您的位置：首页 > 编程技术 > php  >  php.ini中一些常用安全配置方法

php.ini中一些常用安全配置方法

 更新时间：2016年11月25日 15:24  点击：2146
文章介绍了大致的关于如何在 php.ini中做一些常用的安全配置，有需要的同学可参考一下。

（1）打开php的安全模式

php的安全模式是个非常重要的内嵌的安全机制，能够控制一些php中的函数，比如system()，同时把很多文件操作函数进行了权限控制，也不允许对某些关键字文件的文件，比如/etc/passwd，但是默认的php.ini是没有打开安全模式的，我们把它打开：

safe_mode = on

（2）用户组安全

当safe_mode打开时，safe_mode_gid被关闭，那么php脚本能够对文件进行访问，而且相同组的用户也能够对文件进行访问。而且相同组的用户也能够对文件进行访问。

建议设置为：

safe_mode_gid = off

如果不进行设置，可能我们无法对我们服务器网站目录下的文件进行操作了，比如我们需要对文件进行操作的时候。

（3）安全模式下执行程序主目录

如果安全模式打开了，但是却是要执行某些程序的时候，可以指定要执行程序的主目录：

safe_mode_exec_dir = /usr/bin

一般情况下是不需要执行什么程序的，所以推荐不要执行系统程序目录，可以指向一个目录：然后把需要执行的程序拷贝过去，比如：

safe_mode_exec_dir = /temp/cmd

但是，我更推荐不要执行任何程序，那么就可以指向我们网页目录：

safe_mode_exec_dir = /usr/www

（4）安全模式下包含文件

如果要在安全模式下包含某些公共文件，那么就修改一下选项：

safe_mode_include_dir = /usr/www/include/

其实一般php脚本中包含文件都是在程序自己已经写好了，这个可以根据具体需要设置。

（5）控制php脚本能访问的目录

使用open_basedir选项能够控制PHP脚本只能访问指定的目录，这样能够避免PHP脚本访问不应该访问的文件，一定程序上显示了phpshell的危害，我们一般可以设置为只能访问网站目录：

open_basedir = /usr/www

（6）关闭危险函数

如果打开了安全模式，那么函数禁止是可以不需要的，但是我们为了安全还是考虑进去。比如，我们觉得不希望执行包括system()等在内的执行明了的php函数，或者能够查看php信息的phpinfo()等函数，那么我们就可以禁止它们：

disable_functions = system, passthru, exec, shell_exec, popen, phpinfo, escapeshellarg, escapeshellcmd, proc_close, proc_open, dl

如果你要禁止任何文件和目录的操作，那么可以关闭很多文件操作

disable_functions = chdir, chroot, dir, getcwd, opendir, readdir, scandir, fopen, unlink, delete, copy, mkdir, rmdir, rename, file, file_get_contents, fputs, fwrite, chgrp,chmod, chown

以上只是列了部分比较常用的文件处理函数，你也可以把上面执行命令函数和这个函数结合，就能给抵制大部分的phpshell了。

（7）关闭php版本信息在http头中的泄露

我们为了防止黑客获取服务器中php版本的信息，可以关闭该信息泄露在http头中：

expose_php = off

比如黑客在 telnet www.girlcoding.com:80 的时候，那么将无法看到PHP的信息

（8）关闭注册全局变量

在PHP中提交的变量，包括使用POST或者GET提交的变量，都将自动注册为全局变量，能够直接访问，这是对服务器非常不安全的，所以我们不能让它注册为全局变量，就把注册全局变量选项关闭：

register_globals = off

当然，如果这样设置了，那么获取对应变量的时候就要采取合理方式，比如获取GET提交的变量var，那么就要用$_GET['var']来进行获取，这个php程序员要注意。

