首页 » 应用安全 » Web 服务器 » Apache » 正文

PHP 常见加固

1. 版本号隐藏

 修改 php.ini 文件,关闭版本号显示。

expose_php = Off

3. 错误日志管理

修改 php.ini 文件,将对应的参数设置为记录错误日志但不输出到客户端,防止日志显示导致的信息泄露。

date.timezone = “Asia/Shanghai”
error_reporting = E_ALL & ~E_NOTICE
display_errors = Off
log_errors = On
error_log = 日志文件存储路径

4. 禁止远程文件包含

 在没有特殊需要的情况下应关闭远程文件包含,防止服务器端文件包含攻击。

allow_url_include = Off

5. 禁用危险函数

 某些php内置函数常被攻击者利用,可以通过禁用一些在应用中未使用的危险函数,来降低攻击带来的危害。

例如:在 php.ini 配置文件中进行如下配置可以禁用一些常见的危险函数:

disalbe_functions = passthru, exec, system, chroot, scandir, chgrp, chown, shell_exec, proc_open, proc_get_status, ini_alter, ini_restore, dl, pfsockopen, openlog, syslog, readlink, symlink, popepassthru, stream_socket_server

发表评论