PHP网页编程之让你的PHP更平安之PHP.ini
在我开始学习PHP以前，我从未想过要做软件工程，即便是在去听过华育国际的关于软件工程的美好前景后，因为我一直都没有想过要与代码打交道，而是想学好所学专业，做个网络工程师或者是网络安全人员。php用愈来愈多！平安成绩更加主要！这里解说假如平安设置装备摆设php.ini 平安设置装备摆设一 (1) 翻开php的平安形式 php的平安形式是个十分主要的内嵌的平安机制，可以掌握一些php中的函数，好比system()， 同时把良多文件操作函数停止了权限掌握，也不答应对某些关头文件的文件，好比/etc/passwd， 然而默许的php.ini是没有翻开平安形式的，咱们把它翻开： safe_mode = on (2) 用户组平安 当safe_mode翻开时，safe_mode_gid被封闭，那末php剧本可以对文件停止会见，并且不异 组的用户也可以对文件停止会见。 建议设置为： safe_mode_gid = off 假如不停止设置，能够咱们没法对咱们办事器网站目次下的文件停止操作了，好比咱们需求 对文件停止操作的时分。 (3) 平安形式下履行法式主目次 假如平安形式翻开了，然而倒是要履行某些法式的时分，可以指定要履行法式的主目次： safe_mode_exec_dir = D:/usr/bin 普通情形下是不需求履行甚么法式的，所以保举不要履行体系法式目次，可以指向一个目次， 然后把需求履行的法式拷贝曩昔，好比： safe_mode_exec_dir = D:/tmp/cmd 然而，我更保举不要履行任何法式，那末就能够指向咱们网页目次： safe_mode_exec_dir = D:/usr/www (4) 平安形式下包括文件 假如要在平安形式下包括某些公共文件，那末就修正一下选项： safe_mode_include_dir = D:/usr/www/include/ 其实普通php剧本中包括文件都是在法式本人已写好了，这个可以依据详细需求设置。 (5) 掌握php剧本能会见的目次 利用open_basedir选项可以掌握PHP剧本只能会见指定的目次，如许可以防止PHP剧本会见 不该该会见的文件，必定水平下限制了phpshell的伤害，咱们普通可以设置为只能会见网站目次： open_basedir = D:/usr/www (6) 封闭风险函数 假如翻开了平安形式，那末函数制止是可以不需求的，然而咱们为了平安仍是思索出来。好比， 咱们感觉不但愿履行包含system()等在那的可以履行号令的php函数，或可以检查php信息的 phpinfo()等函数，那末咱们就能够制止它们： disable_functions = system,passthru,exec,shell_exec,popen,phpinfo 假如你要制止任何文件和目次的操作，那末可以封闭良多文件操作 disable_functions = chdir,chroot,dir,getcwd,opendir,readdir,scandir,fopen,unlink,delete,copy,mkdir, rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown 以上只是列了局部不叫经常使用的文件处置函数，你也能够把下面履行号令函数和这个函数联合， 就可以够抵抗大局部的phpshell了。 (7) 封闭PHP版本信息在http头中的泄露 咱们为了避免黑客获得办事器中php版本的信息，可以封闭该信息斜路在http头中： expose_php = Off 好比黑客在 telnet www.12345.com 80 的时分，那末将没法看到PHP的信息。 (8) 封闭注册全局变量 在PHP中提交的变量，包含利用POST或GET提交的变量，都将主动注册为全局变量，可以直接会见， 这是对办事器十分不平安的，所以咱们不克不及让它注册为全局变量，就把注册全局变量选项封闭： register_globals = Off 固然，假如如许设置了，那末获得对应变量的时分就要采取公道体例，好比获得GET提交的变量var， 那末就要用$_GET['var']来停止获得，这个php法式员要注重。 (9) 翻开magic_quotes_gpc来避免SQL注入 SQL注入长短常风险的成绩，小则网站后台被入侵，重则全部办事器低迷， 所以必定要当心。php.ini中有一个设置： magic_quotes_gpc = Off 这个默许是封闭的，假如它翻开后将主动把用户提交对sql的查询停止转换， 好比把 ' 转为 \'等，这对避免sql打针有严重感化。所以咱们保举设置为： magic_quotes_gpc = On (10) 毛病信息掌握 普通php在没有毗连到数据库或其他情形下会有提醒毛病，普通毛病信息中会包括php剧本当 前的途径信息或查询的SQL语句等信息，这类信息供应给黑客后，是不平安的，所以普通办事器建议制止毛病提醒： display_errors = Off 假如你倒是是要显示毛病信息，必定要设置显示毛病的级别，好比只显示正告以上的信息： error_reporting = E_WARNING & E_ERROR 固然，我仍是建议封闭毛病提醒。 (11) 毛病日记 建议在封闭display_errors后可以把毛病信息纪录上去，便于查找办事器运转的缘由： log_errors = On 同时也要设置毛病日记寄存的目次，建议根apache的日记存在一同： error_log = D:/usr/local/apache2/logs/php_error.log 注重：给文件必需答应apache用户的和组具有写的权限。 MYSQL的降权运转 新创立一个用户好比mysqlstart net user mysqlstart ****microsoft /add net localgroup users mysqlstart /del 不属于任何组 假如MYSQL装在d:\mysql ，那末，给 mysqlstart 完整掌握 的权限 然后在体系办事中设置，MYSQL的办事属性，在登录属性傍边，选择此用户 mysqlstart 然后输出暗码，肯定。 从头启动 MYSQL办事，然后MYSQL就运转在低权限下了。 假如是在windos平台下搭建的apache咱们还需求注重一点，apache默许运转是system权限， 这很可骇，这让人感到很不爽.那咱们就给apache降降权限吧。 net user apache ****microsoft /add net localgroup users apache /del ok.咱们创立了一个不属于任何组的用户apche。 咱们翻开盘算机办理器，选办事，点apache办事的属性，咱们选择log on，选择this account，咱们填入下面所创立的账户和暗码， 重启apache办事，ok，apache运转在低权限下了。 实践上咱们还可以经由过程设置各个文件夹的权限，来让apache用户只能履行咱们想让它无能的工作，给每个目次创立一个独自能读写的用户。 这也是以后良多虚拟主机供应商的盛行设置装备摆设办法哦，不外这类办法用于避免这里就显的有点牛鼎烹鸡了。 平安设置装备摆设二 后面引见了IIS+MySQL+PHP的根基设置装备摆设进程和Windows的根基权限设置。这一局部咱们需求会商php的平安设置装备摆设还有Web目次的平安设置装备摆设，固然也必需有IIS的反常平安设置装备摆设了。我这里先空话几句。 咱们终究的方针是Web站点只运转php，不撑持asp不撑持asp.net，让特定的目次或子网站不克不及履行php剧本，例如图片目次，咱们对它设置成不克不及运转php，如许就算您的网站被“黑客”登录了后台，能上传文件。然而终究他也不克不及履行webshell。 就算拿到了webshell，他也不克不及读目次或文件，不克不及履行号令。换句诳言就是说壮大的webshell在黑客手上没有任何的使用价值，让黑客终究直接抓狂而逝世。呵呵!其实做到这一点不长短常的难，跟从我的脚步来吧。学完本文章你就可以自力的完成如许的反常的办事器设置装备摆设了。 1、php.ini文件反常设置装备摆设 咱们为何把php.ini放在最后面写呢，由于咱们的Web网站是php的，所以良多默许的选项是不平安的。