Linux下PHP网站安全加固方案 - WordPress 多站点站群

本文详细总结了 PHP 网站在 Linux 站群服务器上面的安全配置，包含 PHP 安全、 mysql 资料库安全、 web 站群服务器安全、木马查杀和防范等，很好很强大很安全。

PHP 安全配置
1. 确保执行 php 的使用者为一般使用者，如 www
2. php.ini 引数设定

1
disable_functions = passthru,exec,system,chroot,chgrp,chown,shell_exec,proc_open,proc_get_status,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popepassthru,stream_socket_server,fsocket,phpinfo #禁用的函式

2
expose_php = off #避免暴露 PHP 资讯

3
display_errors = off #关闭错误资讯提示

4
register_globals = off #关闭全域性变数

5
enable_dl = off #不允许呼叫 dl

6
allow_url_include = off #避免远端呼叫档案

7
session.cookie_httponly = 1 #http only 开启

8
upload_tmp_dir = /tmp #明确定义 upload 目录

9
open_basedir = ./:/tmp:/home/wwwroot/ #限制使用者访问的目录

open_basedir 引数详解
open_basedir 可将使用者访问档案的活动范围限制在指定的区域，通常是其家目录的路径，也可用符号”.” 来代表当前目录。注意用 open_basedir 指定的限制实际上是字首, 而不是目录名。
举例来说: 若”open_basedir = /home/wwwroot”, 那么目录”/home/wwwroot” 和”/home/wwwroot1″都是可以访问的。所以如果要将访问限制在仅为指定的目录，请用斜线结束路径名。
注意：
从网上获取的资料来看，open_basedir 会对 php 操作 io 的效能产生很大的影响。研究资料表明，配置了 php_basedir 的指令码 io 执行速度会比没有配置的慢 10 倍甚至更多，请大家自己衡量
open_basedir 也可以同时设定多个目录, 在 Windows 中用分号分隔目录, 在任何其它系统中用冒号分隔目录。当其作用于 Apache 模组时，父目录中的 open_basedir 路径自动被继承。
MySQL 安全设定
1. MySQL 版本的选择
在正式生产环境中，禁止使用 4.1 系列的 MySQL 资料库。至少需要使用 5.1.39 或以上版本。
2. 互联网和埠的配置
在资料库只需供本机使用的情况下，使用–skip-networking 引数禁止监听互联网。
3. 确保执行 MySQL 的使用者为一般使用者，如 mysql，注意存放资料目录许可权为 mysql

1
vi /etc/my.cnf

2
user = mysql

4. 开启 mysql 二进位制日志，在误删除资料的情况下，可以通过二进位制日志恢复到某个时间点

1
vi /etc/my.cnf

2
log_bin = mysql-bin

3
expire_logs_days = 7

5. 认证和授权
(1) 禁止 root 账号从互联网访问资料库，root 账号只允许来自本地 WordPress 主机的登陆。

1
mysql>grant all privileges on *.* to root @localhost identified by ‘password’ with grant option;

2
mysql>flush priveleges;

(2) 删除匿名账号和空口令账号

1
mysql>USE mysql;

2
mysql>delete from user where User=;

3
mysql>delete from user where Password=;

4
mysql>delete from db where User=;

web 站群服务器安全
确保执行 Nginx 或者 Apache 的使用者为一般使用者，如 www，注意存放资料目录许可权为 www
防止 sql 注入

1
if ( $query_string ~* “.*[;’<>].*” ){

2
return 404;

3
}

关闭存放资料上传等目录的 PHP 解析

1
location ~* ^/(attachments|data)/.*.(php|php5)${

2
deny all;

3
}

针对 Apache：关闭图片目录/上传等目录的 PHP 解析

2
order allow,deny

3
Deny from all

木马查杀和防范
php 木马快速查询命令

1
grep -r –include=*.php ‘[^a-z]eval($_POST’ /home/wwwroot/

3
grep -r –include=*.php ‘file_put_contents(.*$_POST[.*]);’ /home/wwwroot/

利用 find mtime 查询最近两天或者发现木马的这几天，有哪些 PHP 档案被修改

1
find -mtime -2 -type f -name *.php

防范：
1. 做好之前的安全措施，比如禁用相关 PHP 函式等
2. 改变目录和档案属性

1
find -type f -name *.php -exec chomd 644 {} ;

2
find -type d -exec chmod 755 {} ;

3
chown -R www.www /home/wwwroot/www.waitalone.cn

3. 为防止跨站感染，需要做虚拟 WordPress 主机目录隔离
(1) nginx 的简单实现方法
利用 nginx 跑多个虚拟 WordPress 主机，习惯的 php.ini 的 open_basedir 配置：
open_basedir = ./:tmp:/home/wwwroot/
注：/home/wwwroot/是放置所有虚拟 WordPress 主机的 web 路径
黑客可以利用任何一个站点的 webshell 进入到/home/wwwroot/目录下的任何地方，这样对各个虚拟 WordPress 主机的危害就很大
例如： /data/www/wwwroot 目录下有 2 个虚拟 WordPress 主机
修改 php.ini
open_basedir = ./:/tmp:/home/wwwroot/www.waitalone.cn:/home/wwwroot/back.waitalone.cn
这样使用者上传 webshell 就无法跨目录访问了。
(2) Apache 的实现方法，控制跨目录访问
在虚拟机器 WordPress 主机配置档案中加入
php_admin_value open_basedir “/tmp:/home/wwwroot/www.waitalone.cn”

Linux 下 PHP 网站安全加固方案

Linux 下 PHP 网站安全加固方案