PHP अनुप्रयोगों में औसत सुरक्षा समस्याओं की तुलना में अधिक प्रतिष्ठा है। यह सुनिश्चित करने के लिए कि आप एप्लिकेशन को संभव के रूप में सुरक्षित करने के लिए क्या कॉन्फ़िगरेशन तकनीकों का उपयोग करते हैं?
मैं इस तरह के विचारों की तलाश कर रहा हूं:
मैं आमतौर पर लिनक्स का उपयोग करता हूं, लेकिन बेझिझक विंडोज समाधान भी सुझाता हूं।
जवाबों:
अपनी PHP स्क्रिप्ट्स को उनके होम डायरेक्टरी और अंतिम अतिरिक्त एप्लिकेशन डायरेक्टरीज़ तक सीमित करने के लिए open_basedir निर्देश का उपयोग करें। यह अपने आप में बहुत कुशल है।
कड़े php का उपयोग करें क्योंकि इसमें कुछ भी खर्च नहीं होता है और यह मदद कर सकता है।
PHP स्क्रिप्ट्स को फाइल के मालिक (प्रति उपयोगकर्ता एक उपयोगकर्ता) के रूप में निष्पादित करने के लिए suPHP का उपयोग करें और 777 जैसी खराब अनुमतियों वाली फ़ाइलों का उपयोग करने से बचें ... suPHP आपको प्रति वेबसाइट php.ini पर भी अनुमति दे सकती है ताकि एक साइट की बेवकूफी हो आवश्यकता सब कुछ नष्ट नहीं करती।
Mod_security एक बड़ा प्लस है लेकिन इसे अच्छी तरह से उपयोग करने और कॉन्फ़िगर करने की आवश्यकता है।
मेरे अनुभव में, PHP-आधारित वेब साइट पर अधिकांश कमजोरियाँ PHP में दोषों के बजाय खराब (साइट) डिज़ाइन का परिणाम हैं।
कुछ त्वरित सुझाव:
* आप एक छोटी पोस्ट पर भी नज़र रख सकते हैं, जिसे मैंने "Securing phpinfo (), सॉर्ट" लिखा था और टिप्पणियों को पढ़ने के लिए सुनिश्चित करें http://egovsergo.com/2009/04/03/protecting-your-phpinfo/ यह एक त्वरित विचार था जो मुझे (कुछ हद तक) phpinfo () की रक्षा करना था, अगर मैं किसी तरह इसे एक उत्पादन साइट पर निकालना भूल गया।
अधिक सामान्य तरीके से, कुछ डेवलपर्स संवेदनशील कार्यों के लिए रैपर लिखते हैं जो यह जांचते हैं कि "उत्पादन साइट" ध्वज सेट है या नहीं, और उत्पादन में संवेदनशील फ़ंक्शन को अक्षम करता है।
अन्य पैरामीटर जिन्हें PHP को सख्त करने के लिए बदल दिया जाना चाहिए:
safe_mode = Off
register_globals = Off
expose_php = Off
allow_url_fopen = Off
allow_url_include = Off
log_errors = On
error_log = /var/log/phperror.log
display_errors = Off
enable_dl = Off
disable_functions="popen,exec,system,passthru,proc_open,shell_exec,show_source,phpinfo"
फ़ाइल /var/log/phperror.log में सभी PHP त्रुटियों को संग्रहीत करें :
touch /var/log/phperror.log
chmod 666 /var/log/phperror.log
open_basedir"प्रति साइट" आधार पर स्थापित करने पर विचार करें । open_basedirएक php.ini सेटिंग है जो आपकी स्क्रिप्ट को परिभाषित सफेद सूची के बाहर फ़ाइलों तक पहुँचने से रोकेगी। यदि आपका सर्वर कई साइटों को होस्ट करता है, तो यह एक साइट को दूसरी साइट से डेटाबेस सेटिंग्स को पढ़ने से रोकेगा। यह कोर सिस्टम फ़ाइलों तक पहुँचने / संशोधन करने से php स्क्रिप्ट को भी रोकेगा। ओपन बेसिर सेट करना आसान है, बस php_admin_value open_basedir /my/list/of/folders:/as/a/colon/seperated/listप्रत्येक अपाचे वीहोस्ट को लाइन " " जोड़ें ।
सभी साइटों / फ़ोल्डरों के लिए PHP स्क्रिप्ट इंजन को बंद करने पर भी विचार करें, जिसमें PHP स्क्रिप्ट्स नहीं होनी चाहिए (जैसे एक अपलोड की गई छवि फ़ोल्डर)। फिर से, यह सरल है, किसी भी Apache VirtualHosts को php की आवश्यकता नहीं होने पर "php_admin_value engine off" जोड़ें। किसी निर्देशिका में PHP को निष्क्रिय करने के लिए, एक ही चीज़ को एक निर्देशिका टैग में रखें।
संभव के रूप में फ़ाइल अनुमतियों को चलाएं, Apache उपयोगकर्ता के लिए PHP स्क्रिप्ट तक पहुंच से बचें, यह एक रनिंग स्क्रिप्ट को उसी साइट / सर्वर पर स्वयं या अन्य स्क्रिप्ट को संशोधित करने से रोकता है। यदि संभव हो तो 777 अनुमतियों से बचें, एप्लिकेशन को चलाने और उन का उपयोग करने के लिए आवश्यक न्यूनतम अनुमतियों का पता लगाएं।
यदि आप कई साइटों की मेजबानी कर रहे हैं, प्रत्येक अपने स्वयं के डेटाबेस के साथ, प्रत्येक के लिए एक अलग MySQL / Postgres उपयोगकर्ता का उपयोग करें, और प्रत्येक उपयोगकर्ता पर अनुमतियाँ सेट करें जैसे कि उनके पास केवल प्रासंगिक डेटाबेस तक पहुंच हो। फिर से यह एक बदमाश स्क्रिप्ट को दूसरे एप्लिकेशन के डेटाबेस के साथ छेड़छाड़ करने से रोकेगा।
Suosin, HardenedPHP, mod_security और पसंद सभी मूल्यवान हैं, लेकिन इनका उपयोग कसकर लॉक किए गए कॉन्फ़िगरेशन के अलावा करते हैं, इसके बजाय नहीं।
सुहोसिन के पास पर्याप्त प्रदर्शन लागत है, इसलिए "लागत कुछ भी नहीं" टिप्पणी थोड़ी दूर है।
क्या आप कुछ बुनियादी फ़ायरवॉल / टोपोलॉजी सुझावों की तलाश कर रहे हैं? मुझे पाउंड की तरह चीजों का उपयोग करने का विचार पसंद है, जो सीधे-सीधे नजरबंद किए गए लोगों से PHP वेबसर्वर तक पहुंच को रोकने के लिए है। इस तरह आप अपने नेटवर्क के अन्य हिस्सों से भी वेबसर्वर को अलग कर सकते हैं।
सुहोसिन / mod_security / SuPHP का उपयोग निश्चित रूप से आपके PHP सर्वर को सुरक्षित करेगा। निष्पादन, पसथ्रू, सिस्टम और एस्सेलशेल्डक जैसे कुछ कार्यों को अक्षम करने से भी बहुत मदद मिलेगी।