jeatey 发表于 2008 年 12 月 20 日 06:20:21

服务器防止PHPSPY木马

以下内容为转帖：

open_basedir: 将用户可操作的文件限制在某目录下;
--------------------------------------------------------------------------------
如下是php.ini中的原文说明以及默认配置:
; open_basedir, if set, limits all file operations to the defined directory
; and below. This directive makes most sense if used in a per-directory or
; per-virtualhost web server configuration file. This directive is
; *NOT* affected by whether Safe Mode is turned On or Off.
open_basedir = .

open_basedir可将用户访问文件的活动范围限制在指定的区域，通常是其家目录的路径，也
可用符号"."来代表当前目录。注意用open_basedir指定的限制实际上是前缀,而不是目录名。
举例来说: 若"open_basedir = /dir/user", 那么目录 "/dir/user" 和 "/dir/user1"都是
可以访问的。所以如果要将访问限制在仅为指定的目录，请用斜线结束路径名。例如设置成:
"open_basedir = /dir/user/"

open_basedir也可以同时设置多个目录, 在Windows中用分号分隔目录,在任何其它系统中用
冒号分隔目录。当其作用于Apache模块时，父目录中的open_basedir路径自动被继承。

有三种方法可以在Apache中为指定的用户做独立的设置:

(a) 在Apache的httpd.conf中Directory的相应设置方法:

   php_admin_value open_basedir /usr/local/apache/htdocs/
#设置多个目录可以参考如下:
   php_admin_value open_basedir /usr/local/apache/htdocs/:/tmp/

(b) 在Apache的httpd.conf中VirtualHost的相应设置方法:
php_admin_value open_basedir /usr/local/apache/htdocs/
#设置多个目录可以参考如下:
php_admin_value open_basedir /var/www/html/:/var/tmp/

(c) 因为VirtualHost中设置了open_basedir之后, 这个虚拟用户就不会再自动继承php.ini
中的open_basedir设置值了,这就难以达到灵活的配置措施, 所以建议您不要在VirtualHost
中设置此项限制. 例如,可以在php.ini中设置open_basedir = .:/tmp/, 这个设置表示允许
访问当前目录(即PHP脚本文件所在之目录)和/tmp/目录.

请注意: 若在php.ini所设置的上载文件临时目录为/tmp/, 那么设置open_basedir时就必须
包含/tmp/,否则会导致上载失败. 新版php则会提示"open_basedir restriction in effect"
警告信息, 但move_uploaded_file()函数仍然可以成功取出/tmp/目录下的上载文件,不知道
这是漏洞还是新功能.

针对ShopEx472版本的配置：

open_basedir = "D:/Server/wwwroot;../catalog;../include;../../home;../syssite;../templates;../language;../../language;../../../language;../../../../language"


----------------------------------------------------------------------------------------

PHP中文件打开函数还有fopen(), file()等，如果对文件名变量检查不严就会造成服务器重要文件被访问读取。

解决方法：

如非特殊需要，把php的文件操作限制在web目录里面。以下是修改apache配置文件httpd.conf的一个例子：


php_admin_value open_basedir /usr/local/apache/htdocs

重启apache后，/usr/local/apache/htdocs目录下的PHP脚本就只能操作它自己目录下的文件了，否则PHP就会报错：

Warning: open_basedir restriction in effect. File is in wrong directory in xxx on line xx.

使用safe_mode模式也能避免这种问题，前面已经讨论过了。


[ 本帖最后由 jeatey 于 2008-12-20 06:22 编辑 ]

很明显 发表于 2008 年 12 月 20 日 12:29:28

不错

但是有的程序需要读取上级目录，例如CSS文件，定义image为 ..\iamge。是否有影响？

jeatey 发表于 2008 年 12 月 20 日 13:51:16

没问题吧

vax 发表于 2008 年 12 月 20 日 21:30:30

貌似楼主通宵找到的

nuet 发表于 2008 年 12 月 20 日 21:55:46

我想也是啊！！

jq8778 发表于 2008 年 12 月 21 日 01:22:05

:L 现在主流从MYSQL入手;P

jeatey 发表于 2008 年 12 月 21 日 01:58:55

原帖由 jq8778 于 2008-12-21 01:22 发表 http://www.jgwy.net/images/common/back.gif
:L 现在主流从MYSQL入手;P
;P 就做纯HTML网页

cpcn 发表于 2008 年 12 月 21 日 09:50:54

开启PHP安全模式更省事:victory: :victory:

vax 发表于 2008 年 12 月 21 日 12:19:34

原帖由 cpcn 于 2008-12-21 09:50 发表 http://www.jgwy.net/images/common/back.gif
开启PHP安全模式更省事:victory: :victory:
安全模式模式一样

楼主你帖子我转走了。。
http://vaxvac.cn
页: [1]
查看完整版本: 服务器防止PHPSPY木马