提升PHP安全:8个必须修改的PHP默认配置


Posted in Javascript onNovember 17, 2014

很明显,PHP+Mysql+Apache是很流行的web技术,这个组合功能强大,可扩展性强,还是免费的。然而,PHP的默认设置对已经上线的网站不是那么适合。下面通过修改默认的配置文件加强PHP的安全策略!

0x01:禁用远程url文件处理功能

像fopen的文件处理函数,接受文件的rul参数(例如:fopen('http://www.yoursite.com','r')).),这个功能可以很轻松的访问远程资源,然而,这是一个很重要的安全威胁,禁用这个功能来限制file function是个不错的选择,在php.ini文件中做如下修改:

allow_url_fopen = Off

0x02:禁用注册全局变量

php在4.2.0以前的版本中,用全局变量作为输入,这个功能叫做register_globals,在web应用中它引起了很多安全问题,因为它允许攻击者在一些情况下很容易的操作全局变量,幸运的是在4.2.0这个功能默认被禁用,它非常的危险,无论在什么情况下都要禁用这个功能。如果某些脚本需要这个功能,那么这个脚本就存在潜在的安全威胁。修改pnp.ini来禁用这个功能:

register_globals = Off

0x03:限制php的读写操作

在很多web开发的过程中,php脚本需要向本地文件系统进行读写操作,比如/var/www/htdocs/files,为了加强安全,你可以修改本地文件的读写权限:

open_basedir = /var/www/htdocs/files

0x04:Posing Limit

限制PHP的执行时间、内存使用量、post和upload的数据是最好的策略,可以做如下的配置:

max_execution_time = 30  ; Max script execution time

max_input_time = 60      ; Max time spent parsing input

memory_limit = 16M       ; Max memory used by one script

upload_max_filesize = 2M ; Max upload file size

post_max_size = 8M       ; Max post size

0x05:禁用错误消息和启用日志功能

在默认设置中,php会向浏览器输出错误消息,在应用程序的开发过程中,这个默认设置是最合理的配置,然而,它也可以向用户泄漏一些安全信息,例如安装路径和用户名。在已经开发完成的网站中,最好禁用错误消息然后把错误消息输出到日志文件中。

display_errors = Off

log_errors = On

0x06:隐藏PHP文件

 如果没有隐藏PHP文件,我们可以通过多种方法获取服务器PHP的版本,例如使用:http://www.example.com/script.php?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000

显然,我们不希望用户可以直接获取你网站服务器的PHP版本,幸运的是,在php.ini中有个开关可以禁用这个功能:

expose_php = Off

0x07:安全模式配置

在默认的情况下,php可以配置为安全模式,在这种模式下,Apache禁止访问文件、环境变量和二进制程序,在安全模式下,存在的最大问题就是只有文件的所有者才能访问这写PHP文件,如果有很多开发者共同开发这个程序,这样的设置就不切实际,当你需要访问一个PHP文件时就需要修改这个文件的所有者,另外一个问题就是其它程序也不能访问这些PHP文件,下面的配置就可以修改文件的的权限为用户组而不是单个用户。

safe_mode = Off

safe_mode_gid = On

通过启用safe_mode_gid,能够使用Apache的这个群组就能够访问PHP文件。安全模式对阻止二进制文件的执行也非常有效,然而,开发者却希望在某些特定情形下能够运行一些二进制文件。在这些特殊的情形下,可以将二进制文件放进一个目录中,比如(/var/www/binaries),可以做如下设置:

safe_mode_exec_dir = /var/www/binaries

最后,通过下面的设置,可以访问服务器的环境变量,提供一个以”_“分割的前缀,这样只能访问具有规定前缀的环境变量:

safe_mode_allowed_env_vars = PHP_

0x08:限制公共用户对具有特定后缀名的文件的访问

由于安全的原因,很多具有特定后缀名的文件不能被公共用户所访问,比如.inc后缀的文件,里面包含了一些敏感的信息,比如mysql连接信息,如果没有适当的配置,那么每个用户都能访问这个配置文件,为了加强网站的安全,你需要在. .htaccess文件进行如下的配置:

