PHP网站安全性浅谈
一、web应用服务安全性设置
1、服务器各应用服务尽可能以独立用户运行,如:
WEB服务运行帐户为www
MySQL服务运行帐户为mysql
Memcached用户为memcache
Redis运行帐户为redis
2、应用服务目录的读写权限最小颗粒化
(a)缓存目录:
一般需要755/777权限,但是多数情况下缓存目录无须提供给用户访问,可以通过nginx拒绝。如:location ~ "^/cache" {
return 403;
}
(b)附件目录:
一般也需要755/777等写入权限,建议附件和程序分离,附件不做PHP配置解析(这点能做到最好)。
如果上面做不到,那么建议你尽可能不去解析附件目录的PHP。如:location ~* ^/upload/.*.(php|php5)($|/){
deny all;
}
location ~* .*\.php($|/){
if ($request_filename ~* (.*)\.php) {
set $php_url $1;
}
if (!-e $php_url.php) {
return 403;
}
fastcgi_pass127.0.0.1:9000;
fastcgi_index index.php;
include fcgi.conf;
}
PS:
(1)同时注意限制允许的上传格式。
(2)虽然说通过修改php.ini设置cgi.fix_pathinfo = 0;然后重启php-cgi也可以做到拒绝诸如/upload/.jpg/test.php类似的url地址访问,但是此修改会影响到使用PATH_INFO伪静态应用。
3、php安全性
(a).配置禁用部分函数disable_functions = passthru,exec,system,chroot,scandir,chgrp,chown,escapeshellcmd,escapeshellarg,shell_exec,proc_get_status,ini_alter,ini_alter,ini_restore,dl,pfsockopen,openlog,syslog,readlink,symlink,leak,popepassthru,stream_socket_server,popen
(b).禁用部分php.ini配置项register_globals = Off
cgi.fix_pathinfo=0
magic_quotes_gpc = On
allow_url_include = Off
expose_php = Off
4、隐藏相关版本信息
一般而言,通过隐藏的手段提高安全性被认为是作用不大的做法。但某些情况下,尽可能的多增加一份安全性都是值得的。一些简单的方法可以帮助隐藏 PHP,这样做可以提高攻击者发现系统弱点的难度。
5、服务器尽可能减少开放端口
6、服务器防火墙iptables等配置
二、PHP安全性提升
1、程序漏洞问题
很多 PHP 程序所存在的重大弱点并不是 PHP 语言本身的问题,而是编程者的安全意识不高而导致的。因此,必须时时注意每一段代码可能存在的问题,去发现非正确数据提交时可能造成的影响。
2、用户输入信息的过滤
前端过滤&服务端过滤,永远不要信任外界输入的数据。如:尽可能过滤掉javascript(防止跨站攻击等)~
3、尽量不要显示错误[error_reporting(0);],或者使用合适的错误报告
4、如无特殊必要建议在php.ini中停用以下配置:register_globals = Off //全局变量
magic_quotes_gpc = Off
magic_quotes_runtime = Off
magic_quotes_sybase = Off
5、如果使用了一些开源的源码,建议多关注官方动态或乌云
三、MySQL安全性提升
1、永远不要使用超级用户连接数据库
2、拼接的sql多做过滤,永远不要相信外界输入的数据,特别是客户端(SQL注入)
3、建议使用PDO方式连接
4、如无必要尽可能关闭mysql的远程访问权限
欢迎补充。
最后更新于-05-31 17:52:50并被添加「php php安全 网站安全」标签,已有 1751 位童鞋阅读过。
本站使用「署名 4.0 国际」创作共享协议,可自由转载、引用,但需署名作者且注明文章出处
相关文章