PHP網(wǎng)站建設(shè)服務(wù)器搭建安全首選配置方案

PHP安全性設(shè)置提示：
DocumentRoot: /var/www/
Default Web server: Apache
Default PHP configuration file: /etc/php.ini
Default PHP extensions config directory: /etc/php.d/
Our sample php security config file: /etc/php.d/security.ini (you need to create this file using a text editor)
Operating systems: Ubuntu (the instructions should work with any other Linux distributions such as RHEL / CentOS / Fedora or other Unix like operating systems such as OpenBSD/FreeBSD/HP-UX).

1. 減少PHP內(nèi)置模塊
為了增強(qiáng)性能和安全性，強(qiáng)烈建議，減少PHP中的模塊。來(lái)看看下面這個(gè)被執(zhí)行命令安裝的模塊。
# php –m
你將會(huì)得到類似的結(jié)果：
[PHP Modules]
apc
bcmath
bz2
calendar
Core
ctype
curl
date
dom
ereg
exif
fileinfo
filter
ftp
gd
gettext
gmp
hash
iconv
imap
json
libxml
mbstring
memcache
mysql
mysqli
openssl
pcntl
pcre
PDO
pdo_mysql
pdo_sqlite
Phar
readline
Reflection
session
shmop
SimpleXML
sockets
SPL
sqlite3
standard
suhosin
tokenizer
wddx
xml
xmlreader
xmlrpc
xmlwriter
xsl
zip
zlib
[Zend Modules]
Suhosin
刪除一個(gè)模塊，并執(zhí)行此命令。例如：刪除模塊sqlite3
# rm /etc/php.d/sqlite3.ini
或者
# mv /etc/php.d/sqlite3.ini /etc/php.d/sqlite3.disableRestrict

2. 使PHP信息泄露小化
在默認(rèn)PHP時(shí)在HTTP抬頭處會(huì)生成一條線介于每個(gè)響應(yīng)中，（比如X-Powered-By: PHP/5.2.10）。而這個(gè)在系統(tǒng)信息中為攻擊者創(chuàng)建了一個(gè)非常有價(jià)值的信息。
HTTP示例：
HTTP/1.1 200 OK
X-Powered-By: PHP/5.2.10
Content-type: text/html; charset=UTF-8
Vary: Accept-Encoding, Cookie
X-Vary-Options: Accept-Encoding;list-contains=gzip,Cookie;string-contains=wikiToken;
string-contains=wikiLoggedOut;string-contains=wiki_session
Last-Modified: Thu, 03 Nov 2011 22:32:55 GMT
...
因此，我們強(qiáng)烈建議，禁止PHP信息泄露，想要要禁止它，我們要編輯/etc/php.d/secutity.ini，并設(shè)置以下指令：
expose_php=Off

3. 使PHP加載模塊小化
在默認(rèn)情況下，RHEL加載的所有模塊可以在/etc/php.d/目錄中找到。要禁用或啟用一個(gè)特定的模塊，只需要在配置文件/etc/php.d/目錄中中注釋下模塊名稱。而為了優(yōu)化PHP性能和安全性，當(dāng)你的應(yīng)用程序需要時(shí)，我們強(qiáng)烈建議建議啟用擴(kuò)展功能。舉個(gè)例子：當(dāng)禁用GD擴(kuò)展時(shí)，鍵入以下命令：
# cd /etc/php.d/
# mv gd.{ini,disable}
# /etc/init.d/apache2 restart
為了擴(kuò)展PGP GD模塊，然后鍵入以下命令：
# mv gd.{disable,ini}
# /sbin/service httpd restart

4. 記錄PHP錯(cuò)誤信息
為了提高系統(tǒng)和Web應(yīng)用程序的安全，PHP錯(cuò)誤信息不能被暴露出。要做到這一點(diǎn)，需要編輯/etc/php.d/security.ini 文件，并設(shè)置以下指令：
display_errors=Off
為了便于開發(fā)者Bug修復(fù)，所有PHP的錯(cuò)誤信息都應(yīng)該記錄在日志中。
log_errors=On
error_log=/var/log/httpd/php_scripts_error.log

