[PHP 安全] OWASP 維護的 PHP 安全配置速查表

dabai 發布于2019-07-01 12:39 / 3214人閱讀

摘要：文章轉自介紹這個頁面的目的是為了幫助那些配置和運行它的服務器的人確保它的安全性。下面你將找到有關文件的正確配置信息。最后，查看文檔以獲得關于配置文件中每個值的參考。

文章轉自：https://learnku.com/php/t/26973

介紹

這個頁面的目的是為了幫助那些配置 PHP 和運行它的 web 服務器的人確保它的安全性。

下面你將找到有關 php.ini 文件的正確配置信息。

php.ini

下面的一些設置需要適應你的系統，特別是 session.save_path， session.cookie_path （例如： /var/www/mysite），和 session.cookie_domain （例如：ExampleSite.com）。

你還應該運行 PHP 7.2 或者更高版本。如果你運行的版本是 PHP 7.0 和 PHP 7.1 ，你將在下面的幾個地方使用略有不同的值（看內聯的注釋）。最后，查看 PHP 文檔以獲得關于 php.ini 配置文件中每個值的參考。

你可以在一個現成的 php.ini 文件中找到以下配置的副本此處。

PHP 錯誤處理

expose_php??????????????=?Off
error_reporting?????????=?E_ALL
display_errors??????????=?Off
display_startup_errors??=?Off
log_errors??????????????=?On
error_log???????????????=?/valid_path/PHP-logs/php_error.log
ignore_repeated_errors??=?Off

請注意：你需要在生產環境中 display_errors?設置成?Off，同時最好養成經常查看這些日志的好習慣。

PHP 通用設置

doc_root????????????????=?/path/DocumentRoot/PHP-scripts/
open_basedir????????????=?/path/DocumentRoot/PHP-scripts/
include_path????????????=?/path/PHP-pear/
extension_dir???????????=?/path/PHP-extensions/
mime_magic.magicfile????=?/path/PHP-magic.mime
allow_url_fopen?????????=?Off
allow_url_include???????=?Off
variables_order?????????=?"GPCS"
allow_webdav_methods????=?Off
session.gc_maxlifetime??=?600

allow_url_*?很容易發生?LFI 還有?RFI 完全漏洞。

PHP上傳文件處理

file_uploads????????????=?On
upload_tmp_dir??????????=?/path/PHP-uploads/
upload_max_filesize?????=?2M
max_file_uploads????????=?2

如果你的應用沒有使用文件上傳功能，或者說用戶唯一的輸入上傳的方式是通過沒有包含文檔附件的表單提交，?file_uploads?應當被設置成?Off。

PHP 可執行處理

enable_dl???????????????=?Off
disable_functions???????=?system,?exec,?shell_exec,?passthru,?phpinfo,?show_source,?highlight_file, popen,?proc_open, fopen_with_path,?dbmopen,?dbase_open,?putenv,?move_uploaded_file, chdir,?mkdir,?rmdir,?chmod,?rename, filepro,?filepro_rowcount,?filepro_retrieve,?posix_mkfifo
#?請查看：http://ir.php.net/features.safe-mode
disable_classes?????????=?

以上是PHP中存在危險的方法和類.。你應當禁用其中不會使用到的方法和類。

PHP session 處理

Session 設置中有一些需要重點關注的值，將 session.name 改成新的是個很好的練習.

 session.save_path                = /path/PHP-session/
 session.name                     = myPHPSESSID
 session.auto_start               = Off
 session.use_trans_sid            = 0
 session.cookie_domain            = full.qualified.domain.name
 #session.cookie_path             = /application/path/
 session.use_strict_mode          = 1
 session.use_cookies              = 1
 session.use_only_cookies         = 1
 session.cookie_lifetime          = 14400 # 4小時 
 session.cookie_secure            = 1
 session.cookie_httponly          = 1
 session.cookie_samesite          = Strict
 session.cache_expire             = 30 
 session.sid_length               = 256
 session.sid_bits_per_character   = 6 # PHP 7.2+
 session.hash_function???         =?1 # PHP 7.0-7.1
 session.hash_bits_per_character? =?6 # PHP 7.0-7.1

更多的安全隱患的檢查

session.referer_check???=?/application/path
memory_limit????????????=?50M
post_max_size???????????=?20M
max_execution_time??????=?60
report_memleaks?????????=?On
track_errors????????????=?Off
html_errors?????????????=?Off

文章轉自：https://learnku.com/php/t/26973 

更多文章：https://learnku.com/laravel/c...

GPU云服務器云服務器 php安全配置錯誤速查表安全組織owasp 構建安全的php應用

文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。

轉載請注明本文地址：http://specialneedsforspecialkids.com/yun/31191.html

php, js, mysql, regexp開發常用速查表

showImg(https://segmentfault.com/img/bVr88Q); showImg(https://segmentfault.com/img/bVr9BP); showImg(https://segmentfault.com/img/bVr9BS); showImg(https://segmentfault.com/img/bVr9BU);

shevy 2019-08-19 17:21 評論0 收藏0
php, js, mysql, regexp開發常用速查表

showImg(https://segmentfault.com/img/bVr88Q); showImg(https://segmentfault.com/img/bVr9BP); showImg(https://segmentfault.com/img/bVr9BS); showImg(https://segmentfault.com/img/bVr9BU);

KnewOne 2019-07-01 12:13 評論0 收藏0
數據分析 - 最火的 PHP 框架是哪個？

摘要：推薦以下資源中文新手書籍入門教程社區維護的中文文檔，涵蓋版本社區由在年創建的中文社區速查表速查表資訊項目上線，整站源碼開源來自這里列幾個客觀的數據（截止至 2017 年 1 月 2 日）：一、Github 上 PHP 項目排行第一 Laravel 作為這一頁里最晚出現的框架，Star 數量遠遠高于排名第二的框架。鏈接在此?Build software better, togethe...

Maxiye 2019-06-27 15:11 評論0 收藏0
Laravel Eloquent 模型關聯速查表

摘要：模型資料庫遷移儲存紀錄在及之間建立關聯在及之間建立關聯取得紀錄取得取得一對多關聯示例細節在此示例中，我們有兩個模型小偷和車，和兩張表和。業務規則小偷可以偷走多輛車。關系圖關聯詳情關聯表應該保存駕駛員和汽車。 showImg(https://segmentfault.com/img/remote/1460000016043938); 一張 Laravel’s Eloquent ORM 5...

flybywind 2019-07-01 10:32 評論0 收藏0