Windows下PHP安全环境的搭建

Posted 2020-11-18 乡间小路

 

        笔者一直在Windows环境下搭建php的运行环境，大大小小的运行环境用过不少，从开始的WAMP到后来的XAMPP以及PHPnow。WAMP和XAMPP都是继承mysql apache以及PHP库的运行环境，不同的是WAMP运行在Windows下，而XAMPP有Linux的版本。这些环境运行PHP也算是比较稳定的，但是自从网络安全要求提高了以后，被安全扫描软件扫出了好多高危漏洞而一度运行在上面的服务也被上级网络部门限制了访问，特别是今年六月份《网络安全法》颁布实施以来，网络安全的要求是越来越高，笔者工作的单位只要扫描出中级以上的漏洞的服务都是要停止整顿的。而上述环境默认情况下（未进行安全配置）满足不了安全要求，而就在笔者焦头烂额的时候发现了一款可以运行PHP的安全运行环境UPUPW，其官方网站为：http://www.upupw.net /。它分为好多个版本，大家根据需要运行的PHP版本的不同可以选择下载。这款软件只要下载成功，可以绿色运行，将PHP网站放在其目录的htdocs文件夹下就可以访问，提供一个可配置的界面，看起来还有点黑客的feel，只要启动了所有服务，并且运行了Apache的守护程序，基本上绿盟的扫描软件是扫描不出来中级以上漏洞的。其配置界面如下图所示：

  运行这个程序后，只需要输入s1，开启所有服务——包括Apache Mysql PHP支持等常用的PHP运行环境以及Apache的守护程序，选择16可以配置安全防护功能。这些一般情况下就可以满足PHP环境安全运行的需求，除非使用Memcache，下面就来说说当使用memcache的时候的安全措施。

    UPUPW集成了memcache的使用环境，在UPUPW根目录下有个memcached文件夹，里面有个配置文件memcachedConfig文件如下图所示：

  按理来说编辑MemcachedConfig文件可以对Memcache的使用进行配置，而笔者百度了很久也没找到配置的方法，该文件中只有以下内容

[MEMCACHED]
MaxMem=128
Port=11211
ServiceName=UPUPW_MemCached_A

　　可以配置Memcache的最大使用内存，端口和服务进程的名称，而使用Memcache最大的安全问题是一般都是通过Root权限进行访问，存在认证不充分的漏洞，外网用户可以通过该权限直接读取Memcached中的敏感信息。所以绿盟等扫描软件会认为它存在高危漏洞，而你的服务器很可能因为这个原因被网络监管部门封停。下面来说说解决办法。

      虽然不大清楚在memcachedConfig中如何设置安全措施，但是其中的一条设置很重要,就是Port------端口号,memcache的默认端口号是11211,既然知道了它的端口号就好办了,我们可以通过设置Windows防火墙的入站规则来限制外网对该端口号的访问,或者如果外网用户不需要使用Memcache服务,而只有本机使用的话我们可以设置一个禁止外网访问该端口号的规则.

    通过一番努力，设置了端口号11211的入站规则，Windows防火墙入站规则的设置请参考配置Windows 2008 R2防火墙入站规则，禁止了除了本机以外的所有外网主机的访问，memcache服务终于可以放心使用了，这使用使用UPUPW搭建的PHP环境就不用怕漏洞扫描软件的扫描了，网络安全部门也没理由封停你的服务了。