„Apache“ ir PHP serverio saugos nustatymai

Kai kurios užduotys, kurias reikia atlikti siekiant užtikrinti didesnį saugumą ir išvengti problemų, yra šios:
Išjunkite klaidų ir įspėjimų rodymą „php“, tai gali būti naudojama programavimo etape, kad kūrėjas galėtų pamatyti klaidas ir išjungti, kai žiniatinklis patenka į gamybos etapą.
Išjunkite visus pranešimus apie klaidas
Naudojant šiuos kintamuosius php.ini:

pranešimas apie klaidą (0);

// Pranešti tik apie vykdymo klaidas

pranešimas apie klaidas (E_ERROR | E_WARNING | E_PARSE);

// Pranešti apie visas klaidas, išskyrus E_NOTICE

pranešimas apie klaidas (E_ALL ​​E_NOTICE);

// Pranešti apie visas PHP klaidas (error_reporting (E_ALL));
Juos taip pat galima suaktyvinti ir išjungti įdėjus kodą į puslapio, kurį reikia vykdyti, pradžią.

Visada svarbu ištaisyti klaidas, o ne jas slėpti, daugelis kūrėjų naudoja klaidų ataskaitą (0), kad paslėptų klaidas, tačiau jos vis dar yra ir jomis būtų galima pasinaudoti, visada turime vengti, kad bet koks mūsų sukurtas kodas turėtų klaidų, nesvarbu, ar tai būtų „php“, javascript arba kalba, kurią naudojame.
Svarbu kontroliuoti kintamuosius ir kokius duomenis jie įveda.
Pakeiskite failo plėtinį
Galite pakeisti plėtinį, kai iškviečiate ir vykdote scenarijus php, failuose su html plėtiniu.
„Apache“ konfigūracijos faile (httpd.conf)
Mes ieškome eilutės:

„AddType“ programa / x-httpd-php

Ir prie pabaigos pridedame .htm ir .html, tai būtų taip:

„AddType“ programa / x-httpd-php .htm .html

Taip pat galime sukurti pasirinktinį plėtinį, kad paslėptume failo tipą nuo lankytojo

„AddType“ programa / x-httpd-php .bo .sol .tf

Tai labai naudinga saugumo sumetimais. Mes slepiame, kad programa yra užprogramuota, nes naršyklėje pamatysite tiesiog .html arba pasirinktinį plėtinį scenarijuose, kurie iš tikrųjų yra php. Daugelis svetainių naudoja šį metodą.
Patikrinkite, ar register_globals yra neaktyvus
Išjunkite register_globals ir neleiskite sklandžiai kurti kintamųjų, be kita ko:

register_globals = Išjungta

Iš „php.ini“ tai priverčia deklaruoti visus kintamuosius, kitaip bus pateikta klaida.
Funkcijas, kurios tvarko failus, išjunkite nuotolinius URL
Tai atliekama taip, kad failo, esančio mūsų serveryje, negalima paleisti ar pasiekti iš kito, „php.ini“ išjungiame allow_url_fopen

allow_url_fopen = Išjungta

Apribokite, kuriame kataloge PHP gali skaityti ar vykdyti bet kurį scenarijų ar procesą

open_basedir = /var/www/htdocs/midomino.com

Kiekvienas domenas gali keisti savo php.ini, jei serverio administratorius tai leidžia, nors tai būna retai.
Išjungti „Apache HTTP TRACE“
HTTP TRACE naudojamas serveriui pateiktos užklausos rezultatui grąžinti.
Jis gali būti naudojamas kryžminiams svetainių scenarijams arba XSS atakoms, todėl saugumo sumetimais geriausia jį išjungti.
Keičiame / etc /httpd/konf/httpd.konf
„TraceEnable“ išjungta
„Apache“ yra vienas iš plačiausiai naudojamų žiniatinklio serverių, o „php“ yra plačiausiai naudojama žiniatinklio kūrimo kalba, su šiomis konfigūracijomis ir įrankiais galime padėti sustiprinti savo interneto saugumą nuo galimų atakų.