<filesmatch>

  Order allow,deny

  Deny from all

</filesmatch>

0x09:总结

PHP的默认配置是面向开发者的,如果网站面向广大的用户,建议重新配置PHP。

Javascript 相关文章推荐
JavaScript 异步调用框架 (Part 2 - 用例设计)
Aug 03 Javascript
Jquery getJSON方法详细分析
Dec 26 Javascript
js中this的用法实例分析
Jan 10 Javascript
js初始化验证实例详解
Nov 26 Javascript
Angularjs 事件指令详细整理
Jul 27 Javascript
js数组实现权重概率分配
Sep 12 Javascript
详解在vue-cli中使用路由
Sep 25 Javascript
微信小程序使用swiper组件实现层叠轮播图
Nov 04 Javascript
React手稿之 React-Saga的详解
Nov 12 Javascript
微信小程序使用map组件实现解析经纬度功能示例
Jan 22 Javascript
利用vue重构有赞商城的思路以及总结整理
Feb 21 Javascript
详解ES6新增字符串扩张方法includes()、startsWith()、endsWith()
May 12 Javascript
详解Javascript 装载和执行
Nov 17 #Javascript
jQuery带箭头提示框tooltips插件集锦
Nov 17 #Javascript
JavaScript实现的内存数据库LokiJS介绍和入门实例
Nov 17 #Javascript
浅谈jQuery异步对象(XMLHttpRequest)
Nov 17 #Javascript
node.js中watch机制详解
Nov 17 #Javascript
z-blog SyntaxHighlighter 长代码无法换行解决办法(jquery)
Nov 16 #Javascript
js构造函数、索引数组和属性的实现方式和使用
Nov 16 #Javascript
You might like
一些被忽视的PHP函数(简单整理)
2010/04/30 PHP
php常用正则函数实例小结
2016/12/29 PHP
JSON 学习之JSON in JavaScript详细使用说明
2010/02/23 Javascript
js实现下拉框选择要显示图片的方法
2015/02/16 Javascript
javascript 应用小技巧方法汇总
2015/07/05 Javascript
jQuery实现HTML表格单元格的合并功能
2016/04/06 Javascript
TinyMCE汉化及本地上传图片功能实例详解
2016/05/31 Javascript
vue 如何添加全局函数或全局变量以及单页面的title设置总结
2017/06/01 Javascript
Javascript实现时间倒计时效果
2017/07/15 Javascript
Vue2.0 http请求以及loading展示实例
2018/03/06 Javascript
解决vue单页面应用打包后相对路径、绝对路径相关问题
2020/08/14 Javascript
Vue 使用typescript如何优雅的调用swagger API
2020/09/01 Javascript
使用python实现strcmp函数功能示例
2014/03/25 Python
Python实现破解猜数游戏算法示例
2017/09/25 Python
Python设计模式之外观模式实例详解
2019/01/17 Python
详解Python读取yaml文件多层菜单
2019/03/23 Python
Python自定义一个异常类的方法
2019/06/27 Python
python 随机森林算法及其优化详解
2019/07/11 Python
Python3 filecmp模块测试比较文件原理解析
2020/03/23 Python
Python计算信息熵实例
2020/06/18 Python
Python 处理日期时间的Arrow库使用
2020/08/18 Python
HTML5+CSS3实现无插件拖拽上传图片(支持预览与批量)
2017/01/05 HTML / CSS
Android面试题附答案
2014/12/08 面试题
奥巴马英文演讲稿
2014/05/15 职场文书
货物运输服务质量承诺书
2014/05/29 职场文书
企业党的群众路线教育实践活动学习心得体会
2014/10/31 职场文书
干部考察材料范文
2014/12/24 职场文书
先进党支部事迹材料
2014/12/24 职场文书
交通事故和解协议书
2015/01/27 职场文书
检讨书格式范文
2015/05/07 职场文书
公司催款律师函
2015/05/27 职场文书
电影小兵张嘎观后感
2015/06/03 职场文书
运动会广播稿200字
2015/08/19 职场文书
基于Redis zSet实现滑动窗口对短信进行防刷限流的问题
2022/02/12 Redis
java开发双人五子棋游戏
2022/05/06 Java/Android
el-form每行显示两列底部按钮居中效果的实现
2022/08/05 HTML / CSS