（9）打开magic_quotes_gpc来防止SQL注入

SQL注入是非常危险的问题，小则网站后台被入侵，重则整个服务器沦陷，所以一定要小心。php.ini中有一个设置：

magic_quotes_gpc = off

这个默认是关闭的，如果它打开后将自动把用户提交对sql的查询进行转换，比如把’转为’等，这对防止sql注入有很大作用，所以我们推荐设置为：

magic_quotes_gpc = off

有次程序在本地的上传不好用了，但在服务器上好使~也可能是继承了discuz的核心文件造成的，获取路径出现了问题，后来打开这个参数，问题解决了。

（10）错误信息控制

一般php在没有连接到数据库或者其他情况下会有错误提示，一般错误信息中会包含php脚本当前的路径信息或者查询的SQL语句等信息，这类信息提供给黑客后，是不安全的，所以一般服务器建议禁止错误提示：

display_errors = Off

如果你确实要显示错误信息，一定要设置显示错误的级别，比如只显示警告以上的信息：

error_reporting = E_WARNING & E_ERROR

当然，我还是建议关闭错误提示。

（11）错误日志

建议在关闭display_errors后能够把是错误信息记录下来，便于查找服务器运行的原因：

log_errors = On

同时也要设置错误日志存放的目录，建议根apache的日志存在一起：

error_log = /usr/local/apache2/logs/php_error.log

注意：给文件必须允许apache用户或组具有写的权限。

在很多时间我们php中的很多函数是没有用上的，而且对网站有存在很大的安全问题，下面我们利用PHP.ini 里有个 disable_functions 开关选项来关闭一些不需要使用的函数。

如果禁止了会出现如下提示

Warning: phpinfo() has been disabled for security reasons

屏蔽函数实例：

 代码如下 复制代码
disable_functions= phpinfo,dl, exec, system

注意:有些朋友想利用disable_functions来禁止eval函数，这个是不可以禁用的哦，至于原因我告诉你他不是系统函数，具体的大家可查一下。

有个前提条件是我们的页面必须是php类型的页面，如果你生成了html静态页面这种方法就不可行了哦，下面我们来看看php实现禁止IP段访问网站的代码.
 代码如下 复制代码

<?php
//加IP访问限制
if(getenv('HTTP_CLIENT_IP') && strcasecmp(getenv('HTTP_CLIENT_IP'), 'unknown')) {
$userip = getenv('HTTP_CLIENT_IP');
} elseif(getenv('HTTP_X_FORWARDED_FOR') && strcasecmp(getenv('HTTP_X_FORWARDED_FOR'), 'unknown')) {
$userip = getenv('HTTP_X_FORWARDED_FOR');
} elseif(getenv('REMOTE_ADDR') && strcasecmp(getenv('REMOTE_ADDR'), 'unknown')) {
$userip = getenv('REMOTE_ADDR');
} elseif(isset($_SERVER['REMOTE_ADDR']) && $_SERVER['REMOTE_ADDR'] && strcasecmp($_SERVER['REMOTE_ADDR'], 'unknown')) {
$userip = $_SERVER['REMOTE_ADDR'];
}
$ban_range_low=ip2long("217.0.0.0"); //ip段上
$ban_range_up=ip2long("217.255.255.255");//ip段尾
$ip=ip2long($userip]);
if ($ip>$ban_range_low && $ip<$ban_range_up)
{
print "Banned";
exit();
}
?>
大家都知道使用$_REQUEST可以直接省去了判断post,get一些代码，使用起来更简单，但是如果要详细的去想我们会觉得$_REQUEST太可怕了。下面看分析。

我们都知道，处理表单数据，可以使用PHP的$_GET和$_POST这两个超全局变量，具体是哪个由form表单提交时的method指定。除此之外PHP还为我们提供了$_REQUEST数组。但是其不仅包含$_GET和$_POST的所有数据元素，同时其还会包含$_COOKIE这个超全局数组的所有数据元素。
可是大家有没有想过，如果这三个数组里面的key相同，那么我用$_REQUEST得到的到底是哪个数组的值呢？会不会有什么问题？
我用如下代码为大家做演示，因为只是想说明问题，所以这里面不对$_COOKIE进行设置，请大家自行处理：

 代码如下 复制代码
<?php
       var_dump($_GET['a'],$_POST['a'],$_REQUEST['a']);
?>
<html>
<head><title>demo</title></head>
<body>
        <form method= 'post' action = 'req.php?a=xxx'>
                <input type='hidden' name='a' value='yyy'/>
                <input type='submit' name='submit' value='submit'/>
        </form>
</body>
</html>

当我提交表单的时候，我获取的页面内容为：

string(3) "xxx" string(3) "yyy" string(3) "yyy"

