PHPのセキュリティ設定は何ですか?

PHP セキュリティ設定には、1. PHP エラー出力のシールド、2. PHP バージョンのシールド、3. グローバル変数のクローズ、4. ファイル システムの制限、5. リモート リソース アクセスの禁止、6. 拡張機能のインストールなどがあります。 。

推奨事項: 「PHP チュートリアル 」

最近、PHP のセキュリティ関連の問題について同僚と話し、記録しました。いくつかの洞察。

スクリプト言語と初期バージョンの設計に起因するさまざまな理由により、PHP プロジェクトには多くのセキュリティ リスクが存在します。構成オプションから、次の最適化を行うことができます。

#1. PHP エラー出力をシールドします。
/etc/php.ini (デフォルトの設定ファイルの場所) で、次の設定値を Off に変更します

display_errors=Off

エラー スタック情報を直接ファイルに出力しないでください。 Web ページ 、ハッカーが関連情報を使用するのを防ぐため。

正しいアプローチは次のとおりです。
トラブルシューティングを容易にするために、エラー ログをログ ファイルに書き込みます。

#2. PHP バージョンをブロックします。
デフォルトでは、
Response Headers X-powered-by: PHP/7.2 のように、PHP バージョンが戻りヘッダーに表示されます。 0

php.ini の次の設定値を Off

expose_php=Off

3 に変更し、グローバル変数を閉じます。
グローバル変数が有効になっている場合、一部のフォーム送信データはグローバル変数として自動的に登録されます。コードは次のとおりです。

グローバル変数が有効になっている場合、サーバー側の PHP スクリプトは $username と $password を使用してユーザー名とパスワードを取得できます。これにより、スクリプト インジェクションの大きな危険が生じます。

これを有効にする方法は、php.ini を次のように変更することです:

register_globals=On

それを閉じることをお勧めします。パラメータは次のとおりです:

register_globals=Off

When閉じられており、 $_POST と $_GET からのみアクセスでき、 $_REQUEST で関連パラメータを取得します。

4. ファイル システムの制限
open_basedir を使用して、PHP がアクセスできるシステム ディレクトリを制限できます。

以下のスクリプトコード(hack.php)を制限なく使用すると、システムパスワードを取得できます。

<?php
echo file_get_contents(&#39;/etc/passwd&#39;);

設定すると、エラーが報告され、関連情報が表示されなくなり、システム ディレクトリ b が不正にアクセスされなくなります:

PHP 警告: file_get_contents(): open_basedir 制限が有効です。ファイル (/etc/passwd) が許可されたパス内にありません: (/var/www) (/var/www/hack.php の 3 行目)

警告: file_get_contents(): open_basedir 制限が有効です。ファイル (/etc/passwd) が許可されたパス内にありません: /var/ 内の (/var/www) www/hack.php 行 3 PHP 警告: file_get_contents(/etc/passwd): ストリームを開けませんでした: 操作は /var/www/hack.php 行 3

## では許可されていません

#警告: file_get_contents(/etc/passwd): ストリームを開けませんでした: /var/www/hack.php の 3 行目で操作は許可されていません

open_basedir=/var/www

5. リモートリソースへのアクセスを禁止します。

allow_url_fopen=Off

allow_url_include=Off

その他のサードパーティ製セキュリティ拡張機能

6.Suhosin。 Suhosin は、PHP プログラムの保護システムです。これはもともと、PHP プログラムと PHP コアの既知または未知の欠陥からサーバーとユーザーを保護するために設計されました (非常に実用的で、いくつかの軽微な攻撃に耐えることができます)。スホシンには 2 つの独立したパーツがあり、別々に使用することも、組み合わせて使用​​することもできます。

最初の部分は、バッファ オーバーフローやフォーマット文字列の弱点に対処できる PHP コア用のパッチです (これは必須です!);

2 番目の部分は、強力な PHP 拡張機能 (拡張機能) です。モードは非常に優れており、インストールが簡単です...)、他のすべての保護手段を含みます。

拡張機能のインストール

wget http://download.suhosin.org/suhosin-0.9.37.1.tar.gztar zxvf suhosin-0.9.37.1.tar.gz
cd suhosin-0.9.37.1/phpize./configure  --with-php-config=/usr/local/bin/php-config
make
make install
在php.ini下加入suhosin.so即可

extension=suhosin.so

機能

##エミュレータ保護モード

1. 2 つの関数を追加 sha256( ) と sha256_file() を PHP コアに追加します。
2. すべてのプラットフォームで、関数 crypt() に CRYPT_BLOWFISH を追加します。
3. phpinfo() ページの透過的保護を有効にします。
4. SQL データベースユーザー保護 (テスト段階)

