注册
登录
php网站主要的攻击方式有：1、用户不通过登录页面浏览网页而直接通过地址栏输入页面浏览 2、跨网站脚本攻击(Cross Site Scripting, XSS) 3、SQL注入攻击(SQL injection) 4、跨网站请求伪造攻击(Cross Site Request Forgeries, CSRF) 5、文件上传漏洞(File Upload Attack) 6、表单重复提交 7、HTTP请求欺骗攻击(Spoofed HTTP Requests) 8、PHP安全配置 这里说一下PHP中的关于攻防计划的一些配置入手的点 关闭危险函数 如果打开了安全模式，那么函数禁止是可以不需要的，但是我们为了安全还是考虑进去。比如， 我们觉得不希望执行包括system()等在那的能够执行命令的php函数，或者能够查看php信息的 phpinfo()等函数，那么我们就可以禁止它们： disable_functions = system,passthru,exec,shell_exec,popen,phpinfo 如果你要禁止任何文件和目录的操作，那么可以关闭很多文件操作 disable_functions = chdir,chroot,dir,getcwd,opendir,readdir,scandir,fopen,unlink,delete,copy,mkdir, rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown 以上只是列了部分不叫常用的文件处理函数，你也可以把上面执行命令函数和这个函数结合， 就能够抵制大部分的phpshell了。
错误信息控制 一般php在没有连接到数据库或者其他情况下会有提示错误，一般错误信息中会包含php脚本当 前的路径信息或者查询的SQL语句等信息，这类信息提供给黑客后，是不安全的，所以一般服务器建议禁止错误提示： display_errors = Off 如果你却是是要显示错误信息，一定要设置显示错误的级别，比如只显示警告以上的信息： error_reporting = E_WARNING & E_ERROR 控制php脚本能访问的目录 使用open_basedir选项能够控制PHP脚本只能访问指定的目录，这样能够避免PHP脚本访问 不应该访问的文件，一定程度上限制了phpshell的危害，我们一般可以设置为只能访问网站目录： open_basedir = /dir/user/ |
| 本文出处： http://www.toutiao.com/a6470857088435225102/ |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
