$ php -v

PHP 5.3.3 (cli) (built: Oct 24 2011 08:35:41)
Copyright (c) 1997-2010 The PHP Group
Zend Engine v2.3.0, Copyright (c) 1998-2010 Zend Technologies

$cat/etc/redhat-release

Red HatEnterprise Linux Server release 6.1 (Santiago)

# php -m

#rm/etc/php.d/sqlite3.ini

#mv/etc/php.d/sqlite3.ini /etc/php.d/sqlite3.disable

./configure --with-libdir=lib64 --with-gd --with-mysql --prefix=/usr --exec-prefix=/usr --bindir=/usr/bin --sbindir=/usr/sbin --sysconfdir=/etc --datadir=/usr/share --includedir=/usr/include --libexecdir=/usr/libexec --localstatedir=/var --sharedstatedir=/usr/com --mandir=/usr/share/man--infodir=/usr/share/info--cache-file=../config.cache --with-config-file-path=/etc --with-config-file-scan-dir=/etc/php.d --enable-fastcgi --enable-force-cgi-redirect

$curl-I //www.jb51.net

HTTP/1.1 200 OK
X-Powered-By: PHP/5.3.3
Content-type: text/html; charset=UTF-8
Vary:accept-Encoding, Cookie
X-Vary-Options: Accept-Encoding;list-contains=gzip,Cookie;string-contains=wikiToken;string-contains=wikiLoggedOut;string-contains=wiki_session
last-Modified: Thu, 03 Nov 2011 22:32:55 GMT
...

#cd/etc/php.d/
# mv gd.{ini,disable}
# /sbin/servicehttpd restart

# mv gd.{disable,ini}
# /sbin/service httpd restart

Order allow,deny
## 可在此添加配置的其余部分... ##

disable_functions=exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source

#psaux |grepphp-cgi

phpcgi   6012 0.0 0.4 225036 60140 "htmlcode">

# spawn-fcgi -a 127.0.0.1 -p 9000 -u phpcgi -g phpcgi -f /usr/bin/php-cgi


现在，你可以配置Apache、Lighttpd和Nginx web服务器了，使用在127.0.0.1ip地址处端口9000上运行的php FastCGI。
第15个设置项：限制PHP对文件系统的访问
open_basedir命令设置了允许PHP使用fopen()和其他函数来访问哪些目录的文件。如果文件在open_basdir定义的路径外面，PHP就拒绝打开该文件。你无法使用符号链接作为变通办法。比如说，只允许访问/var/www/html目录、不允许访问/var/www、/tmp或/etc目录：
限制PHP进程访问/var/www/html/等专门指定的目录外面的文件
; Limits the PHP process from accessing files outside; of specifically designated directories suchas/var/www/html/open_basedir="/var/www/html/"; ------------------------------------; Multipledirsexample; open_basedir="/home/httpd/vhost/cyberciti.biz/html/:/home/httpd/vhost/nixcraft.com/html/:/home/httpd/vhost/theos.in/html/"; ------------------------------------
第16个设置项：会话路径
PHP中的会话支持包括在随后的访问中保留某些数据的一种方法。这让你能够开发更加定制的应用程序，并加大网站的吸引力。该路径在/etc/php.ini文件中定义，与某一个会话有关的所有数据都将存放在session.save_path选项指定的目录下的文件中。在RHEL/CentOS/Fedora Linux下，默认路径如下：
session.save_path="/var/lib/php/session"
设置用于上传文件时存储文件的临时目录
upload_tmp_dir="/var/lib/php/session"
确保路径是outside /var/www/html，而且无法被其他任何系统用户读取或写入：


#ls-Z /var/lib/php/


示例输出：


drwxrwx---. root apache system_u:object_r:httpd_var_run_t:s0 session


注意：ls命令的-Z选项显示了SELinux 安全上下文，比如文件模块、用户、用户组、安全上下文和文件名称。
第17个设置项：保持PHP、软件和操作系统版本最新
打安全补丁是维护Linux、Apache、PHP和MySQL服务器的一个重要环节。应该使用以下其中任何一个工具（如果你通过软件包管理器来安装PHP），尽快检查所有的PHP安全更新版本，并尽快打上：


