限定某个目录禁止解析php 限制user_agent php相关配置

Posted 2020-11-10

一、限定某个目录禁止解析php

通过禁止php解析图片目录，来限制网站被×××恶意找到后门获取到数据库权限
#vim /usr/local/apache2.4/conf/extra/httpd-vhosts.conf

#/usr/local/apache2.4/bin/apachectl -t
#/usr/local/apache2.4/bin/apachectl graceful
#mkdir upload //在/data/wwwroot/111.com下创建一个upload目录
#cp 123.php upload/
#curl -x127.0.0.1:80 ‘http://111.com/upload/123.php‘ -I //测试

二、限制user_agent

CC×××的原理是：×××者借助代理服务器（肉机）生成指向受害主机的合法请求，实现DDOS和伪装
通过日志分析，遇到user_agent很规律的请求基本可以判定它是CC×××
#vim /usr/local/apache2.4/conf/extra/httpd-vhosts.conf

#/usr/local/apache2.4/bin/apachectl -t
#/usr/local/apache2.4/bin/apachectl graceful
#curl -A "aminglinux aminglinux" -x192.168.8.131:80 #‘http://111.com/123.php‘ -I //-A指定user_agent，-e指定rewrite，必须以"http://"开头，-x指定hosts，-I仅仅查看状态码

三、PHP相关配置

通过浏览器访问，用phpinfo()函数查看网站phpinfo函数文件，如果没有加载php.ini，从源码包复制一个到/usr/local/php/etc/
cp /usr/local/src/php-5.6.32/php.ini-development /usr/local/php/etc/php.ini

disable_functions 是安全函数
#vim /usr/local/php/etc/php.ini //修改配置文件，在disable_functions =后面加如下安全函数，有些企业生产环境上把phpinfo也加入到安全函数，增加安全性
disable_functions =eval,assert,popen,passthru,escapeshellarg,escapeshellcmd,passthru,exec,system,chroot,scandir,chgrp,chown,escapeshellcmd,escapeshellarg,shell_exec,proc_get_status,ini_alter,ini_restore,dl,pfsockopen,openlog,syslog,readlink,symlink,leak,popepassthru,stream_socket_server,popen,proc_open,proc_close,phpinfo
#/usr/local/apache2.4/bin/apachectl graceful //修改完成之后重新加载下文件
在浏览器中刷新http://111.com/index.php网页，出现如下页面提示：phpinfo被禁掉

#vim /usr/local/php/etc/php.ini //date.timezone定义为亚洲上海或者重庆
date.timezone = Asia/Shanghai
把display_errors = On 修改为 display_errors = Off ，改为Off后访问http://111.com/index.php将不会输出错误信息，直接变为白页
如果把错误信息输出禁用，需要把错误日志开启，log_errors = On，修改错误日志路径error_log = /tmp/php_errors.log
error_reporting定义错误日志记录级别 ，默认error_reporting = E_ALL，生产环境上一般使用 Show all errors, except for notices
#/usr/local/apache2.4/bin/apachectl -t
#/usr/local/apache2.4/bin/apachectl graceful
#ls /tmp //可以查看下/tmp下有没有生成php_errors.log文件
#ls -l /tmp/php_errors.log
rw-r--r-- 1 daemon daemon 145 Jun 5 07:34 /tmp/php_errors.log //可以看到它的属组是daemon
#ps aux |grep httpd

daemon其实是httpd的进程，那么这个错误日志是以这个进程的身份生成的
如果定义了一个错误日志，但是这个错误日志始终无法生成，就需要检查定义的错误路径有没有写的权限
#cat /tmp/php_errors.log //查看错误日志内容
[05-Jun-2018 07:34:06 Asia/Shanghai] PHP Warning: phpinfo() has been disabled for security reasons in /data/wwwroot/111.com/index.php on line 2
#vim /data/wwwroot/111.com/2.php //创建一个2.php
curl -A "a" -x127.0.0.1:80 http://111.com/2.php -I //报500错误
#cat /tmp/php_errors.log //提示Parse error错误
[05-Jun-2018 08:14:40 Asia/Shanghai] PHP Parse error: syntax error, unexpected end of file in /data/wwwroot/111.com/2.php on line 4

多站点安全配置：
需求：一个服务器跑多个站点，A站点代码可能有问题，有漏洞，结果A站点被黑了，要想使其他站点目录不受影响，可以增加open_basedir
#vim /usr/local/php/etc/php.ini
open_basedir=/data/wwwroot/111.com:/tmp //如果是在php.ini下定义，只能定义一个open_basedir，是针对所有站点和临时目录
#/usr/local/apache2.4/bin/apachectl graceful
#vim /usr/local/apache2.4/conf/extra/httpd-vhosts.conf // 对每个站点单独限定相互隔离，修改httpd-vhosts.conf 配置文件
php_admin_value open_basedir "/data/wwwroot/111.com:/tmp" //在111.com站点配置文件中添加
php_admin_value open_basedir "/data/wwwroot/abc.com:/tmp" //在abc.com站点配置文件中添加
#/usr/local/apache2.4/bin/apachectl -t
#/usr/local/apache2.4/bin/apachectl graceful