同样的内容，在$_REQUEST里面，POST的值覆盖了GET的值，这到底是怎么回事呢？
其实这是在PHP的配置文件里面设置的，让我们来看一下php.ini这个配置文件，在第466行左右有如下内容：

 代码如下 复制代码

; This directive describes the order in which PHP registers GET, POST, Cookie,
; Environment and Built-in variables (G, P, C, E & S respectively, often
; referred to as EGPCS or GPC).  Registration is done from left to right, newer
; values override older values.
variables_order = "EGPCS"

这个EGPCS就是说明用$_REQUEST数组获取内容的优先级，其字母的含义分别代表为：E代表$_ENV，G代表$_GET，P代表$_POST，C代表$_COOKIE，S代表$_SESSION。后面出现的数据会覆盖前面写入的数据，其默认的数据写入方式就是EGPCS，所以POST包含的数据将覆盖GET中使用相同关键字的数据。


$_REQUEST[]具用$_POST[] $_GET[]的功能,但是$_REQUEST[]比较慢。通过post和get方法提交的所有数据都可以通过$_REQUEST数组获得

文章分析了关于PHP5.2.X防止Hash冲突拒绝服务攻击的Patch方法，有需要了朋友可参考一下。


上周的时候Dmitry突然在5.4发布在即的时候, 引入了一个新的配置项:

Added max_input_vars directive to prevent attacks based on hash collision这个预防的攻击, 就是”通过调用Hash冲突实现各种语言的拒绝服务攻击漏洞”(multiple implementations denial-of-service via hash algorithm collision).

攻击的原理很简单, 目前很多语言, 使用hash来存储k-v数据, 包括常用的来自用户的POST数据, 攻击者可以通过构造请求头, 并伴随POST大量的特殊的”k”值(根据每个语言的Hash算法不同而定制), 使得语言底层保存POST数据的Hash表因为”冲突”(碰撞)而退化成链表.


这样一来, 如果数据量足够大, 那么就可以使得语言在计算, 查找, 插入的时候, 造成大量的CPU占用, 从而实现拒绝服务攻击.

PHP5.4是通过增加一个限制来尽量避免被此类攻击影响:

  - max_input_vars - specifies how many GET/POST/COOKIE input variables may be    accepted. default value 1000

 

大家如果有用5.2的, 如果被此类攻击威胁, 可以打上下面的patch, PHP5.3的, 可以考虑升级到5.3.9, 已经包含了此patch(因为5.3.9目前是RC状态, 所以如果不愿意升级, 也可以参照这个patch自己为5.3写一个):

 

防止办法

1. Cd into the PHP src run: patch -p1 < php-5.2.*-max-input-vars.patch
2. Since the latest PHP 5.3.9-RC4 has fixed this issue, so for 5.3 you can upgrade to 5.3.9RC4
   Of course if you don't want to upgrade to a RC version, you can simply tweak this patch into a 5.3 suitable patch.


大家可到https://github.com/laruence/laruence.github.com/tree/master/php-5.2-max-input-vars下载包

[!--infotagslink--]

相关文章

  • apache中配置整合tomcat环境与安全配置

    系统:centos 5.9 环境:apache 2.2.25 tomcat 7.0.42 jdk 1.7.0 1.安装apache 我这里是直接yum安装的,如果你们要编译安装也不是不行. 代码如下 ...2016-01-28

  • PHP在Linux下连接MSSQLServer的配置方法简述（一、Sybase库）

    如果需要在Linux下访问Microsoft SQL Server或Sybase数据库，则推荐下列软件包。 SybaseCommon http://download.sybase.com/pub/ase1192_linux/sybase-common-11.9....2016-11-25

  • Windows 2016 服务器安全设置

    最近公司的网站升级Windows 2016服务器，选择安装了最新版的Windows 2016，以前使用Windows服务器还是Windows 2003系统，发现变化还是挺多的，依次记录下来以备后面查阅...2020-10-05

  • apache 防盗链配置方法

    修改httpd.conf 找到 <Dirctory "/var/www/html"> 在这个Dirctory容器内添加： 代码如下 复制代码 SetEnvIfNoCase Referer "^http://www.111cn.net/"...2016-01-28

