提升PHP安全:8个必须修改的PHP默认配置


Posted in Javascript onNovember 17, 2014

很明显,PHP+Mysql+Apache是很流行的web技术,这个组合功能强大,可扩展性强,还是免费的。然而,PHP的默认设置对已经上线的网站不是那么适合。下面通过修改默认的配置文件加强PHP的安全策略!

0x01:禁用远程url文件处理功能

像fopen的文件处理函数,接受文件的rul参数(例如:fopen('http://www.yoursite.com','r')).),这个功能可以很轻松的访问远程资源,然而,这是一个很重要的安全威胁,禁用这个功能来限制file function是个不错的选择,在php.ini文件中做如下修改:

allow_url_fopen = Off

0x02:禁用注册全局变量

php在4.2.0以前的版本中,用全局变量作为输入,这个功能叫做register_globals,在web应用中它引起了很多安全问题,因为它允许攻击者在一些情况下很容易的操作全局变量,幸运的是在4.2.0这个功能默认被禁用,它非常的危险,无论在什么情况下都要禁用这个功能。如果某些脚本需要这个功能,那么这个脚本就存在潜在的安全威胁。修改pnp.ini来禁用这个功能:

register_globals = Off

0x03:限制php的读写操作

在很多web开发的过程中,php脚本需要向本地文件系统进行读写操作,比如/var/www/htdocs/files,为了加强安全,你可以修改本地文件的读写权限:

open_basedir = /var/www/htdocs/files

0x04:Posing Limit

限制PHP的执行时间、内存使用量、post和upload的数据是最好的策略,可以做如下的配置:

max_execution_time = 30  ; Max script execution time

max_input_time = 60      ; Max time spent parsing input

memory_limit = 16M       ; Max memory used by one script

upload_max_filesize = 2M ; Max upload file size

post_max_size = 8M       ; Max post size

0x05:禁用错误消息和启用日志功能

在默认设置中,php会向浏览器输出错误消息,在应用程序的开发过程中,这个默认设置是最合理的配置,然而,它也可以向用户泄漏一些安全信息,例如安装路径和用户名。在已经开发完成的网站中,最好禁用错误消息然后把错误消息输出到日志文件中。

display_errors = Off

log_errors = On

0x06:隐藏PHP文件

 如果没有隐藏PHP文件,我们可以通过多种方法获取服务器PHP的版本,例如使用:http://www.example.com/script.php?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000

显然,我们不希望用户可以直接获取你网站服务器的PHP版本,幸运的是,在php.ini中有个开关可以禁用这个功能:

expose_php = Off

0x07:安全模式配置

在默认的情况下,php可以配置为安全模式,在这种模式下,Apache禁止访问文件、环境变量和二进制程序,在安全模式下,存在的最大问题就是只有文件的所有者才能访问这写PHP文件,如果有很多开发者共同开发这个程序,这样的设置就不切实际,当你需要访问一个PHP文件时就需要修改这个文件的所有者,另外一个问题就是其它程序也不能访问这些PHP文件,下面的配置就可以修改文件的的权限为用户组而不是单个用户。

safe_mode = Off

safe_mode_gid = On

通过启用safe_mode_gid,能够使用Apache的这个群组就能够访问PHP文件。安全模式对阻止二进制文件的执行也非常有效,然而,开发者却希望在某些特定情形下能够运行一些二进制文件。在这些特殊的情形下,可以将二进制文件放进一个目录中,比如(/var/www/binaries),可以做如下设置:

safe_mode_exec_dir = /var/www/binaries

最后,通过下面的设置,可以访问服务器的环境变量,提供一个以”_“分割的前缀,这样只能访问具有规定前缀的环境变量:

safe_mode_allowed_env_vars = PHP_

0x08:限制公共用户对具有特定后缀名的文件的访问

由于安全的原因,很多具有特定后缀名的文件不能被公共用户所访问,比如.inc后缀的文件,里面包含了一些敏感的信息,比如mysql连接信息,如果没有适当的配置,那么每个用户都能访问这个配置文件,为了加强网站的安全,你需要在. .htaccess文件进行如下的配置:

