PHP程序安全策略(整理完全版).doc

PHP程序安全策略 　　PHP是一种功能强大的语言和解释器，无论是作为模块方式包含到web服务器里安装的还是作为单独的CGI程序程序安装的，都能访问文件、执行命令或者在服务器上打开链接。而这些特性都使得PHP运行时带来安全问题。虽然PHP是特意设计成一种比用Perl或C语言所编写的CGI程序要安全的语言，但正确使用编译时和运行中的一些配置选项以及恰当的应用编码将会保证其运行的安全性。 　　一、PHP的编译安全。 　　在编译PHP之前，首先确保操作系统的版本是必威体育精装版的，必要的补丁程序必须安装过。另外使用编译的PHP也应当是必威体育精装版的版本，关于PHP的安全漏洞也常有发现，请使用必威体育精装版版本，如果已经安装过PHP请升级为必威体育精装版版本。 　　安装编译PHP过程中要注意的3个问题： 　　1、只容许CGI文件从特定的目录下执行：首先把处理CGI脚本的默认句柄删除，然后在要执行CGI脚本的目录在http.conf 文件中加入ScriptAlias指令。 　　#Addhadler cgi-script .cgi 　　ScriptAlias /cgi-bin/ /usr/local/apache/cgi-bin/ 　　Directory /usr/local/apache/cgi-bin 　　AllowOverride None 　　Options None 　　Order allow,deny 　　Allow from all 　　/Directory 　　Directory /home/*/public_html/cgi-bin 　　AllowOverride None 　　Options ExecCGI 　　Order allow,deny 　　Allow from all 　　/Directory 　　SriptAlias的第一个参数指明在Web中的可用相对路径，第二个参数指明脚本放在服务器的目录。应该对每个目录 　　别名都用Directory，这样可使得除系统管理员之外的人不知道Web服务器上CGI脚本的清单。 　　Directory允许用户创建自己的CGI脚本。也可用SriptAliasMatch，但Directory更容易使用。 允许用户创建自己 　　CGI脚本可能会导致安全问题，你可能不希望用户创建自己的CGI。 Apache默认配置是注释掉cgi—script的处理句柄，但有／cgi-bin目录使用SriptAlias和Directory指令。 你也可禁止CGI执行，但仍允许执行PHP脚本。 　　2．把PHP解析器放在web目录外 　　把PHP解析器放在Web目录树外是非常重要的做法。这样可以防止web服务器对PHP的解析器的滥用。特别是 　　不要把PHP解析器放在cgi－bin或允许执行CGI程序的目录下。然而，使用Action解析脚本是不可能的，因为用Action指令时，PHP解析器大多数要放在能够执行CGI的目录下只有当PHP脚本作为CGI程序执行时，才能把PHP解析器放在Web目录树之外。 　　如果希望PHP脚本作为CGI程序执行(这们可以把PHP解析器放在Web目录树之外)，可以这样： 　　( 1)所有的PHP脚本必须位于能执行CGI程序的目录里。 　　( 2)脚本必须是可执行的(仅在UNIX/Linux机器里)。 　　(3)脚本必须在文件头包括PHP解析器的路径。 　　你可用下面命令使PHP脚本为可执行： 　　#chmod +x test.php4 　　这样使在当前目录下的文件名为test.PhP4的脚本变为可执行。 下面是一个能作为CGI程序运行的PHP脚的小例子。 　　#!/usr/local/bin/php 　　echo This is a my small cgi program” 　　3. 按Apache模块方式安装: 　　当将PHP作为Apache模块使用时，它将继承Apche的用户权限(一般情况下用户为“nobody”)。这一点对于安全性和验证有不少影响。例如，使用PHP访问数据库，除非数据库支持内建的访问控制，将不得不设置数据库对于用户“nobody”的可访问权限。这将意味着恶意的脚本在没有访问用户名和密码，也能访问并修改数据库。通过Apache验证来保护数据不被暴露，或者也可使用LDAP、．htaccess文件等设计自己的访问控制模型，并在PHP脚本中将此代码作为其中部分引入。 通常，一旦安全性建立，此处PHP用户(此情形即Apache用户)就风险大大降低了，会发现PHP护现在已被封禁了将可能的染毒文件写入用户目录的能力。 此处最常犯的安全性错误是赋予Apache服务器根(root)权限。 将Apache用户权限提升到根权限是极端危险的。可能会危及整个系统，因此要小心使用sudo，chroot安全隐患大的命