[转载]通过对php一些服务器端特性的配置加强php的安全

天云上人

发布日期：2001-11-27
文章内容：
--------------------------------------------------------------------------------

+ U; U* b5 t* }% g2 w! h- C( G作者：san（小许） san@nsfocus.com

6 \4 {  o# s+ j' \2 t--------------------------------------------------------------------------------
8 T7 B+ ]; U) u# w/ U4 W* W" _
6 A8 M$ B; z; n  N1 v2 N% A前面象Shaun Clowes和rfp等都比较详细的介绍了php、cgi程序在编程过程中遇到的问题，以
9 I' i; Q+ u& f9 R$ F+ n( V5 B及如何通过应用程序漏洞突破系统，这篇文章我们来通过对php的一些服务器端特性来进行配
置加强php的安全。写cgi脚本的时候我们的确一定注意各种安全问题，对用户输入进行严格的
过滤，但是常在岸边走哪有不湿鞋，吃烧饼哪有不掉芝麻，人有失蹄马有失手，连著名的
phpnuke、phpMyAdmin等程序都出现过很严重的问题，更何况象我等小混混写的脚本。所以现
9 q; i3 @7 r* b9 r在我们假设php脚本已经出现严重问题，比如象前一阵子phpnuke的可以上传php脚本的大问题
了，我们如何通过对服务器的配置使脚本出现如此问题也不能突破系统。
( h$ Q# B& [0 `7 ~7 c5 x" ?( T
% t. W9 ^) @+ O
1、编译的时候注意补上已知的漏洞
8 U$ F/ V; z8 I- S6 t7 e9 l1 ?% ^
' r# i0 `  j4 a! Z从4.0.5开始，php的mail函数加入了第五个参数，但它没有好好过滤，使得php应用程序能突
破safe_mode的限制而去执行命令。所以使用4.0.5和4.0.6的时候在编译前我们需要修改php源
* x1 C$ T. u4 W8 ~码包里ext/standard/mail.c文件，禁止mail函数的第五参数或过滤shell字符。在mail.c文件
的第152行，也就是下面这行：

if (extra_cmd != NULL) {
+ `- d/ D8 u  I/ t8 b, N
$ c; t* K4 c( ~4 E后面加上extra_cmd=NULL;或extra_cmd = php_escape_shell_cmd(extra_cmd);然后编译php
那么我们就修补了这个漏洞。


8 }- V5 P4 `: J7 A2、修改php.ini配置文件
: n" n% R& ?) Y& e/ S/ }" x
9 s/ E* n: ?! c& T( J以php发行版的php.ini-dist为蓝本进行修改。
7 I/ f7 m9 H: @6 b+ A- E
; y  \  T0 W; S1)Error handling and logging
2 l% j6 [: b7 F) [' o) L在Error handling and logging部分可以做一些设定。先找到：
2 H, w! \( n0 K, Vdisplay_errors = On

0 `; I" c9 K& T) J; ^php缺省是打开错误信息显示的，我们把它改为：

# ^# Y6 y+ _) x! y$ x! gdisplay_errors = Off
7 F: S, D4 e: x& L" ?
" W  G6 i# Q- F( j关闭错误显示后，php函数执行错误的信息将不会再显示给用户，这样能在一定程度上防止攻
击者从错误信息得知脚本的物理位置，以及一些其它有用的信息，起码给攻击者的黑箱检测造
成一定的障碍。这些错误信息可能对我们自己有用，可以让它写到指定文件中去，那么修改以
下：

log_errors = Off

改为：
2 a2 J6 q9 m5 p4 s* `/ I' Plog_errors = On
! y# P! ?5 i3 B
以及指定文件，找到下面这行：

;error_log = filename

3 h, v5 q7 a5 [0 m去掉前面的;注释，把filename改为指定文件，如/usr/local/apache/logs/php_error.log
- l1 {  m0 R' e0 s" i1 Q4 Q
error_log = /usr/local/apache/logs/php_error.log
$ \6 X2 _1 O1 G; ~4 a
这样所有的错误都会写到php_error.log文件里。
: E% v; p! C  G# A3 `  ^: j
) m. C' {- N" p& q: S2 J% B: E4 {( Q; y2)Safe Mode

php的safe_mode功能对很多函数进行了限制或禁用了，能在很大程度解决php的安全问题。在
+ s# f0 F6 O4 O7 L5 ^; @Safe Mode部分找到：
  ^, {8 {* ?; b! N
/ o) g! }  y2 S3 s, Jsafe_mode = Off
+ G1 L- h4 n! b: _: T$ \
; M7 G& u% c, V9 }: m4 Z改为：

