系统管理员应知：十大PHP最佳安全实践
导读：本文来自知名时尚媒体ELLE（大陆版即《世界时装之苑》）网站的香港工程师Anson Cheung。文中他例举了有关PHP10个方面的最佳安全实践方式，供系统管理员学习与参考。 原文是《Top 10 PHP Best Security Practices for Sys Admins》， 以下是译文： PHP
导读：本文来自知名时尚媒体ELLE（大陆版即《世界时装之苑》）网站的香港工程师Anson Cheung。文中他例举了有关PHP10个方面的最佳安全实践方式，供系统管理员学习与参考。原文是《Top 10 PHP Best Security Practices for Sys Admins》，以下是译文：
PHP被广泛用于各种Web开发。而当服务器端脚本配置错误时会出现各种问题。现今，大部分Web服务器是基于Linux环境下运行（比如：Ubuntu，Debian等）。本文例举了十大PHP最佳安全实践方式，能够让您轻松、安全配置PHP。
PHP安全性设置提示：
| DocumentRoot: /var/www/
Default Web server: Apache Default PHP configuration file: /etc/php.ini Default PHP extensions config directory: /etc/php.d/ Our sample php security config file: /etc/php.d/security.ini (you need to create this file using a text editor) Operating systems: Ubuntu (the instructions should work with any other Linux distributions such as RHEL / CentOS / Fedora or other Unix like operating systems such as OpenBSD/FreeBSD/HP-UX). |
1. 减少PHP内置模块
为了增强性能和安全性，强烈建议，减少PHP中的模块。来看看下面这个被执行命令安装的模块。
<ol><li><span><span># php –m </span></span></li></ol>
你将会得到类似的结果：
| [PHP Modules] apc bcmath bz2 calendar Core ctype curl date dom ereg exif fileinfo filter ftp gd gettext gmp hash iconv imap json libxml mbstring memcache mysql mysqli openssl pcntl pcre PDO pdo_mysql pdo_sqlite Phar readline Reflection session shmop SimpleXML sockets SPL sqlite3 standard suhosin tokenizer wddx xml xmlreader xmlrpc xmlwriter xsl zip zlib [Zend Modules] Suhosin |
删除一个模块，并执行此命令。例如：删除模块sqlite3
<ol> <li><span><span># rm /etc/php.d/sqlite3.ini </span></span></li> <li><span> </span></li> </ol>
或者
<ol><li><span><span># mv /etc/php.d/sqlite3.ini /etc/php.d/sqlite3.disableRestrict </span></span></li></ol>
2. 使PHP信息泄露最小化
在默认PHP时在HTTP抬头处会生成一条线介于每个响应中，（比如X-Powered-By: PHP/5.2.10）。而这个在系统信息中为攻击者创建了一个非常有价值的信息。
HTTP示例：
<ol> <li><span><span>HTTP/1.1 200 OK </span></span></li> <li><span>X-Powered-By: PHP/5.2.10 </span></li> <li> <span>Content-type: text/html; </span><span>charset</span><span>=</span><span>UTF</span><span>-8 </span> </li> <li><span>Vary: Accept-Encoding, Cookie </span></li> <li> <span>X-Vary-Options: Accept-Encoding;</span><span>list-contains</span><span>=</span><span>gzip</span><span>,Cookie;</span><span>string-contains</span><span>=</span><span>wikiToken</span><span>; </span> </li> <li> <span>string-contains</span><span>=</span><span>wikiLoggedOut</span><span>;</span><span>string-contains</span><span>=</span><span>wiki_session</span><span> </span> </li> <li><span>Last-Modified: Thu, 03 Nov 2011 22:32:55 GMT </span></li> <li><span>... </span></li> </ol>
因此，我们强烈建议，禁止PHP信息泄露，想要要禁止它，我们要编辑/etc/php.d/secutity.ini，并设置以下指令：
<ol> <li><span><span>expose_php</span><span>=</span><span>Off</span><span> </span></span></li> <li><span> </span></li> </ol>
3. 使PHP加载模块最小化
在默认情况下，RHEL加载的所有模块可以在/etc/php.d/目录中找到。要禁用或启用一个特定的模块，只需要在配置文件/etc/php.d/目录中中注释下模块名称。而为了优化PHP性能和安全性，当你的应用程序需要时，我们强烈建议建议启用扩展功能。举个例子：当禁用GD扩展时，键入以下命令：
<ol>
<li><span><span># cd /etc/php.d/ </span></span></li>
<li><span> </span></li>
<li><span># mv gd.{ini,disable} </span></li>
<li><span> </span></li>
