Loading... # [系统管理员应知：十大PHP最佳安全实践](http://007.gangguana.com/a/3656fe04a833d48b686d0fd558b991c3.shtml) 导读：本文来自知名时尚媒体ELLE大陆版即《世界时装之苑》网站的香港工程师AnsonCheung文中他例举了有关PHP10个方面的最佳平安实践方式，供系统管理员学习与参考。原文是Top10PHPBestSecurPracticforSyAdmin以下是译文： PHP被广泛用于各种Web开发。而当服务器端脚本配置过失时会呈现各种问题。现今，大部分Web服务器是基于Linux环境下运行（比方：UbuntuDebian等）本文例举了十大PHP最佳平安实践方式，能够让您轻松、平安配置PHP ## 1.减少PHP内置模块 为了增强性能和安全性，强烈建议，减少PHP中的模块。来看看下面这个被执行命令装置的模块。 #php–m 将会得到类似的结果： [PHPModules] apc bcmath bz2 calendar Core ctype curl date dom ereg exif fileinfo filter ftp gd gettext gmp hash iconv imap json libxml mbstring memcache mysql mysqli openssl pcntl pcre PDO pdo_mysql pdo_sqlite Phar readline Reflection session shmop SimpleXML sockets SPL sqlite3 standard suhosin tokenizer wddx xml xmlreader xmlrpc xmlwriter xsl zip zlib [ZendModules] Suhosin 删除一个模块，并执行此命令。例如：删除模块sqlite3 #rm/etc/php.d/sqlite3.ini 或者 #mv/etc/php.d/sqlite3.ini/etc/php.d/sqlite3.disableRestrict ## 2.使PHP信息泄露最小化 默认PHP时在HTTP抬头处会生成一条线介于每个响应中，比方X-Powered-By:PHP/5.2.10而这个在系统信息中为攻击者创建了一个非常有价值的信息。 HTTP示例： HTTP/1.1200OK X-Powered-By:PHP/5.2.10 Content-type:text/html;charset=UTF-8 Vary:Accept-Encoding,COOKIE X-Vary-Options:Accept-Encoding;list-contains=gzip,COOKIE;string-contains=wikiToken; string-contains=wikiLoggedOut;string-contains=wiki_session Last-Modified:Thu,03Nov201122:32:55GMT ... 因此，强烈建议，禁止PHP信息泄露，想要要禁止它要编辑/etc/php.d/secutity.ini并设置以下指令： expose_php=Off ## 3.使PHP加载模块最小化 默认情况下，RHEL加载的所有模块可以在/etc/php.d/目录中找到要禁用或启用一个特定的模块，只需要在配置文件/etc/php.d/目录中中注释下模块名称。而为了优化PHP性能和安全性，当你应用顺序需要时，强烈建议建议启用扩展功能。举个例子：当禁用GD扩展时，键入以下命令： #cd/etc/php.d/ #mvgd.{ini,disable} #/etc/init.d/apache2restart 为了扩展PGPGD模块，然后键入以下命令： #mvgd.{disable,ini} #/sbin/servichttpdrestart ## 4.记录PHP过失信息 为了提高系统和Web应用顺序的平安，PHP过失信息不能被暴露出。要做到这一点，需要编辑/etc/php.d/security.ini文件，并设置以下指令： display_errors=Off 为了便于开发者Bug修复，所有PHP过失信息都应该记录在日志中。 log_errors=On error_log=/var/log/httpd/php_scripts_error.log ## 5.禁用远程执行代码 如果远程执行代码，允许PHP代码从远程检索数据功能，如FTP或Web通过PHP来执行构建功能。比方：file_get_cont 很多顺序员使用这些功能，从远程通过FTP或是HTTP协议而获得数据。然而，此法在基于PHP应用顺序中会造成一个很大的漏洞。由于大部分顺序员在传送用户提供的数据时没有做到适当的过滤功能，打开平安漏洞并且创立了代码时注入了漏洞。要解决此问题，需要禁用_url_fopenin/etc/php.d/security.ini并设置以下命令： allow_url_fopen=Off 除了这个，还建议禁用_url_includ以提高系统的平安性。 allow_url_include=Off ## 6.禁用PHP中的危险函数 PHP中有很多危险的内置功能，如果使用不当，可能使你系统解体。可以创立一个PHP内置功能列表通过编辑/etc/php.d/security.ini来禁用它 disable_functions=exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_sourc ## 7.资源控制 为了提高系统的稳定性，强烈建议设置每个脚本解析请求数据所花费的时间和脚本可能消耗的最大内存量。正确的配置这些参数可以防止PHP任何脚本消耗太多的资源或是内存，从而防止系统不安全或降低平安系数。 #setinsecond max_execution_time=30 max_input_time=30 memory_limit=40M ## 8.限制PHP访问文件系统 该open_basedir指令指定的目录是允许PHP访问使用fopen等功能。如果任何脚本试图访问超出open_basdir定义的路径文件，PHP将拒绝打开。值得注意的不能使用一个符号链接作为一种变通方法。 ;LimitthePHPprocessfromaccessfileoutsid ;ofspecifdesigndirectorisuchas/var/www/html/ open_basedir="/var/www/html/" ;------------------------------------ ;Multipldirexampl ;open_basedir="/home/httpd/vhost/cyberciti.biz/html/:/home/httpd/vhost/nixcraft.com/html/:/home/httpd/vhost/theos.in/html/" ;------------------------------------ ## 9．限制文件/目录访问 进行适当的平安设置：确保Apach作为非root用户运行，比方www-data或www对于文件和目录在基于/var/www/下同样属于非root用户。想要更改所有者，执行以下命令： #chown-Rapache:apach/var/www/ ## 10.编译维护ApachPHP和MySQL配置文件 使用charrt命令编译维护配置文件 #chattr+i/etc/php.ini #chattr+i/etc/php.d/* #chattr+i/etc/my.ini #chattr+i/etc/httpd/conf/httpd.conf #chattr+i/etc/ 使用charrt命令可以编译维护PHP文件或者是文件中的/var/www/html目录： #chattr+i/var/www/html/file1.php #chattr+i/var/www/html/ 最后修改：2023 年 08 月 04 日 © 允许规范转载 赞 如果觉得我的文章对你有用，请随意赞赏