1 G6 O& A2 Z: `1 C" ?safe_mode = On
, w5 \2 ^& x$ K3 d; \# L0 S4 P9 J
  K# Y, |: N1 }: Y' M0 C这样就打开了safe_mode功能。象一些能执行系统命令的函数shell_exec()和``被禁止，其它
2 ?/ d8 u* [5 B3 p0 @) E/ e2 F的一些执行函数如：exec(), system(), passthru(), popen()将被限制只能执行
5 L3 R3 d" ?/ ysafe_mode_exec_dir指定目录下的程序。如果你实在是要执行一些命令或程序，找到以下：
' _" o7 S3 G/ v: J" g% S
7 J# l; z: {8 L# ]: A. P5 J5 lsafe_mode_exec_dir =
; r. \  J0 ~% ^5 G1 P8 c
" N" W: K" C* Z( T2 B指定要执行的程序的路径，如：

6 h6 S7 G* j, xsafe_mode_exec_dir = /usr/local/php/exec

然后把要用的程序拷到/usr/local/php/exec目录下，这样，象上面的被限制的函数还能执行
* m/ L1 s4 t! N) {7 l7 S该目录里的程序。
6 e5 R! W: X/ }
) U' o" d5 l$ a& h关于安全模式下受限函数的详细信息请查看php主站的说明：
- n) q6 d6 e# ]' vhttp://www.php.net/manual/en/features.safe-mode.php
; z5 N( q6 G7 m* X" K& w
3)disable_functions

如果你对一些函数的危害性不太清楚，而且也没有使用，索性把这些函数禁止了。找到下面这
/ M, n) P8 {" b. S: P行：
$ O; ~- t0 R- @" ~7 S  ^
disable_functions =

* Q( f' k/ m2 H/ G+ {, p在”=“后面加上要禁止的函数，多个函数用”,“隔开。
0 D2 O7 S3 _3 g1 a, w( H" X) @* r6 x
$ M$ z1 Z; S. B. d; R
; u4 {. L2 m$ s6 F0 _0 Z5 S3、修改httpd.conf

如果你只允许你的php脚本程序在web目录里操作，还可以修改httpd.conf文件限制php的操作
路径。比如你的web目录是/usr/local/apache/htdocs，那么在httpd.conf里加上这么几行：
5 I  Z" b( j; @) a  t" b
<Directory /usr/local/apache/htdocs>
php_admin_value open_basedir /usr/local/apache/htdocs
$ x  R$ g8 u1 Z5 J</Directory>
& V( N* B6 c2 A
这样，如果脚本要读取/usr/local/apache/htdocs以外的文件将不会被允许，如果错误显示打
, K: a  y/ h  B. A( D+ g/ Q/ D# g开的话会提示这样的错误：
. J. S& U' l& z1 ]# X: n( f8 }
! R2 \5 Q; }5 sWarning: open_basedir restriction in effect. File is in wrong directory in
( o. X; T  y: H+ a/usr/local/apache/htdocs/open.php on line 4
) d; f, [( y/ u( g7 _' r! [( B
等等。

% j! T* |" M1 n  ?  k7 \8 G
7 D, r+ F% }' O6 o4、对php代码进行编译
4 d  l2 u  p' ~3 @2 V  K: W
1 P% |/ t( \  I7 v) N, Z, `4 ?Zend对php的贡献很大，php4的引擎就是用Zend的，而且它还开发了ZendOptimizer和
' I4 c+ ?3 v  E4 |8 b( E2 @ZendEncode等许多php的加强组件。优化器ZendOptimizer只需在http://www.zend.com注册就
+ O" H% H  z+ ]  M3 j可以免费得到，下面几个是用于4.0.5和4.0.6的ZendOptimizer，文件名分别对于各自的系统
：

ZendOptimizer-1.1.0-PHP_4.0.5-FreeBSD4.0-i386.tar.gz
ZendOptimizer-1.1.0-PHP_4.0.5-Linux_glibc21-i386.tar.gz
8 n5 Y0 H7 S8 J: A# D, k% H" ~! ?ZendOptimizer-1.1.0-PHP_4.0.5-Solaris-sparc.tar.gz
+ {- K* ?; Y8 X& t2 C4 y" tZendOptimizer-1.1.0-PHP_4.0.5-Windows-i386.zip
* ^! b5 j  G7 v& k
3 L) R0 @: i' z* Y' D7 }2 @3 A0 m+ T优化器的安装非常方便，包里面都有详细的说明。以UNIX版本的为例，看清操作系统，把包里
的ZendOptimizer.so文件解压到一个目录，假设是/usr/local/lib下，在php.ini里加上两句
：

zend_optimizer.optimization_level=15
5 {" |5 O! K) K( @2 dzend_extension="/usr/local/lib/ZendOptimizer.so"

