[转载]通过对php一些服务器端特性的配置加强php的安全

天云上人

发布日期：2001-11-27
文章内容：
0 O) b3 _4 A: U, p- d--------------------------------------------------------------------------------
* y; R; z; f) M1 R
) `. U4 M* b' n3 \. u% N: o作者：san（小许） san@nsfocus.com
* N1 y5 K& j0 U! U& ]& g2 q
9 Z# u" l' c: j" c% x--------------------------------------------------------------------------------
0 H6 |& h* M7 d2 O
前面象Shaun Clowes和rfp等都比较详细的介绍了php、cgi程序在编程过程中遇到的问题，以
及如何通过应用程序漏洞突破系统，这篇文章我们来通过对php的一些服务器端特性来进行配
( f0 _8 `2 [0 a8 Y置加强php的安全。写cgi脚本的时候我们的确一定注意各种安全问题，对用户输入进行严格的
  Z  n  j% @7 O. E  D9 S过滤，但是常在岸边走哪有不湿鞋，吃烧饼哪有不掉芝麻，人有失蹄马有失手，连著名的
phpnuke、phpMyAdmin等程序都出现过很严重的问题，更何况象我等小混混写的脚本。所以现
在我们假设php脚本已经出现严重问题，比如象前一阵子phpnuke的可以上传php脚本的大问题
了，我们如何通过对服务器的配置使脚本出现如此问题也不能突破系统。
+ q0 H  g! i5 {) s
2 b7 c- O% F$ S! D$ O) _4 [% s
1、编译的时候注意补上已知的漏洞

# h& [: W- c- S+ F5 S从4.0.5开始，php的mail函数加入了第五个参数，但它没有好好过滤，使得php应用程序能突
0 A8 l6 p& Z2 Y; n  {2 s6 x* A; k& t! Z破safe_mode的限制而去执行命令。所以使用4.0.5和4.0.6的时候在编译前我们需要修改php源
码包里ext/standard/mail.c文件，禁止mail函数的第五参数或过滤shell字符。在mail.c文件
的第152行，也就是下面这行：

! w! W) \% T; F( i3 Cif (extra_cmd != NULL) {
7 Q0 }. R& a7 E
8 d# R$ }' j- s- g4 J* I; X5 H后面加上extra_cmd=NULL;或extra_cmd = php_escape_shell_cmd(extra_cmd);然后编译php
' Y+ H* d% t' m4 F那么我们就修补了这个漏洞。
& x: ^. o' U( [$ @

, H1 S3 ]' M7 x2 k0 v8 F" q2、修改php.ini配置文件
% s0 j" |4 a& R( B
以php发行版的php.ini-dist为蓝本进行修改。

1)Error handling and logging
9 p1 C- Z- I/ w2 c0 u% J6 ^在Error handling and logging部分可以做一些设定。先找到：
display_errors = On
7 S, t+ n" J+ U' \' M
php缺省是打开错误信息显示的，我们把它改为：

5 U, e% h8 u: c8 y& odisplay_errors = Off
* P3 ^+ o0 C# F, {* P. h) k
关闭错误显示后，php函数执行错误的信息将不会再显示给用户，这样能在一定程度上防止攻
击者从错误信息得知脚本的物理位置，以及一些其它有用的信息，起码给攻击者的黑箱检测造
成一定的障碍。这些错误信息可能对我们自己有用，可以让它写到指定文件中去，那么修改以
下：

$ h6 y8 p( `! O0 Y$ R! `log_errors = Off

改为：
log_errors = On

0 D% }& Z0 v& h1 ]以及指定文件，找到下面这行：

- M4 U  t1 K, N) W$ }3 z$ I;error_log = filename

去掉前面的;注释，把filename改为指定文件，如/usr/local/apache/logs/php_error.log

+ g! o9 C6 e; a: P7 H9 herror_log = /usr/local/apache/logs/php_error.log
! r; j7 Z' N7 |/ L# c. b% ^4 z
) D) ]! s/ F0 D  F5 ~, Z7 d这样所有的错误都会写到php_error.log文件里。
7 `+ t' t5 b" d2 d% v- \
2)Safe Mode
; N4 h  z- v; ?+ E
8 e8 |/ C% t0 s: X# {. R6 Jphp的safe_mode功能对很多函数进行了限制或禁用了，能在很大程度解决php的安全问题。在
& M: L" `/ B/ YSafe Mode部分找到：

safe_mode = Off
2 R3 m! S- t+ K" ?! g
改为：
1 ]8 E5 J8 L, [3 n/ k
. ]  s/ \) R( z9 r8 K: l) {safe_mode = On