  • ECMall支持SSL连接邮件服务器的配置方法详解

    首先，主要是ecmall使用的phpmailer版本太低，不支持加密连接。然后，得对相应代码做一定调整。1. 覆盖phpmailer请从附件进行下载： 复制代码 代码如下:http://cywl.jb51.net:81/201405/yuanma/ecmall_phpmailer_lib(jb51.n...2014-05-31

  • 西部数码空间伪静态配置方法图解

    今天在使用西部数码空间时发现里面有很多定义好的伪静态规则了，下面我来给大家介绍一下在后面主机面板中配置使用伪静态功能吧，希望文章对各位会带来帮助。...2016-10-10

  • PHPStorm主题安装配置方法详解

    由于在php开发时很多函数命令都只记得一个部份，如果要全写还得百度，后来听说有一个PHPStorm可实现自动补全，我就下载了一个并安装配置了，下面给各位朋友介绍。 为...2016-11-25

  • mysql中max_allowed_packet参数的配置方法（避免大数据写入或者更新失败）

    MySQL根据配置文件会限制Server接受的数据包大小。有时候大的插入和更新会受 max_allowed_packet 参数限制，导致写入或者更新失败。 查看目前配置：复制代码 代码如下:show VARIABLES like '%max_allowed_packet%';显示...2014-05-31

  • 设置php.ini 脚本超时方法

    设置php教程.ini 脚本超时方法 设置有二种 方法一，在php.ini里面设置 max_execution_time = 1800 ; 当前上面方法可以利用ini_set("选项","值"), ini_set(''max_e...2016-11-25

  • Apache支持.htaccess配置方法

    打开httpd.conf文件用文本编辑器打开后,查找 代码如下 复制代码 Options FollowSymLinks AllowOverride None 改为： Options FollowSymLinks AllowOv...2016-01-28

  • Zend系列产品的php.ini配置

    [Zend] ; zend optimizer & zend debugger 冲突,不能同时共存 ;;;;;;;;;;;;;;; zend optimizer ;;;;;;;;;;;;;;;;; ;zend_extension_manager.optimizer_ts="...2016-11-25

  • php SQLite数据库的配置方法详解

    SQLite数据库安装好之后我们只要在php.ini中把 ;extension=php_pdo_sqlite.dll 前面的;取消掉就可以了，下面我来给大家简单的介绍一下吧。 SQLite数据库的配置 ...2016-11-25

  • apache下开启.htaccess 伪静态支持配置方法

    1、首先确定Apache是否加载了Mod_rewrite 模块 方法: 检查 httpd.conf 中是否存在以下两段代码 (具体路径可能会有所不同，但形式基本是一样的): (一)LoadModule rewrite_modu...2016-01-28

  • php.ini禁止 phpinfo()不运行方法

    我们只要在php教程.ini增加 disable_functions =phpinfo php.ini里引入了一项功能disable_functions , 这个功能比较有用，可以用它禁止一些函数。比如在php.ini里加上...2016-11-25

  • php.ini 配置心得(上传等限制)

    php.ini 配置心得，一般需要修改的地方，要不无法上传大文件等。...2016-01-27

  • 中文php.ini下

    ;;;;;;;;;;;;;;;;; ; Data Handling ; ;;;;;;;;;;;;;;;;; variables_order = "EGPCS" ; 这条指示描述了PHP 记录 ; GET, POST, Cooki...2016-11-25

  • windows服务器的安全配置技巧总结

    下面我就结合自己的经验和教训总结一下服务器安全设置的一些技巧和方法。...2016-01-27

  • phpmyadmin 配置方法与安装教程

    今天我们来看看phpmyadmin 配置教程吧,也可以叫做phpmyadmin 安装吧,安装我就不说了,你直接到网上下载一个phpmyadmin包解压到你的站点目录,就行了.下面我们来看个简单...2016-11-25

  • php中php.ini-dist和php.ini-recommended文件区别

    在php解压包文件中我们地发现有两个php.ini文件，php.ini-dist和php.ini-recommended了，那么这两个文件使用 是什么呢，下面我来给大家简单介绍 在Windows下安装PHP，通...2016-11-25

  • Windows Server 2003 系统安全配置方法

    对于win2003服务器的安全配置方法，脚本之家之前发布了很多类似的文章，但并不完整，所以我们以后会整理下放到论坛里面，大家一起来交流。...2016-01-27