, a- u1 o/ ]; L就可以了。用phpinfo()看到Zend图标左边有下面文字：
/ `. B% t0 R) X8 \
" N2 @6 e2 }7 {* U5 p, Gwith Zend Optimizer v1.1.0, Copyright (c) 1998-2000, by Zend Technologies
: H  f( ~3 e/ M* d6 `" J/ F
! {5 v  ?5 q. a1 R1 L4 ?  F那么，优化器已经挂接成功了。
% a# O/ w! v& k5 [
但是编译器ZendEncode并不是免费的，这里提供给大家一个http://www.PHPease.com的马勇设
计的编译器外壳，如果用于商业目的，请与http://www.zend.com联系取得许可协议。

php脚本编译后，脚本的执行速度增加不少，脚本文件只能看到一堆乱码，这将阻止攻击者进
; T8 Q8 M+ Y/ P, _. i一步分析服务器上的脚本程序，而且原先在php脚本里以明文存储的口令也得到了保密，如
1 a6 ]) q3 ]! @/ A4 K, y4 nmysql的口令。不过在服务器端改脚本就比较麻烦了，还是本地改好再上传吧。
' K0 x8 J3 g: s8 @$ `. k( D. D
+ T3 x; r0 B7 c0 \1 `
/ P( Q( l3 ]- K: s/ }" a. H5、文件及目录的权限设置

0 ]+ U# O# o4 _7 M" s% ?web目录里除了上传目录，其它的目录和文件的权限一定不能让nobody用户有写权限。否则，
攻击者可以修改主页文件，所以web目录的权限一定要设置好。
7 @! s1 S6 X1 ]/ y; ~+ x) Q
还有，php脚本的属主千万不能是root，因为safe_mode下读文件的函数被限制成被读文件的属
' X8 H# n7 V/ ^1 E' y9 k主必须和当前执行脚本的属主是一样才能被读，否则如果错误显示打开的话会显示诸如以下的
6 \  ~+ J9 \8 V& \错误：

Warning: SAFE MODE Restriction in effect. The script whose uid is 500 is not
allowed to access /etc/passwd owned by uid 0 in /usr/local/apache/htdocs/open.php
on line 3

这样我们能防止许多系统文件被读，比如：/etc/passwd等。
上传目录和上传脚本的属主也要设成一样，否则会出现错误的，在safe_mode下这些要注意。
$ f. b1 W8 e$ g. K
. a/ a- y7 O' M6 H- F, b2 ~
6、mysql的启动权限设置
9 Z! o0 e, t/ ^/ l5 f3 [
8 e3 j  J! T+ l6 ^2 Emysql要注意的是不要用root来启动，最好另外建一个mysqladm用户。可以在/etc/rc.local等
; E, ~- ^0 e1 X" K. i系统启动脚本里加上一句：

3 V- j( w) V9 Asu mysqladm -c "/usr/local/mysql/share/mysql/mysql.server start"
+ l3 R, k9 p1 g7 j
这样系统重启后，也会自动用mysqladmin用户启动mysql进程。
7 e# e. H" T6 K% |' {3 r9 q9 F( u
! A+ ]4 e/ L8 ?1 w4 }
# u, P; v2 m% f3 u: J2 B2 t7、日志文件及上传目录的审核及

查看日志和人的惰性有很大关系，要从那么大的日志文件里查找攻击痕迹有些大海捞针，而且
也未必有。web上传的目录里的文件，也应该经常检查，也许程序有问题，用户传上了一些非
' w( t- f" l# d" V2 T) M法的文件，比如执行脚本等。


/ ~& R" {% ]) H) P8、操作系统自身的补丁
/ m# s% A9 u( Z4 T
一样，给系统打已知漏洞的补丁是系统管理员最基本的职责，这也是最后一道防线。

/ f4 Y7 V" T# E; |8 i3 F9 S
% h1 f; k. t2 I9 l9 v% h经过以上的配置，虽然说不上固若金汤，但是也在相当程度上给攻击者的测试造成很多麻烦，
即使php脚本程序出现比较严重的漏洞，攻击者也无法造成实际性的破坏。
如果您还有更古怪，更变态的配置方法，希望能一起分享分享；）


' z2 k2 ]9 E; F: J  |参考资料：
PHP Manual
# |2 m- t! }- N# n& H; l0 lhttp://www.zend.com