0 D" R& B% S( K: I+ P9 h4 r这样就打开了safe_mode功能。象一些能执行系统命令的函数shell_exec()和``被禁止，其它
' h6 z; |" D9 [+ ]的一些执行函数如：exec(), system(), passthru(), popen()将被限制只能执行
$ g1 d. p0 ?3 Z# g7 H6 f* ysafe_mode_exec_dir指定目录下的程序。如果你实在是要执行一些命令或程序，找到以下：

safe_mode_exec_dir =
: t( E6 I2 U! _8 u; r
0 o. C+ t# p, _1 w5 A3 [指定要执行的程序的路径，如：

2 x, K! y/ s" j/ Q5 H+ P. k$ ]safe_mode_exec_dir = /usr/local/php/exec

然后把要用的程序拷到/usr/local/php/exec目录下，这样，象上面的被限制的函数还能执行
该目录里的程序。

! X, v, N: ?2 y) ^0 Z( i0 W3 N关于安全模式下受限函数的详细信息请查看php主站的说明：
& I  O, q6 r+ K# B% m$ i5 j4 k- Phttp://www.php.net/manual/en/features.safe-mode.php

$ c8 X4 R% }& E8 V+ A. U- j3)disable_functions
* `$ c1 p. A9 n: G+ q9 k
如果你对一些函数的危害性不太清楚，而且也没有使用，索性把这些函数禁止了。找到下面这
. S9 C/ [& L3 F" p) f' j- |4 i8 u行：

% Y1 H& f8 k  }, y0 f; bdisable_functions =

在”=“后面加上要禁止的函数，多个函数用”,“隔开。
# D% f  `2 _3 _
. ?7 N. i0 N# w, F: F% o8 s+ {
3、修改httpd.conf

如果你只允许你的php脚本程序在web目录里操作，还可以修改httpd.conf文件限制php的操作
路径。比如你的web目录是/usr/local/apache/htdocs，那么在httpd.conf里加上这么几行：
0 H5 L$ o# I- U7 F( v( l
<Directory /usr/local/apache/htdocs>
php_admin_value open_basedir /usr/local/apache/htdocs
  ]* S$ I5 |) Y0 j: C</Directory>
( o3 o9 ?  o5 ]! e; e9 |
. x% O, e& O9 v这样，如果脚本要读取/usr/local/apache/htdocs以外的文件将不会被允许，如果错误显示打
开的话会提示这样的错误：

  f7 h& _+ c9 P' e* hWarning: open_basedir restriction in effect. File is in wrong directory in
$ D$ |" F# v9 f! C) F* ~/usr/local/apache/htdocs/open.php on line 4

' ^% o) J9 A+ k等等。
8 m4 N# ^% a% t: ]1 n+ B) A
; l4 G: X8 P5 t7 T6 Z( P, D' x
4、对php代码进行编译

Zend对php的贡献很大，php4的引擎就是用Zend的，而且它还开发了ZendOptimizer和
ZendEncode等许多php的加强组件。优化器ZendOptimizer只需在http://www.zend.com注册就
7 n# o9 `+ t; V8 G1 O/ O! G( H. n# A可以免费得到，下面几个是用于4.0.5和4.0.6的ZendOptimizer，文件名分别对于各自的系统
：
# C2 P, {0 k' f  ]6 E
ZendOptimizer-1.1.0-PHP_4.0.5-FreeBSD4.0-i386.tar.gz
* I: `9 a3 [# D; P0 H8 ?! M" m) k0 aZendOptimizer-1.1.0-PHP_4.0.5-Linux_glibc21-i386.tar.gz
ZendOptimizer-1.1.0-PHP_4.0.5-Solaris-sparc.tar.gz
1 f" m- Q- e2 Q* Z6 z) G" ZZendOptimizer-1.1.0-PHP_4.0.5-Windows-i386.zip
, ~* G" r/ M( r! I
, l4 Y1 K1 f5 l) s0 `+ c优化器的安装非常方便，包里面都有详细的说明。以UNIX版本的为例，看清操作系统，把包里
/ F; x) u0 n" N1 s, _( M1 Q: G的ZendOptimizer.so文件解压到一个目录，假设是/usr/local/lib下，在php.ini里加上两句
+ A. Z7 ~/ r: a+ r$ f5 W( Q：

