php disable classes,PHP安全配置基础教程(3)
解决方法:
要求程序员对所有用户提交的要放到SQL语句的变量进行过滤。
即使是数字类型的字段,变量也要用单引号扩起来,MySQL自己会把字串处理成数字。
在MySQL里不要给PHP程序高级别权限的用户,只允许对自己的库进行操作,这也避免了程序出现问题被 select INTO OUTFILE … 这种攻击。
8、警告及错误信息
PHP默认显示所有的警告及错误信息:
error_reporting = E_ALL & ~E_NOTICE
display_errors = On
在平时开发调试时这非常有用,可以根据警告信息马上找到程序错误所在。
正式应用时,警告及错误信息让用户不知所措,而且给攻击者泄漏了脚本所在的物理路径,为攻击者的进一步攻击提供了有利的信息。而且由于自己没有访问到错误的地方,反而不能及时修改程序的错误。所以把PHP的所有警告及错误信息记录到一个日志文件是非常明智的,即不给攻击者泄漏物理路径,又能让自己知道程序错误所在。
修改php.ini中关于Error handling and logging部分内容:
error_reporting = E_ALL
display_errors = Off
log_errors = On
error_log = /usr/local/apache/logs/php_error.log
然后重启apache,注意文件/usr/local/apache/logs/php_error.log必需可以让nobody用户可写。
9、disable_functions
如果觉得有些函数还有威胁,可以设置php.ini里的disable_functions(这个选项不能在httpd.conf里设置),比如:
disable_functions = phpinfo, get_cfg_var
可以指定多个函数,用逗号分开。重启apache后,phpinfo, get_cfg_var函数都被禁止了。建议关闭函数phpinfo, get_cfg_var,这两个函数容易泄漏服务器信息,而且没有实际用处。
10、disable_classes
这个选项是从PHP-4.3.2开始才有的,它可以禁用某些类,如果有多个用逗号分隔类名。disable_classes也不能在httpd.conf里设置,只能在php.ini配置文件里修改。
11、open_basedir
前面分析例程的时候也多次提到用open_basedir对脚本操作路径进行限制,这里再介绍一下它的特性。用open_basedir指定的限制实际上是前缀,不是目录名。也就是说 “open_basedir = /dir/incl” 也会允许访问 “/dir/include” 和 “/dir/incls”,如果它们存在的话。如果要将访问限制在仅为指定的目录,用斜线结束路径名。例如:”open_basedir = /dir/incl/”。
可以设置多个目录,在Windows中,用分号分隔目录。在任何其它系统中用冒号分隔目录。作为Apache模块时,父目录中的open_basedir路径自动被继承。
四、其它安全配置
1、取消其它用户对常用、重要系统命令的读写执行权限
一般管理员维护只需一个普通用户和管理用户,除了这两个用户,给其它用户能够执行和访问的东西应该越少越好,所以取消其它用户对常用、重要系统命令的读写执行权限能在程序或者服务出现漏洞的时候给攻击者带来很大的迷惑。记住一定要连读的权限也去掉,否则在linux下可以用/lib/ld- linux.so.2 /bin/ls这种方式来执行。
如果要取消某程如果是在chroot环境里,这个工作比较容易实现,否则,这项工作还是有些挑战的。因为取消一些程序的执行权限会导致一些服务运行不正常。PHP的mail函数需要/bin/sh去调用sendmail发信,所以/bin/bash的执行权限不能去掉。这是一项比较累人的工作,
2、去掉apache日志其它用户的读权限
apache的access-log给一些出现本地包含漏洞的程序提供了方便之门。通过提交包含PHP代码的URL,可以使access-log包含PHP代码,那么把包含文件指向access-log就可以执行那些PHP代码,从而获得本地访问权限。
如果有其它虚拟主机,也应该相应去掉该日志文件其它用户的读权限。
当然,如果你按照前面介绍的配置PHP那么一般已经是无法读取日志文件了。
php disable classes,PHP安全配置基础教程(3)相关推荐
- python备份cisco交换机_python备份交换机配置基础教程
Python下能支持telnet的模块telnetlib是内置模块,直接import就可以了,其基本的使用方法也是比较简单的 #!/usr/bin/sh #coding:utf-8 import te ...
