x-beliebigen public sites.

> Dort logt man Fehler und reibt diese nicht unbedarften Nutzern unter
> die Nase.

Genau da liegt der Hase im Pfeffer.
Die Admins der nicht ganz so hochgezüchteten Seiten lesen leider nicht
immer die Logs wie man erwarten würde. Und würden mir dann ein
blütenweißes Fenster präsentieren, ohne dass ich irgendeine Ahnung habe,
was da schieflief - und auch nichts berichten kann.

> Das ist fuer ordentlich aufgebaut Webanwendungen nicht nötig. Das
> sollte der Admin automatisch aus dem entsprechenden Error-Log
> erfahren, das er regelmaeßig checkt.

S. o. ;)

-Andreas

"Stefan Braumeister" <sbraumi [at] gmx.net> wrote:
> Hehehe, bei dir wusste ich, dass du einen Linuxrechner hast.
> Er hat aber nicht geschrieben, ob er Windows oder Linux nutzt:-)

In diesem Fall unerheblich; ich wäre dann schon in der Lage, /var....
auf Windows-Pfade zu abstrahieren. ;)

-Andreas

..oO(Andreas Eibach)

>"Ulf Kadner" <dr_logic [at] gmx.net> wrote:
>> Andreas Eibach wrote:
>>
>>> BIN ICH FROH, dass auch auf produktiven Servern im öffentlichen
>>> Internetbereich diese Option meist auf On steht.
>>
>> display_errors=On auf Produktiven Servern? Das ist ein schwerer
>> Fehler!
>
>Im Corporate-Bereich schon. Sprach jetzt aber von irgendwelchen
>x-beliebigen public sites.

Auch dort ist es ein schwerer Fehler. Solche System-Fehlermeldungen
können einem Angreifer genügend Informationen für einen Einbruch in den
Server liefern. Insbesondere Datenbank-Fehlermeldungen liefern oftmals
äußerst sensible Informationen, welche man niemals einem Außenstehenden
zeigen würde/sollte.

Micha

Am Thu, 09 Aug 2007 13:52:17 +0200 schrieb Ulf Kadner:

> Andreas Eibach wrote:
>
>> BIN ICH FROH, dass auch auf produktiven Servern im öffentlichen
>> Internetbereich diese Option meist auf On steht.
>
> display_errors=On auf Produktiven Servern? Das ist ein schwerer Fehler!
> Dort logt man Fehler und reibt diese nicht unbedarften Nutzern unter die
> Nase.

Viel schlimmer ist, daß die Meldungen nicht nur an unbedarfte gelangen,
sondern auch an die Könner und Woller, die dann mal fix aus den damit in
Erfahrung gebrachten Daten (zB durchgereichte SQL Fehlermeldung) die ein
oder andere Injection starten um sich selbst Admin rechte zu erteilen

MfG
Norbert