拽拽
管理员组

thinkphp框架相关的WEB系统需要做的服务器安全设置涉及操作系统安全、目录安全、站点配置和运行配置等多个方面

服务器安全

服务器安全涉及操作系统安全、目录安全、站点配置和运行配置等多个方面。

操作系统安全

生产用的操作系统强烈推荐使用 LTS 版本,留意操作系统的更新,并定期更新操作系统。

目录安全

在实际生产中,目录安全是比较容易被忽略的配置,因此我们更应该加倍注意防范,以免造成不必要的损失。

首先我们建议在生产环境只开放uploadsruntime目录的读写权限,其次还需要关闭uploads目录执行PHP脚本的权限,假设时服务端uploads目录有读写权限且有PHP的脚本执行权限,那么当有恶意脚本被上传到这个目录并被执行时,会导致服务器数据泄漏或恶意修改,从而造成损失。

为避免不必要的损失,在生产环境下建议使用以下命令进行目录权限设置

chown www:www /var/www/yoursite -Rchmod 555 /var/www/yoursite -Rchmod u+w /var/www/yoursite/runtime -Rchmod u+w /var/www/yoursite/public/uploads -R

WEB配置

通过以上的目录权限配置还不够,我们还需要继续对服务器做WEB配置,以限制PHP脚本的运行

Nginx可以通过以下配置禁止PHP脚本执行

location ~ ^/(uploads|assets)/.*\.(php|php5|jsp)$ {    deny all;
}

Apache可以通过在.htaccess中配置来禁用PHP脚本执行

RewriteEngine on RewriteCond % !^$RewriteRule uploads/(.*).(php)$ – [F]

或使用

<Directory "/www/yoursite/public/uploads">
  <Files ~ ".php">
      Order allow,deny
      Deny from all
  </Files></Directory>

其次在新增网站配置时务必绑定public目录为运行目录,同时启用open_basedir限制只允许FastAdmin的根目录,例如:fastcgi_param PHP_VALUE "open_basedir=/var/www/fastadmin/:/tmp/:/proc/";

通常也建议修改php.ini,禁用不安全的函数,配置如disable_functions = passthru,exec,system,chroot,chgrp,chown,shell_exec,proc_open,proc_get_status,popen,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popepassthru

下载配置

默认我们在请求txt/doc/pdf/ppt等类型的文件时会在浏览器进行渲染,为了安全,强烈建议当请求此类文件时进行下载而不是预览,我们可以按以下方法进行修改服务器配置来实现。

Nginx可以修改配置文件(宝塔面板可直接在面板伪静态中添加)

location ~ .*\.(txt|doc|pdf|rar|gz|zip|docx|exe|xlsx|ppt|pptx)$ {    add_header Content-Disposition attachment;
}

Apache可以通过修改public/.htaccess配置来实现

<FilesMatch "\.(txt|doc|pdf|rar|gz|zip|docx|exe|xlsx|ppt|pptx)$">
   ForceType application/octet-stream
   Header set Content-Disposition attachment
</FilesMatch>

运行配置

首先打开application/config.php,做以下几项配置

app_debug 设置为 falseapp_trace 设置为 falsedeny_module_list 添加 admin,然后将public目录下的admin.php重命名,新版本FastAdmin已经自动禁用和重命名 
cookie.httponly 设置为 truecookie.secure 设置为 true   //前提是你的网站仅提供https访问

其次前台开启全局过滤,早期FastAdmin版本并未开启全局过滤。你也可以检查下你的代码。请手动修改以下代码:

application/common/controller/Frontend.php
application/common/controller/Api.php

注意修改其中的$this->request->filter过滤代码,可以修改成:

$this->request->filter('trim,strip_tags,htmlspecialchars');

同时也可以参考https://ask.fastadmin.net/article/7534.html 设置全局 HtmlPurifier 安全过滤

最后务必修改后台管理入口,新版 FastAdmin 会随机生成后台入口,可以自定义修改后台入口文件,但请勿将入口改为容易被猜测到的入口文件,以后可以安全的从我们自定义的后台入口进行登录。


#1楼
发帖时间:11月前   |   查看数:0   |   回复数:2
拽拽
管理员组
666
9月前 #2楼
拽拽
管理员组
秒啊
9月前 #3楼
游客组