5. 禁用遠(yuǎn)程執(zhí)行代碼
如果遠(yuǎn)程執(zhí)行代碼，允許PHP代碼從遠(yuǎn)程檢索數(shù)據(jù)功能，如FTP或Web通過(guò)PHP來(lái)執(zhí)行構(gòu)建功能。比如：file_get_contents()。
很多程序員使用這些功能，從遠(yuǎn)程通過(guò)FTP或是HTTP協(xié)議而獲得數(shù)據(jù)。然而，此法在基于PHP應(yīng)用程序中會(huì)造成一個(gè)很大的漏洞。由于大部分程序員在傳遞用戶提供的數(shù)據(jù)時(shí)沒有做到適當(dāng)?shù)倪^(guò)濾功能，打開安全漏洞并且創(chuàng)建了代碼時(shí)注入了漏洞。要解決此問(wèn)題，需要禁用_url_fopen in /etc/php.d/security.ini，并設(shè)置以下命令：
allow_url_fopen=Off
除了這個(gè)，我還建議禁用_url_include以提高系統(tǒng)的安全性。
allow_url_include=Off

6. 禁用PHP中的危險(xiǎn)函數(shù)
PHP中有很多危險(xiǎn)的內(nèi)置功能，如果使用不當(dāng)，它可能使你的系統(tǒng)崩潰。你可以創(chuàng)建一個(gè)PHP內(nèi)置功能列表通過(guò)編輯/etc/php.d/security.ini來(lái)禁用它。
disable_functions =exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source

7. 資源控制
為了提高系統(tǒng)的穩(wěn)定性，強(qiáng)烈建議設(shè)置每個(gè)腳本解析請(qǐng)求數(shù)據(jù)所花費(fèi)的時(shí)間和腳本可能消耗的大內(nèi)存量。正確的配置這些參數(shù)可以防止PHP任何腳本消耗太多的資源或是內(nèi)存，從而避免系統(tǒng)不安全或降低安全系數(shù)。
# set in seconds
max_execution_time = 30
max_input_time = 30
memory_limit = 40M

8. 限制PHP訪問(wèn)文件系統(tǒng)

該open_basedir指令指定的目錄是允許PHP訪問(wèn)使用fopen()等功能。如果任何腳本試圖訪問(wèn)超出open_basdir定義的路徑文件，PHP將拒絕打開。值得注意的是，你不能使用一個(gè)符號(hào)鏈接作為一種變通方法。

; Limits the PHP process from accessing files outside
; of specifically designated directories such as /var/www/html/
open_basedir="/var/www/html/"
; ------------------------------------
; Multiple dirs example
; open_basedir="/home/httpd/vhost/cyberciti.biz/html/:/home/httpd/vhost/nixcraft.com/html/:/home/httpd/vhost/theos.in/html/"
; ------------------------------------

9．限制文件/目錄訪問(wèn)

進(jìn)行適當(dāng)?shù)陌踩O(shè)置：確保Apache作為非root用戶運(yùn)行，比如www-data或www。對(duì)于文件和目錄在基于/var/www/下同樣屬于非root用戶。想要更改所有者，執(zhí)行以下命令：
# chown -R apache:apache /var/www/

10.編譯保護(hù)Apache，PHP和MySQL的配置文件
使用charrt命令編譯保護(hù)配置文件
# chattr +i /etc/php.ini
# chattr +i /etc/php.d/*
# chattr +i /etc/my.ini
# chattr +i /etc/httpd/conf/httpd.conf
# chattr +i /etc/
使用charrt命令可以編譯保護(hù)PHP文件或者是文件中的/var/www/html的目錄：
# chattr +i /var/www/html/file1.php
# chattr +i /var/www/html/