安全配置你的PHP

www.7dspace.com  更新日期：2005-8-16 3:26:04  七度空间

　　 php_flag engine off

　　 #如果是php3换成php3_engine off 

　　重启apache，upload目录的php文件就不能被apache解释了，即使上传了php文件也没有问题，只能直接显示源码。

　　6、命令执行

　　下面的代码片断是从PHPNetToolpack摘出，详细的描述见：

　　http://www.securityfocus.com/bid/4303
　　
　　//test_6.php

　　system("traceroute $a_query",$ret_strs);

　　?>

　　由于程序没有过滤$a_query变量，所以攻击者可以用分号来追加执行命令。

　　攻击者输入如下请求可以执行cat /etc/passwd命令：

　　http://victim/test_6.php?a_query=www.example.com;cat /etc/passwd

　　PHP的命令执行函数还有system(), passthru(), popen()和``等。命令执行函数非常危险，慎用。如果要使用一定要严格检查用户输入。

　　解决方法：

　　要求程序员使用escapeshellcmd()函数过滤用户输入的shell命令。

　　启用safe_mode可以杜绝很多执行命令的问题，不过要注意PHP的版本一定要是最新的，小于PHP-4.2.2的都可能绕过safe_mode的限制去执行命令。

　　7、sql_inject

　　如下的SQL语句如果未对变量进行处理就会存在问题：

　　select * from login where user='$user' and pass='$pass'

　　攻击者可以用户名和口令都输入1' or 1='1绕过验证。

　　不过幸亏PHP有一个默认的选项magic_quotes_gpc = On，该选项使得从GET, POST, COOKIE来的变量自动加了addslashes()操作。上面SQL语句变成了：

　　select * from login where user='1\' or

　　1=\'1' and pass='1\' or 1=\'1'

　　从而避免了此类sql_inject攻击。

　　对于数字类型的字段，很多程序员会这样写：

　　select * from test where id=$id

　　由于变量没有用单引号扩起来，就会造成sql_inject攻击。幸亏MySQL功能简单，没有sqlserver等数据库有执行命令的SQL语句，而且PHP的mysql_query()函数也只允许执行一条SQL语句，所以用分号隔开多条SQL语句的攻击也不能奏效。但是攻击者起码还可以让查询语句出错，泄漏系统的一些信息，或者一些意想不到的情况。

　　解决方法：

　　要求程序员对所有用户提交的要放到SQL语句的变量进行过滤。

　　即使是数字类型的字段，变量也要用单引号扩起来，MySQL自己会把字串处理成数字。

　　在MySQL里不要给PHP程序高级别权限的用户，只允许对自己的库进行操作，这也避免了程序出现问题被 SELECT INTO OUTFILE ... 这种攻击。

　　8、警告及错误信息

　　PHP默认显示所有的警告及错误信息：

　　error_reporting = E_ALL & ~E_NOTICE

　　display_errors = On

　　在平时开发调试时这非常有用，可以根据警告信息马上找到程序错误所在

　　正式应用时，警告及错误信息让用户不知所措，而且给攻击者泄漏了脚本所在的物理路径，为攻击者的进一步攻击提供了有利的信息。而且由于自己没有访问到错误的地方，反而不能及时修改程序的错误。所以把PHP的所有警告及错误信息记录到一个日志文件是非常明智的，即不给攻击者泄漏物理路径，又能让自己知道程序错误所在。

　　修改php.ini中关于Error handling and logging部分内容：

　　error_reporting = E_ALL

　　display_errors = Off

　　log_errors = On

　　error_log = /usr/local/apache/logs/php_error.log

　　然后重启apache，注意文件/usr/local/apache/logs/php_error.log必需可以让nobody用户可写。

　　9、disable_functions

　　如果觉得有些函数还有威胁，可以设置php.ini里的disable_functions（这个选项不能在httpd.conf里设置），比如：

　　disable_functions = phpinfo, get_cfg_var　　

　　可以指定多个函数，用逗号分开。重启apache后，phpinfo, get_cfg_var函数都被禁止了。建议关闭函数phpinfo, get_cfg_var，这两个函数容易泄漏服务器信息，而且没有实际用处。

　　10、disable_classes

　　这个选项是从PHP-4.3.2开始才有的，它可以禁用某些类，如果有多个用逗号分隔类名。disable_classes也不能在httpd.conf里设置，只能在php.ini配置文件里修改。

　　11、open_basedir

　　前面分析例程的时候也多次提到用open_basedir对脚本操作路径进行限制，这里再介绍一下它的特性。用open_basedir指定的限制实际上是前缀，不是目录名。也就是说 "open_basedir = /dir/incl" 也会允许访问 "/dir/include" 和 "/dir/incls"，如果它们存在的话。如果要将访问限制在仅为指定的目录，用斜线结束路径名。例如："open_basedir = /dir/incl/"。

　　可以设置多个目录，在Windows中，用分号分隔目录。在任何其它系统中用冒号分隔目录。作为Apache模块时，父目录中的open_basedir路径自动被继承。

　　四、其它安全配置

　　1、取消其它用户对常用、重要系统命令的读写执行权限

　　一般管理员维护只需一个普通用户和管理用户，除了这两个用户，给其它用户能够执行和访问的东西应该越少越好，所以取消其它用户对常用、重要系统命令的读写执行权限能在程序或者服务出现漏洞的时候给攻击者带来很大的迷惑。记住一定要连读的权限也去掉，否则在linux下可以用/lib/ld-linux.so.2 /bin/ls这种方式来执行。

　　如果要取消某程如果是在chroot环境里，这个工作比较容易实现，否则，这项工作还是有些挑战的。因为取消一些程序的执行权限会导致一些服务运行不正常。PHP的mail函数需要/bin/sh去调用sendmail发信，所以/bin/bash的执行权限不能去掉。这是一项比较累人的工作．

　　2、去掉apache日志其它用户的读权限　　

　　apache的access-log给一些出现本地包含漏洞的程序提供了方便之门。通过提交包含PHP代码的URL，可以使access-log包含PHP代码，那么把包含文件指向access-log就可以执行那些PHP代码，从而获得本地访问权限。

　　如果有其它虚拟主机，也应该相应去掉该日志文件其它用户的读权限。　　

　　当然，如果你按照前面介绍的配置PHP那么一般已经是无法读取日志文件了。

作者：  来源： ( 责任编辑:7dspace )

【收藏此页】【打印】【关闭】