给黑客留下了十分多的可使用时机，所以第一步咱们必需要把php.ini设置的反常些，如许就可以禁止普通剧本黑客的进击了。 咱们起首来懂得一些php.ini的根基概念性。空白字符和以分号入手下手的行被复杂地疏忽。设置指令的格局以下：directive = value 指令名(directive)是巨细写敏感的!所以"foo=bar"分歧于"FOO=bar"。值(value)可所以： 1. 用引号界定的字符串(如："foo") 2. 一个数字(整数或浮点数，如：0，1，34，-1，33.55) 3. 一个PHP常量(如：E_ALL，M_PI) 4. 一个INI常量(On，Off，none) 5. 一个表达式(如：E_ALL & ~E_NOTICE) 还有别的一个是设置布尔值，1为On就是开启，0为Off就是封闭。php.ini分了良多局部，例如：模块局部，php全局设置装备摆设，数据库设置装备摆设，等等。如图1所示是一个根基的php.ini的例子。懂得了根基的概念今后咱们就能够入手下手反常设置装备摆设之旅。 左手拿着MOTOLOLA右手拿着NOKIA，要多潇洒，有多潇洒，哈哈，终于学会了，但是可能这个时候，又会有人不经意的拍拍肩膀对你说：哥们，别高兴的太早，你还是菜鸟，离学会还差着一大截呢! 找到的的资料很多都是在论坛里的，需要注册，所以我一般没到一个论坛都注册一个id，所有的id都注册成一样的，这样下次再进来的时候就不用重复注册啦。当然有些论坛的某些资料是需要的付费的。 建议加几个专业的phper的群，当然啦需要说话的人多，一处一点问题能有人回答你的，当然啦要让人回答你的问题，平时就得躲在里面聊天，大家混熟啦，愿意回答你问题的人自然就多啦。 没接触过框架的人，也不用害怕，其实框架就是一种命名规范及插件，学会一个框架其余的框架都很好上手的。 有时候汉字的空格也能导致页面出错，所以在写代码的时候，要输入空格最好用引文模式。 爱上php，他也会爱上你。 本人接触php时间不长，算是phper中的小菜鸟一只吧。由于刚开始学的时候没有名师指，碰过不少疙瘩，呗很多小问题卡过很久，白白浪费不少宝贵的时间，在次分享一些子的学习的心得。 如果你已经到这种程度了，那么你已经可以做我的老师了。其实php也分很多的区域， 环境搭建好,当你看见你的浏览器输出“it works\\\\\\\"时你一定是喜悦的。在你解决问题的时候，我强烈建议多读php手册。 装在C盘下面可以利用windows的ghost功能可以还原回来（顺便当做是重转啦），当然啦我的编译目录要放在别的盘下，不然自己的劳动成果就悲剧啦。 曾经犯过一个很低级的错误，我在文件命名的时候用了一个横线\\\\\\\'-\\\\\\\' 号，结果找了好几个小时的错误，事实是命名的时候 是不能用横线 \\\\\\\'-\\\\\\\' 的，应该用的是下划线\\\\\\\'_\\\\\\\' ; 小鸟是第一次发帖（我习惯潜水的(*^__^*) 嘻嘻……），有错误之处还请大家批评指正，另外，前些日子听人说有高手能用php写驱动程序，真是学无止境，人外有人，天外有天。 作为一个合格的coder 编码的规范是必须，命名方面我推崇“驼峰法”，另外就是自己写的代码最好要带注释，不然时间长了，就算是自己的代码估计看起来都费事，更不用说别人拉。 对于初学者来说不推荐去拿钱买的。当然如果一个网站你经常去用，而且里面的资料也比较有用，最好还是买个会员比较好，毕竟那些也是别人的工作成果。 Ps：以上纯属原创，如有雷同，纯属巧合 多看优秀程序员编写的代码，仔细理解他们解决问题的方法，对自身有很大的帮助。 多看优秀程序员编写的代码，仔细理解他们解决问题的方法，对自身有很大的帮助。 最后祝愿，php会给你带来快乐的同时 你也会给他带来快乐。 个人呢觉得，配wamp 最容易漏的一步就是忘了把$PHP$目录下的libmysql.dll拷贝到windows系统目录的system32目录下，还有重启apache。 刚开始安装php的时候，我图了个省事，把php的扩展全都打开啦（就是把php.ini 那一片 extension 前面的冒号全去掉啦），这样自然有好处，以后不用再需要什么功能再来打开。
页:
[1]
2