<filesmatch>

  Order allow,deny

  Deny from all

</filesmatch>

0x09:总结

PHP的默认配置是面向开发者的,如果网站面向广大的用户,建议重新配置PHP。

Javascript 相关文章推荐
关于javascript中的parseInt使用技巧
Sep 03 Javascript
js confirm()方法的使用方法实例
Jul 13 Javascript
jquery cookie的用法总结
Nov 18 Javascript
Javascript小技巧之生成html元素
May 15 Javascript
基于jQuery和CSS3制作响应式水平时间轴附源码下载
Dec 20 Javascript
JavaScript中的this,call,apply使用及区别详解
Jan 29 Javascript
谈谈target=_new和_blank的不同之处
Oct 25 Javascript
JavaScript定时器setTimeout()和setInterval()详解
Aug 18 Javascript
js 中rewrap-ajax.js插件实例代码
Oct 20 Javascript
Node 升级到最新稳定版的方法分享
May 17 Javascript
在layer弹层layer.prompt中,修改placeholder的实现方法
Sep 27 Javascript
JS实现密码框效果
Sep 10 Javascript
详解Javascript 装载和执行
Nov 17 #Javascript
jQuery带箭头提示框tooltips插件集锦
Nov 17 #Javascript
JavaScript实现的内存数据库LokiJS介绍和入门实例
Nov 17 #Javascript
浅谈jQuery异步对象(XMLHttpRequest)
Nov 17 #Javascript
node.js中watch机制详解
Nov 17 #Javascript
z-blog SyntaxHighlighter 长代码无法换行解决办法(jquery)
Nov 16 #Javascript
js构造函数、索引数组和属性的实现方式和使用
Nov 16 #Javascript
You might like
PHP4在Windows2000下的安装
2006/10/09 PHP
mysql建立外键
2006/11/25 PHP
Linux下CoreSeek及PHP扩展模块的安装
2012/09/23 PHP
PHP使用PHPMailer发送邮件的简单使用方法
2013/11/12 PHP
PHP中trim()函数简单使用指南
2015/04/16 PHP
php数组合并与拆分实例分析
2015/06/12 PHP
CI(CodeIgniter)模型用法实例分析
2016/01/20 PHP
PHP常用排序算法实例小结【基本排序,冒泡排序,快速排序,插入排序】
2017/02/07 PHP
laravel如何开启跨域功能示例详解
2017/08/31 PHP
Gambit vs ForZe BO3 第二场 2.13
2021/03/10 DOTA
document 和 document.all 分别什么时候用
2006/06/22 Javascript
JavaScript中的substr()方法使用详解
2015/06/06 Javascript
Jquery1.9.1源码分析系列(六)延时对象应用之jQuery.ready
2015/11/24 Javascript
8 行 Node.js 代码实现代理服务器
2016/12/05 Javascript
初探nodeJS
2017/01/24 NodeJs
jQuery插件ContextMenu自定义图标
2017/03/15 Javascript
Webpack性能优化 DLL 用法详解
2017/08/10 Javascript
原生js实现放大镜组件
2021/01/22 Javascript
[01:00:30]TFT vs VGJ.T Supermajor 败者组 BO3 第一场 6.5
2018/06/06 DOTA
Python编程实现两个文件夹里文件的对比功能示例【包含内容的对比】
2017/06/20 Python
详解Python中的分组函数groupby和itertools)
2018/07/11 Python
python检测文件夹变化,并拷贝有更新的文件到对应目录的方法
2018/10/17 Python
python3 Scrapy爬虫框架ip代理配置的方法
2020/01/17 Python
python with (as)语句实例详解
2020/02/04 Python
matplotlib 对坐标的控制,加图例注释的操作
2020/04/17 Python
HTML5 Web 存储详解
2016/09/16 HTML / CSS
英国最大的在线蜡烛商店:Candles Direct
2019/03/26 全球购物
采购内勤岗位职责
2013/12/10 职场文书
合同专员岗位职责
2013/12/18 职场文书
幼儿园实习生辞职信
2014/01/20 职场文书
审计局班子四风对照检查材料思想汇报
2014/10/07 职场文书
感恩母亲节活动总结
2015/02/10 职场文书
大学生入党群众意见书
2015/06/02 职场文书
关于党风廉政建设宣传教育月的活动总结!
2019/08/08 职场文书
Java面试题冲刺第十八天--Spring框架3
2021/08/07 面试题
springmvc直接不经过controller访问WEB-INF中的页面问题
2022/02/24 Java/Android