#yumupdate


或


#apt-getupdate && apt-get upgrade


你可以配置红帽/CentOS/Fedora Linux，以便通过电子邮件发送yum软件包更新通知。另一个选项是通过cron job（计划任务）打上所有的安全更新版。在Debian/Ubuntu Linux下，可以使用apticron来发送安全通知。
注意：经常访问php.net（http://php.net/），寻找源代码安装的最新版本。
第18个设置项：限制文件和目录访问
确保你以Apache或www等非根用户的身份来运行Apache。所有文件和目录都应该归非根用户（或apache用户）所有，放在/var/www/html下：


#chown-R apache:apache /var/www/html/


/var/www/html/是个子目录，这是其他用户可以修改的文件根目录，因为根目录从来不在那里执行任何文件，也不会在那里创建文件。
确保在/var/www/html/下，文件权限设成了0444（只读）：


#chmod-R 0444 /var/www/html/


确保在/var/www/html/下，所有目录权限设成了0445：


#find/var/www/html/ -type d -print0 |xargs-0 -I {} chmod 0445 {}


关于设置合适文件权限的补充
chown和chmod命令确保：不管在什么情况下，文件根目录或文件根目录里面的文件都可以被Web服务器用户apache写入。请注意：你需要设置对你网站的开发模型最合理的权限，所以可以根据自身需要，随意调整chown和chmod命令。在这个示例中，Apache服务器以apache用户的身份来运行。这可以在你的httpd.conf文件中用User和Group命令来配置。apache用户需要对文件根目录下的所有内容享有读取访问权，但是不应该享有写入访问权。
确保httpd.conf有以下命令，实现限制性配置：
Options None
AllowOverride None
Order allow,deny
你只要在需要时才应该授予写入访问权。WordPress等一些Web应用程序及其他应用程序可能需要缓存目录。你可以使用以下命令，授予写入到缓冲目录的访问权：


# chmod a+w/var/www/html/blog/wp-content/cache

### block access to all ###

#echo'deny from all' > /var/www/html/blog/wp-content/cache/.htaccess


第19个设置项：写保护Apache、PHP和MySQL配置文件
使用chattr命令来写保护配置文件：


# chattr +i /etc/php.ini
# chattr +i /etc/php.d/*
# chattr +i /etc/my.ini
# chattr +i /etc/httpd/conf/httpd.conf
# chattr +i /etc/chattr


命令还可以写保护/var/www/html目录中的一个php文件或多个文件：


# chattr +i /var/www/html/file1.php
# chattr +i /var/www/html/


第20个设置项：使用Linux安全加载模块（如SELinux）
Linux自带各种安全补丁，可以用来防护配置不当或受到危及的服务器程序。可能的话，使用SELinux及其他Linux安全加载模块，对网络及其他程序实行限制。比如说，SELinux为Linux内核和Apache Web服务器提供了众多安全策略。要列出所有的Apache SELinux保护变量，请输入：


# getsebool -a | grep httpd


示例输出：


allow_httpd_anon_write --> off
allow_httpd_mod_auth_ntlm_winbind --> off
allow_httpd_mod_auth_pam --> off
allow_httpd_sys_script_anon_write --> off
httpd_builtin_scripting --> on
httpd_can_check_spam --> off
httpd_can_network_connect --> off
httpd_can_network_connect_cobbler --> off
httpd_can_network_connect_db --> off
httpd_can_network_memcache --> off
httpd_can_network_relay --> off
httpd_can_sendmail --> off
httpd_dbus_avahi --> on
httpd_enable_cgi --> on
httpd_enable_ftp_server --> off
httpd_enable_homedirs --> off
httpd_execmem --> off
httpd_read_user_content --> off
httpd_setrlimit --> off
httpd_ssi_exec --> off
httpd_tmp_exec --> off
httpd_tty_comm --> on
httpd_unified --> on
httpd_use_cifs --> off
httpd_use_gpg --> off
httpd_use_nfs --> off


