PHP安全配置(4)

金光

  四、其它安全配置 1、取消其它用户对常用、重要系统命令的读写执行权限 一般管理员维护只需一个普通用户和管理用户，除了
这两个用户，给其它用户能够执行和访问的东西应该越少越好，所以取消其它用户对常用、重要系统命令的读写执行权限能在程
序或者服务出现漏洞的时候给攻击者带来很大的迷惑。记住一定要连读的权限也去掉，否则在linux下可以用/lib/ld-linux.so.2
/bin/ls这种方式来执行。 如果要取消某程如果是在chroot环境里，这个工作比较容易实现，否则，这项工作还是有些挑战的。
因为取消一些程序的执行权限会导致一些服务运行不正常。PHP的mail函数需要/bin/sh去调用sendmail发信，所以/bin/bash的执
行权限不能去掉。这是一项比较累人的工作， 2、去掉apache日志其它用户的读权限 apache的access-log给一些出现本地包含漏
洞的程序提供了方便之门。通过提交包含PHP代码的URL，可以使access-log包含PHP代码，那么把包含文件指向access-log就可以
执行那些PHP代码，从而获得本地访问权限。 如果有其它虚拟主机，也应该相应去掉该日志文件其它用户的读权限。 当然，如果
你按照前面介绍的配置PHP那么一般已经是无法读取日志文件了。


转自：  http://edu.chinaz.com

金光

  四、其它安全配置 1、取消其它用户对常用、重要系统命令的读写执行权限 一般管理员维护只需一个普通用户和管理用户，除了
这两个用户，给其它用户能够执行和访问的东西应该越少越好，所以取消其它用户对常用、重要系统命令的读写执行权限能在程
序或者服务出现漏洞的时候给攻击者带来很大的迷惑。记住一定要连读的权限也去掉，否则在linux下可以用/lib/ld-linux.so.2
/bin/ls这种方式来执行。 如果要取消某程如果是在chroot环境里，这个工作比较容易实现，否则，这项工作还是有些挑战的。
因为取消一些程序的执行权限会导致一些服务运行不正常。PHP的mail函数需要/bin/sh去调用sendmail发信，所以/bin/bash的执
行权限不能去掉。这是一项比较累人的工作， 2、去掉apache日志其它用户的读权限 apache的access-log给一些出现本地包含漏
洞的程序提供了方便之门。通过提交包含PHP代码的URL，可以使access-log包含PHP代码，那么把包含文件指向access-log就可以
执行那些PHP代码，从而获得本地访问权限。 如果有其它虚拟主机，也应该相应去掉该日志文件其它用户的读权限。 当然，如果
你按照前面介绍的配置PHP那么一般已经是无法读取日志文件了。


转自：  http://edu.chinaz.com