- Spring Boot 2.x基础教程:使用Elastic Job的分片配置
上一篇,我们介绍了如何使用Elastic Job实现定时任务(https://blog.didispace.com/spring-boot-learning-2-7-2/).解决了使用@Schedul ...
- Spring Boot 2.x基础教程:MyBatis的多数据源配置
点击上方蓝色"程序猿DD",选择"设为星标" 回复"资源"获取独家整理的学习资料! 前两天,我们已经介绍了关于JdbcTemplate的多数 ...
- Spring Boot 2.x基础教程:JdbcTemplate的多数据源配置
点击上方蓝色"程序猿DD",选择"设为星标" 回复"资源"获取独家整理的学习资料! 在本系列之前的教程中,我们已经介绍了如何使用目前最常用的 ...
- Spring Boot 2.x基础教程:使用MyBatis的XML配置方式
点击上方蓝色"程序猿DD",选择"设为星标" 回复"资源"获取独家整理的学习资料! 作者 | 翟永超 来源 | http://blog.di ...
- Spring Cloud Alibaba基础教程:Nacos配置的多文件加载与共享配置
<Spring Cloud Alibaba基础教程>连载中,关注我一起学期!前情回顾: <使用Nacos实现服务注册与发现> <支持的几种服务消费方式> <使 ...
- Spring Cloud Alibaba基础教程:Nacos配置的多环境管理
<Spring Cloud Alibaba基础教程>连载中,关注我一起学期!前情回顾: <使用Nacos实现服务注册与发现> <支持的几种服务消费方式> <使 ...
- Spring Cloud Alibaba基础教程:Nacos配置的加载规则详解
<Spring Cloud Alibaba基础教程>连载中,关注我一起学期!前情回顾: <使用Nacos实现服务注册与发现> <支持的几种服务消费方式> <使 ...
- ASP.NET Core macOS 环境配置 - ASP.NET Core 基础教程 - 简单教程,简单编程
ASP.NET Core macOS 环境配置 - ASP.NET Core 基础教程 - 简单教程,简单编程 原文:ASP.NET Core macOS 环境配置 - ASP.NET Core 基础 ...
最新文章
- matlab sae模型,matlab的Deep Learning的toolbox 中的SAE算法
- C语言再学习 -- 时间函数
- iOS开发之实现毛玻璃效果及图片模糊效果
- Mybatis四种分页方式
- FatFs源码剖析(转)
- 【NOIP2016提高A组模拟10.15】算循环
- 使用NUnit在.Net编程中进行单元测试(转载)
- 可展开的UITableViewCell
- 分析华为毕昇JDK8:一个性能开关
- 动态规划实战16 leetcode-198. House Robber
- 经济学和哲学_边做边学的哲学
- 迁移到MySQL的语法转换工具初步设计
- 衡量测试的充分性和完整性-测试覆盖率
- 新学期个人作息时间安排
- Redis--布谷鸟过滤器--使用/原理/实例
- 游戏推广中买量和导量是什么意思?
- 牛掰!SSH端口嗅探方法及其防御技术
- 按键精灵:函数之可选参数
- Python连接sql server数据库
- 鱼c论坛 python课后题_【零基础】Python3学习课后练习题(二)
热门文章
- 文巾解题 176. 第二高的薪水
- Linux疑难杂症解决方案100篇(四)-SHELL编程预留题目解析
- matlab out of memory产生原因和解决办法
- QT关于使用MSVC之后,之前用MGW编译代码,用这个GDB调试器出现error
- java.net.URISyntaxException: Illegal character in query
- 重新理解微服务--转
- tomcat指定配置文件路径方法
- Living in the Matrix with Bytecode Manipulation--转
- 机器学习算法基础(基础机器学习课程)——第一天
- 基于Java语言构建区块链(五)—— 地址(钱包)