写给系统管理员的 25 个 PHP 安全实践

#17：保证PHP，软件及操作系统更新到最新

维护Linux、Apache、PHP和MySQL服务器的一项重要工作是更新安全补丁。所有的PHP安全更新应尽快进行审查并更新。可使用如下命令（如果通过包管理器来安装PHP）：

或

可以配置Red Hat / CentOS / Fedora Linux通过Email发送yum的包更新提醒，或是Debian / Ubuntu Linux下的apticron发送提醒。又或通过cron计划任务进行更新。

注：查看php.net以获取最新的PHP版本信息

#18：限制文件及目录访问

确认以Apache或www这种非root用户运行Apache。/var/www/html目录下的owner也应是非root用户：

DocumentRoot下的文件应禁止运行或创建。设置该目录下的文件权限为0444（只读）：

设置该目录下的所有文件夹权限为0445

#19：Apache、PHP、MySQL配置文件的写入保护

使用chattr命令给这些配置文件加上写入保护：

同样可以为/var/www/html目录加上写入保护

#20：使用Linux安全拓展（如SELinux）

Linux有各种安全方案来防止服务程序的错误配置或漏洞。尽可能使用SELinux或其他Linux安全方案限制网络和程序。例如，SELinux为Linux内核或Apache Web服务提供不同的安全策略。使用下面命令列出所有Apache保护信息：

样例输出：

取消Apache cgi支持可以输入：

详细参考：Red Hat SELinux guide

#21：安装Mod_security

ModSecurity是一个开源的入侵检测和防范的Web应用引擎。安装mod_security可以保护Apache和PHP应用免受XSS和其他攻击：

#22：如有可能，在Chroot Jail下运行Apache / PHP

在Chroot Jail下运行Apache / PHP可以最小化可能受到的损失，使其局限于文件系统下的一小块。可以使用一般的chroot来配置Apache：chroot kind of setup with Apache。不过我建议使用FreeBSD jails、XEN，KVM或OpenVZ虚拟化。

#23：使用防火墙限制传出连接

攻击者会使用wget之类的工具从你的Web服务器下载文件。使用iptables来阻挡Apache用户的传出连接。ipt_owner模块会为本地数据包的生成者分配不同角色。它只对OUTPUT chain有效。下面指令允许vivek用户通过80端口进行外部访问：

下面的样例则是阻挡所有Apache用户的传出连接，只允许smtp服务及spam识别API服务通过：

#24：查看并审查日志

查看Apache日志文件：

查看PHP日志文件：

查看日志文件可以让你知道服务器正在承受何种攻击，并分析当前安全级别是否足够。启用审查服务用于系统审查，可审查SELinux时间，验证事件，文件修改，账号修改等。建议使用Linux System Monitoring Tools来监控Web服务器。

#25：把服务分离到不同的服务器或虚拟机

对于比较庞大的安装配置，建议把运行、数据库、静态与动态内容分离到不同的服务器

在不同的服务器或虚拟机下运行不同的网络服务，这可以减少被入侵对其他服务的影响。例如，一个攻击者入侵了Apache，那就可以访问同一服务器下的其他服务（如MySQL，email服务等）。但在上述例子中则不会：

• static.lan.cybercity.biz – 使用lighttpd或nginx存放js/css/images等静态资源
• phpcgi1.lan.cyberciti.biz和phpcgi2.lan.cyberciti.biz – Apache Web服务+PHP，用于生成动态内容
• mysql1.lan.cyberciti.biz – MySQL数据库服务
• mcache1.lan.cyberciti.biz – Memcached服务（MySQL的高速缓存系统）。它使用libevent或epoll来适应任意连接数。而且它使用的是非阻塞网络IO。
• LB01 – 一个Nginx服务器，用于Web及Apache前端的反向代理。所有的访问连接会通过nginx代理服务，被直接处理或分发到相应的Web服务器。LB01提供简单的负载均衡。