<li><span># /etc/init.d/apache2 restart </span></li>
</ol>为了扩展PGP GD模块，然后键入以下命令：
<ol>
<li><span><span># mv gd.{disable,ini} </span></span></li>
<li><span> </span></li>
<li><span># /sbin/service httpd restart </span></li>
</ol>4. 记录PHP错误信息
为了提高系统和Web应用程序的安全，PHP错误信息不能被暴露出。要做到这一点，需要编辑/etc/php.d/security.ini 文件，并设置以下指令：
<ol><li><span><span>display_errors</span><span>=</span><span>Off</span><span> </span></span></li></ol>
为了便于开发者Bug修复，所有PHP的错误信息都应该记录在日志中。
<ol> <li><span><span>log_errors</span><span>=</span><span>On</span><span> </span></span></li> <li><span> </span></li> <li> <span>error_log</span><span>=/var/log/httpd/php_scripts_error.log </span> </li> <li><span> </span></li> </ol>
5. 禁用远程执行代码
如果远程执行代码，允许PHP代码从远程检索数据功能，如FTP或Web通过PHP来执行构建功能。比如：file_get_contents()。
很多程序员使用这些功能，从远程通过FTP或是HTTP协议而获得数据。然而，此法在基于PHP应用程序中会造成一个很大的漏洞。由于大部分程序员在传递用户提供的数据时没有做到适当的过滤功能，打开安全漏洞并且创建了代码时注入了漏洞。要解决此问题，需要禁用_url_fopen in /etc/php.d/security.ini，并设置以下命令：
<ol><li><span><span>allow_url_fopen</span><span>=</span><span>Off</span><span> </span></span></li></ol>
除了这个，我还建议禁用_url_include以提高系统的安全性。
<ol><li><span><span>allow_url_include</span><span>=</span><span>Off</span><span> </span></span></li></ol>
6. 禁用PHP中的危险函数
PHP中有很多危险的内置功能，如果使用不当，它可能使你的系统崩溃。你可以创建一个PHP内置功能列表通过编辑/etc/php.d/security.ini来禁用它。
<ol><li><span><span>disable_functions</span><span> =</span><span>exec</span><span>,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source </span></span></li></ol>
7. 资源控制
为了提高系统的稳定性，强烈建议设置每个脚本解析请求数据所花费的时间和脚本可能消耗的最大内存量。正确的配置这些参数可以防止PHP任何脚本消耗太多的资源或是内存，从而避免系统不安全或降低安全系数。
<ol> <li><span><span># set in seconds </span></span></li> <li><span> </span></li> <li> <span>max_execution_time</span><span> = </span><span>30</span><span> </span> </li> <li><span> </span></li> <li> <span>max_input_time</span><span> = </span><span>30</span><span> </span> </li> <li><span> </span></li> <li> <span>memory_limit</span><span> = </span><span>40M</span><span> </span> </li> <li><span> </span></li> </ol>
8. 限制PHP访问文件系统
该open_basedir指令指定的目录是允许PHP访问使用fopen()等功能。如果任何脚本试图访问超出open_basdir定义的路径文件，PHP将拒绝打开。值得注意的是，你不能使用一个符号链接作为一种变通方法。
<ol> <li><span><span>; Limits the PHP process from accessing files outside </span></span></li> <li><span>; of specifically designated directories such as /var/www/html/ </span></li> <li> <span>open_basedir</span><span>=</span><span>"/var/www/html/"</span><span> </span> </li> <li><span>; ------------------------------------ </span></li> <li><span>; Multiple dirs example </span></li> <li> <span>; </span><span>open_basedir</span><span>=</span><span>"/home/httpd/vhost/cyberciti.biz/html/:/home/httpd/vhost/nixcraft.com/html/:/home/httpd/vhost/theos.in/html/"</span><span> </span> </li> <li><span>; ------------------------------------ </span></li> </ol>
9．限制文件/目录访问
进行适当的安全设置：确保Apache作为非root用户运行，比如www-data或www。对于文件和目录在基于/var/www/下同样属于非root用户。想要更改所有者，执行以下命令：
<ol><li><span><span># chown -R apache:apache /var/www/ </span></span></li></ol>
10.编译保护Apache，PHP和MySQL的配置文件
使用charrt命令编译保护配置文件
