LAMP(7限定某个目录禁止解析php 限制user_agent PHP相关配置PHP扩展模块

Posted 2020-10-27

                限定某个目录禁止解析php

防止黑客上传一个目录文件php，网站会从而解析php,对我们的网站有很大的危险。

因此，我们需要在能上传文件的目录直接禁止解析PHP代码

禁止步骤

1.编辑虚拟主机配置文件：增添内容

核心配置文件内容

    <Directory /data/wwwroot/111.com/upload>

        php_admin_flag engine off   //禁止解析PHP这行即可

      <FilesMatch  （.*)\.php(.*)>   //加上这个deny是可以防止解析我们xxx.php(.*)源代码

        Order deny,allow

        Deny from all

      </FilesMatch>

    </Directory>

修改完后：

改完了配置文件需要重新加载一下：

/usr/local/apache2.4/bin/apachectl -t  （检测）

/usr/local/apache2.4/bin/apachectl graceful （加载）

创建upload目录：（在/data/wwwroot/111.com/下创建）

cd /data/wwwroot/111.com

mkdir upload

复制admin.php到upload下并改名为test.php

测试：

此时只是显示test.php源代码

去掉这个标签内容，再测试，连访问的权限都没有

测试

                 限制user_agent

user_agent：为浏览器的标识

当很多用户同时访问同一个站点，这样会很消耗服务器资源

针对user_agent做访问控制步骤：

1.编辑虚拟主机配置文件：增添内容

<IfModule mod_rewrite.c>  

        RewriteEngine on

        RewriteCond %{HTTP_USER_AGENT}  .*curl.* [NC,OR] 

        RewriteCond %{HTTP_USER_AGENT}  .*baidu.com.* [NC]

        RewriteRule  .*  -  [F]           

</IfModule>

限制.*curl.或者.*baidu.com.这两个user_agent的访问

改完了配置文件需要重新加载一下：

/usr/local/apache2.4/bin/apachectl -t  （检测）

/usr/local/apache2.4/bin/apachectl graceful （加载）

测试：

在日志文件可以看出：user_agent是我们的定义的curl

指定user_agent进行测试 curl -A（加-A选项）

 curl -A "cansheng" -x192.168.136.133:80 'http://111.com/admin.php' -I 

访问日志查看user_agent

curl 的常用选项意义:

-A ：指定user_agent

-I    :显示状态码

-x  ：相当省略了hosts

                             PHP相关配置

查看我们的配置文件位置：（111.com虚拟主机）

（1）网页上查看：

首先得在 /data/wwwroot/111.com/index.php下编辑添加

phpinfo();

网页上查看信息：

cp  /usr/local/src/php-5.6.30/php.ini-development /usr/local/php/etc/php.ini

复制后则会出现这样的信息

这就是我们配置文件php.ini的位置

（2）命令行查看

usr/local/php/bin/php -i|grep -i "loaded configuration file" 

（上面的PHP Warning:这个不是报错。需要取消的话编辑php.ini  。找到data.timezone

 

把PHP里的一些函数禁掉：

步骤：

1.修改配置文件：vim /usr/local/php/etc/php.ini

增添要禁止的函数

disable_functions

eval,assert,popen,passthru,escapeshellarg,escapeshellcmd,passthru,exec,system,chroot,scandir,chgrp,chown,escapeshellcmd,escapeshellarg,shell_exec,proc_get_status,ini_alter,ini_restore,dl,pfsockopen,openlog,syslog,readlink,symlink,leak,popepassthru,stream_socket_server,popen,proc_open,proc_close

禁止了phpinfo()函数后再次访问111.com/index.php（内有phpinfo())则不会显示函数的内容：

配置error_log （不让错误信息显示在浏览器中）

1.修改display_errors = Off

修改以后就不会把错误信息显示在浏览器中

2.定义错误日志的路径：

（1）确保：log_errors =On

（2）路径：error_log = /tmp/log/php/php_errors.log(自定义路径)

（3）定义error_log级别：error_reporting

创建 错误日志路劲文件：

并修改权限：

测试：

配置open_basedir：（安全选项）

open_basedir：作用是将网站限制在指定的目录里，就算黑客黑了这个网址也只能在这个目录下操作，影响不了其他目录下的网站。（一台服务器可以跑多个网站）

步骤：

1.修改配置文件，增加内容。

增加限定所在目录（多个目录用“：”隔开

测试：

故意把限定目录改成不存在的一个目录：

运行： curl -x192.168.136.133:80 111.com/index.php -I 

（index.php是在111.com目录下的）

报错。

错误日志内容显示：

正确修改完后

访问正常：

如果我们的服务器上有很多个网站都在同一个目录，那么直接修改php.ini就不是这么合适。php.ini是针对所有的站点的。

解决方法：

对单个虚拟主机设置open_basedir

步骤：

修改虚拟主机配置文件：

 vim  /usr/local/apache2.4/conf/extra/httpd-vhosts.conf

增添内容：

php_admin_value open_basedir "/data/wwwroot/111.com:/tmp/"

php_admin_value  可以定义php.ini里面的参数：

这样两台虚拟主机都限定在各自的目录下

（/tmp 目录基本都得添加到限制目录中，这个是因为一些临时限制文件一般的都是先存放在/tmp，不加tmp则类似图片上传也不能正确使用）

（切记：每次修改完配置文件都要检测和加载

/usr/local/apache2.4/bin/apachectl -t  （检测）

/usr/local/apache2.4/bin/apachectl graceful （加载）

）

                                 PHP扩展模块安装

PHP动态扩展模块

当我们的需求变更时，我们的模块在一开始配置完成后没有变更时的模块，那么就需要动态扩展：

查看PHP目前都加载了什么模块

/usr/local/php/bin/php -m 

下面安装一个redis的模块（ 放在/usr/local/src/目录下）

1.先下载redis 的包：

2.修改一下名字：

mv develop phpredis-develop.zip

3.解压：

unzip phpredis-develop.zip

4.进入到包里：

cd phpredis-develop

5.生成configure文件

/usr/local/php/bin/phpize 

yum install -y autoconf

安装完成后再执行/usr/local/php/bin/phpize 

6.执行

./configure --with-php-config=/usr/local/php/bin/php-config

7.make

8.make  install

安装完后：生成有redis.so这个文件，这正是我想要的 

但是此时我们的php并没有加载到这个模块

9.配置，让php加载这个redis模块：

（1）查看扩展模块存放目录，（我们可以在php.ini中去自定义该路径）

/usr/local/php/bin/php -i |grep extension_dir 

下载的模块都是默认放在这里的：

（2）编辑php.ini

vim /usr/local/php/etc/php.ini

增加一行配置（可以放到文件最后一行）

extension = redis.so  

最后就可以查看到php加载了这个模块

(编译一个扩展模块的时候，如果如果自带的源码包里（php）的ext目录下有我们想要的模块，那么就可以直接在ext编译它 ,不用下载，先进入该包然后执行生成configure文件这里开始的步骤

)