ランタイム保護

1.  加密cookies
2. 防止不同种类的包含漏洞（不允许远程URL包含（黑/白名单）；不允许包含已上传的文件；防止目录穿越攻击）
3. 允许禁止preg_replace() 
4. 允许禁止eval()函数
5. 通过配置一个最大执行深度，来防止无穷递归
6. 支持每个vhost配置黑白名单
7. 为代码执行提供分离的函数黑白名单
8. 防止HTTP响应拆分漏洞
9. 防止脚本控制memory_limit选项
10. 保护PHP的superglobals，如函数extract()，import_request_vars()
11. 防止mail()函数的新行攻击
12. 防止preg_replace()的攻击

Session 保护

1. 加密session数据
2. 防止session被劫持
3. 防止超长的session id
4. 防止恶意的session id

SESSION里的数据通常在服务器上的明文存放的。这里通过在服务端来加解密$_SESSION。这样将Session的句柄存放在Memcache或数据库时,就不会被轻易攻破，很多时候我们的session数据会存放一些敏感字段。

这个特性在缺省情况下是启用的,也可以通过php.ini来修改：

suhosin.session.encrypt = On
suhosin.session.cryptkey = zuHywawAthLavJohyRilvyecyondOdjo
suhosin.session.cryptua = On
suhosin.session.cryptdocroot = On

;; IPv4 only
suhosin.session.cryptraddr = 0suhosin.session.checkraddr = 0

Cookie加密

Cookie在客户端浏览器的传输的HTTP头也是明文的。通过加密cookie，您可以保护您的应用程序对众多的攻击，如

• Cookie篡改：攻击者可能会尝试猜测其他合理的cookie值来攻击程序。
• 跨应用程序使用Cookie：不正确配置的应用程序可能具有相同的会话存储，如所有会话默认存储在/tmp目录下，一个应用程序的cookie可能永远不会被重新用于另一应用，只要加密密钥不同。

Cookie加密在php.ini中的配置：

suhosin.cookie.encrypt = On

;; the cryptkey should be generated, e.g. with 'apg -m 32'suhosin.cookie.cryptkey = oykBicmyitApmireipsacsumhylWaps1
suhosin.cookie.cryptua = On
suhosin.cookie.cryptdocroot = On

;; whitelist/blacklist (use only one)
;suhosin.cookie.cryptlist = WALLET,IDEAS
suhosin.cookie.plainlist = LANGUAGE

;; IPv4 only
suhosin.cookie.cryptraddr = 0suhosin.cookie.checkraddr = 0Blocking Functions
测试##默认PHP的Session保存在tmp路径下ll  -rt /tmp | grep sess##扩展未开启时查看某条sesson的数据cat  sess_ururh83qvkkhv0n51lg17r4aj6//记录是明文的##扩展开启后查看某条sesson 的数据cat  sess_ukkiiiheedupem8k4hheo0b0v4//记录是密文的可见加密对安全的重要性

阻断功能

白名单

##显式指定指定白名单列表
suhosin.executor.func.whitelist = htmlentities,htmlspecialchars,base64_encode
suhosin.executor.eval.whitelist = htmlentities,htmlspecialchars,base64_encode

<?php
echo htmlentities(&#39;<test>&#39;);
eval(&#39;echo htmlentities("<test>");&#39;);

黑名单

##显式指定指定黑名单列表
suhosin.executor.func.blacklist = assert,unserialize,exec,popen,proc_open,passthru,shell_exec,system,hail,parse_str,mt_srand
suhosin.executor.eval.whitelist = assert,unserialize,exec,popen,proc_open,passthru,shell_exec,system,hail,parse_str,mt_srand
通过日志来查看非法调用黑白名单

suhosin.simulation = 1
suhosin.log.file = 511
suhosin.log.file.name = /tmp/suhosin-alert.log

其他配置项

suhosin.executor.include.max_traversal    扩目录的最大深度，可以屏蔽切换到非法路径
suhosin.executor.include.whitelist        允许包含的URL，用逗号分隔
suhosin.executor.include.blacklist        禁止包含的URL，用逗号分隔
suhosin.executor.disable_eval = On        禁用eval函数

suhosin.upload.max_uploads
suhosin.upload.disallow_elf
suhosin.upload.disallow_binary
suhosin.upload.remove_binary
suhosin.upload.verification_script        上传文件检查脚本，可以来检测上传的内容是否包含webshell特征

使用Suhosin，你可以得到一些错误日志，你能把这些日志放到系统日志中，也可以同时写到其他任意的日志文件中去;

它还可以为每一个虚拟主机创建黑名单和白名单;

可以过滤GET和POST请求、文件上载和cookie;

你还能传送加密的会话和cookie，可以设置不能传送的存储上线等等;

它不像原始的PHP强化补丁，Suhosin是可以被像Zend Optimizer这样的第三方扩展软件所兼容的。

以上がPHPのセキュリティ設定は何ですか?の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。