<ol> <li><span><span># chattr +i /etc/php.ini </span></span></li> <li><span> </span></li> <li><span># chattr +i /etc/php.d/* </span></li> <li><span> </span></li> <li><span># chattr +i /etc/my.ini </span></li> <li><span> </span></li> <li><span># chattr +i /etc/httpd/conf/httpd.conf </span></li> <li><span> </span></li> <li><span># chattr +i /etc/ </span></li> </ol>
使用charrt命令可以编译保护PHP文件或者是文件中的/var/www/html的目录：
<ol> <li><span><span># chattr +i /var/www/html/file1.php </span></span></li> <li><span> </span></li> <li><span># chattr +i /var/www/html/ </span></li> </ol>
英文出自：ansoncheung.tk
ホットAIツール
Undresser.AI Undress
リアルなヌード写真を作成する AI 搭載アプリ
AI Clothes Remover
写真から衣服を削除するオンライン AI ツール。
Undress AI Tool
脱衣画像を無料で
Clothoff.io
AI衣類リムーバー
Video Face Swap
完全無料の AI 顔交換ツールを使用して、あらゆるビデオの顔を簡単に交換できます。
人気の記事
ホットツール
メモ帳++7.3.1
使いやすく無料のコードエディター
SublimeText3 中国語版
中国語版、とても使いやすい
ゼンドスタジオ 13.0.1
強力な PHP 統合開発環境
ドリームウィーバー CS6
ビジュアル Web 開発ツール
SublimeText3 Mac版
神レベルのコード編集ソフト（SublimeText3）
ホットトピック
1665
14
1424
52
1322
25
1270
29
1250
24
PHPとPython：2つの一般的なプログラミング言語を比較します
Apr 14, 2025 am 12:13 AM
PHPとPythonにはそれぞれ独自の利点があり、プロジェクトの要件に従って選択します。 1.PHPは、特にWebサイトの迅速な開発とメンテナンスに適しています。 2。Pythonは、データサイエンス、機械学習、人工知能に適しており、簡潔な構文を備えており、初心者に適しています。
アクション中のPHP：実際の例とアプリケーション
Apr 14, 2025 am 12:19 AM
PHPは、電子商取引、コンテンツ管理システム、API開発で広く使用されています。 1）eコマース：ショッピングカート機能と支払い処理に使用。 2）コンテンツ管理システム：動的コンテンツの生成とユーザー管理に使用されます。 3）API開発：RESTFUL API開発とAPIセキュリティに使用されます。パフォーマンスの最適化とベストプラクティスを通じて、PHPアプリケーションの効率と保守性が向上します。
PHP：Web開発の重要な言語
Apr 13, 2025 am 12:08 AM
PHPは、サーバー側で広く使用されているスクリプト言語で、特にWeb開発に適しています。 1.PHPは、HTMLを埋め込み、HTTP要求と応答を処理し、さまざまなデータベースをサポートできます。 2.PHPは、ダイナミックWebコンテンツ、プロセスフォームデータ、アクセスデータベースなどを生成するために使用され、強力なコミュニティサポートとオープンソースリソースを備えています。 3。PHPは解釈された言語であり、実行プロセスには語彙分析、文法分析、編集、実行が含まれます。 4.PHPは、ユーザー登録システムなどの高度なアプリケーションについてMySQLと組み合わせることができます。 5。PHPをデバッグするときは、error_reporting（）やvar_dump（）などの関数を使用できます。 6. PHPコードを最適化して、キャッシュメカニズムを使用し、データベースクエリを最適化し、組み込み関数を使用します。 7
PHP対Python：違いを理解します
Apr 11, 2025 am 12:15 AM
PHP and Python each have their own advantages, and the choice should be based on project requirements. 1.PHPは、シンプルな構文と高い実行効率を備えたWeb開発に適しています。 2。Pythonは、簡潔な構文とリッチライブラリを備えたデータサイエンスと機械学習に適しています。
PHPの永続的な関連性：それはまだ生きていますか？
Apr 14, 2025 am 12:12 AM
PHPは依然として動的であり、現代のプログラミングの分野で重要な位置を占めています。 1）PHPのシンプルさと強力なコミュニティサポートにより、Web開発で広く使用されています。 2）その柔軟性と安定性により、Webフォーム、データベース操作、ファイル処理の処理において顕著になります。 3）PHPは、初心者や経験豊富な開発者に適した、常に進化し、最適化しています。
PHP対その他の言語：比較
Apr 13, 2025 am 12:19 AM
PHPは、特に迅速な開発や動的なコンテンツの処理に適していますが、データサイエンスとエンタープライズレベルのアプリケーションには良くありません。 Pythonと比較して、PHPはWeb開発においてより多くの利点がありますが、データサイエンスの分野ではPythonほど良くありません。 Javaと比較して、PHPはエンタープライズレベルのアプリケーションでより悪化しますが、Web開発により柔軟性があります。 JavaScriptと比較して、PHPはバックエンド開発により簡潔ですが、フロントエンド開発のJavaScriptほど良くありません。
PHPおよびPython：コードの例と比較
Apr 15, 2025 am 12:07 AM
PHPとPythonには独自の利点と短所があり、選択はプロジェクトのニーズと個人的な好みに依存します。 1.PHPは、大規模なWebアプリケーションの迅速な開発とメンテナンスに適しています。 2。Pythonは、データサイエンスと機械学習の分野を支配しています。
PHPおよびPython：さまざまなパラダイムが説明されています
Apr 18, 2025 am 12:26 AM
PHPは主に手順プログラミングですが、オブジェクト指向プログラミング（OOP）もサポートしています。 Pythonは、OOP、機能、手続き上のプログラミングなど、さまざまなパラダイムをサポートしています。 PHPはWeb開発に適しており、Pythonはデータ分析や機械学習などのさまざまなアプリケーションに適しています。
