php網站主要的攻擊方式有:
1、用戶不通過登錄頁面瀏覽網頁而直接通過地址欄輸入頁面瀏覽
2、跨網站腳本攻擊(Cross Site Scripting, XSS)
3、SQL注入攻擊(SQL injection)
4、跨網站請求偽造攻擊(Cross Site Request Forgeries, CSRF)
5、文件上傳漏洞(File Upload Attack)
6、表單重複提交
7、HTTP請求欺騙攻擊(Spoofed HTTP Requests)
8、PHP安全配置
這裡說一下PHP中的關於攻防計劃的一些配置入手的點
關閉危險函數
如果打開了安全模式,那麼函數禁止是可以不需要的,但是我們為了安全還是考慮進去。比如,
我們覺得不希望執行包括system()等在那的能夠執行命令的php函數,或者能夠查看php信息的
phpinfo()等函數,那麼我們就可以禁止它們:
disable_functions = system,passthru,exec,shell_exec,popen,phpinfo
如果你要禁止任何文件和目錄的操作,那麼可以關閉很多文件操作
disable_functions = chdir,chroot,dir,getcwd,opendir,readdir,scandir,fopen,unlink,delete,copy,mkdir, rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown
以上只是列了部分不叫常用的文件處理函數,你也可以把上面執行命令函數和這個函數結合,
就能夠抵制大部分的phpshell了。
錯誤信息控制
一般php在沒有連接到數據庫或者其他情況下會有提示錯誤,一般錯誤信息中會包含php腳本當
前的路徑信息或者查詢的SQL語句等信息,這類信息提供給黑客後,是不安全的,所以一般服務器建議禁止錯誤提示:
display_errors = Off
如果你卻是是要顯示錯誤信息,一定要設置顯示錯誤的級別,比如只顯示警告以上的信息:
error_reporting = E_WARNING & E_ERROR
控制php腳本能訪問的目錄
使用open_basedir選項能夠控制PHP腳本只能訪問指定的目錄,這樣能夠避免PHP腳本訪問
不應該訪問的文件,一定程度上限制了phpshell的危害,我們一般可以設置為只能訪問網站目錄:
open_basedir = /dir/user/