! t2 I# B  A7 q8 V3 v2 O0 f  `& tzend_optimizer.optimization_level=15
zend_extension="/usr/local/lib/ZendOptimizer.so"

就可以了。用phpinfo()看到Zend图标左边有下面文字：
/ a+ w/ K2 m: B. p) ~3 M4 h
4 y& n6 ]% |1 E% e  Zwith Zend Optimizer v1.1.0, Copyright (c) 1998-2000, by Zend Technologies

, j( t$ b' @, o那么，优化器已经挂接成功了。

但是编译器ZendEncode并不是免费的，这里提供给大家一个http://www.PHPease.com的马勇设
0 _* ?$ G# _4 [$ p计的编译器外壳，如果用于商业目的，请与http://www.zend.com联系取得许可协议。
, g7 b  ]9 F7 S. H
php脚本编译后，脚本的执行速度增加不少，脚本文件只能看到一堆乱码，这将阻止攻击者进
一步分析服务器上的脚本程序，而且原先在php脚本里以明文存储的口令也得到了保密，如
mysql的口令。不过在服务器端改脚本就比较麻烦了，还是本地改好再上传吧。
' Q( s( g# _0 a/ R
( M/ H6 R2 P: c: Q7 y, i- p
5、文件及目录的权限设置
, ]2 t* x) N; H6 f/ \$ p7 p% n
web目录里除了上传目录，其它的目录和文件的权限一定不能让nobody用户有写权限。否则，
* ~0 E+ l3 Y: d* H( R' {: N攻击者可以修改主页文件，所以web目录的权限一定要设置好。

还有，php脚本的属主千万不能是root，因为safe_mode下读文件的函数被限制成被读文件的属
主必须和当前执行脚本的属主是一样才能被读，否则如果错误显示打开的话会显示诸如以下的
错误：

Warning: SAFE MODE Restriction in effect. The script whose uid is 500 is not
+ M- _/ K9 i  p% R8 H8 B1 {allowed to access /etc/passwd owned by uid 0 in /usr/local/apache/htdocs/open.php
on line 3

& y4 D: w7 @  i5 I/ _5 ]这样我们能防止许多系统文件被读，比如：/etc/passwd等。
5 y  ]* b# I6 A3 n  \0 l3 ?9 i: r上传目录和上传脚本的属主也要设成一样，否则会出现错误的，在safe_mode下这些要注意。
  y# {6 b  y+ Z* A9 Q1 x% \% q

6、mysql的启动权限设置

mysql要注意的是不要用root来启动，最好另外建一个mysqladm用户。可以在/etc/rc.local等
系统启动脚本里加上一句：
$ c) b/ H2 c/ p3 ^5 m; y
2 @* Z+ \5 J- Isu mysqladm -c "/usr/local/mysql/share/mysql/mysql.server start"

这样系统重启后，也会自动用mysqladmin用户启动mysql进程。


7、日志文件及上传目录的审核及

查看日志和人的惰性有很大关系，要从那么大的日志文件里查找攻击痕迹有些大海捞针，而且
" u% J3 n2 c2 d也未必有。web上传的目录里的文件，也应该经常检查，也许程序有问题，用户传上了一些非
8 {9 w& ?$ A" c0 E& V( R法的文件，比如执行脚本等。
5 J, b+ B* R- \

# p, {9 K4 \. |( ^8、操作系统自身的补丁

一样，给系统打已知漏洞的补丁是系统管理员最基本的职责，这也是最后一道防线。


经过以上的配置，虽然说不上固若金汤，但是也在相当程度上给攻击者的测试造成很多麻烦，
即使php脚本程序出现比较严重的漏洞，攻击者也无法造成实际性的破坏。
如果您还有更古怪，更变态的配置方法，希望能一起分享分享；）
& B. F- l1 m" Q
/ t4 z0 h0 Y; I
参考资料：
  Z) F8 g# c% j/ ^* V  \PHP Manual
  v0 s1 B! B" W% Y7 jhttp://www.zend.com