要禁用Apache cgi支持，请输入：


# setsebool -P httpd_enable_cgi off


参阅红帽SELinux指南（http://docs.redhat.com/docs/en-US/Red_Hat_Enterprise_Linux/6/html/Security-Enhanced_Linux/index.html），即可了解更多信息。
第21个设置项：安装Mod_security
ModSecurity是一个保护Web应用程序的开源入侵检测和预防引擎。你在Linux下很容易安装mod_security，安装后就能保护基于Apache和PHP的应用程序，远离XSS及其他各种攻击：


##几个实例##
#不允许打开/etc/中的文件
SecFilter /etc/
#阻止SQL注入攻击
SecFilter "delete[[:space:]]+from"
SecFilter "select.+from"


第22个设置项：尽可能在chrootjail环境中运行Apache / PHP
将PHP及/或Apache放在chroot jail环境中可以尽量减小潜在的入侵事件造成的破坏，因为它将Web服务器隔离到文件系统的一小部分。你可以使用Apache自带的那种传统的chroot jail环境。不过建议使用FreeBSD jail、运用容器概念的XEN虚拟化、KVM虚拟化或OpenVZ虚拟化。
第23个设置项：使用防火墙限制出站连接
攻击者会使用wget之类的工具，将文件本地下载到你的Web服务器上。你可以使用iptables阻止apache用户的出站连接。ipt_owner模块会试图比对本地创建的数据包与数据包创建者的各个特点。它只有在OUTPUT链中才有效。在这个示例中，允许vivek用户使用端口80连接外界（这适用于RHN或centos repo访问）。


# /sbin/iptables -A OUTPUT -o eth0 -m owner --uid-owner vivek -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT


下面是另一个示例，阻止apache用户的所有出站连接（通向我们自己的smtp服务器的出站连接除外），以及垃圾邮件验证API服务：


# ..../sbin/iptables --new-chain apache_user/sbin/iptables --append OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT/sbin/iptables --append OUTPUT -m owner --uid-owner apache -j apache_user# allow apache user to connec to our smtp server/sbin/iptables --append apache_user -p tcp --syn -d 192.168.1.100 --dport 25 -j RETURN# Allow apache user to connec to api server for spam validation/sbin/iptables --append apache_user -p tcp --syn -d 66.135.58.62 --dport 80 -j RETURN/sbin/iptables --append apache_user -p tcp --syn -d 66.135.58.61 --dport 80 -j RETURN/sbin/iptables --append apache_user -p tcp --syn -d 72.233.69.89 --dport 80 -j RETURN/sbin/iptables --append apache_user -p tcp --syn -d 72.233.69.88 --dport 80 -j RETURN########################### Addmorerules here ############################ No editing below# Drop everything for apache outgoing connection

# /sbin/iptables --append apache_user -jreject


第24个设置项：关注日志和审查
检查apache日志文件：


#tail-f /var/log/httpd/error_log
# grep 'login.php' /var/log/httpd/error_log
#egrep-i "denied|error|warn" /var/log/httpd/error_log


检查php日志文件：


# tail -f /var/log/httpd/php_scripts_error.log
# grep "...etc/passwd" /var/log/httpd/php_scripts_error.log


日志文件让你对于服务器遭到什么攻击有所了解，并让你可以检查必要的安全级别有没有落实到位。提供了用于系统审查的auditd服务。启用该服务，就可以审查SELinux事件、验证事件、文件修改和帐户修改等。我还建议使用标准的Linux系统监测工具（http://www.cyberciti.biz/tips/top-linux-monitoring-tools.html），用于监测你的Web服务器。
第25个设置项：按照系统或虚拟机实例来运行服务
对于安装的大型系统来说，建议你借助不同的服务器运行数据库、静态内容和动态内容。
图1：在不同的服务器上运行服务

在不同的服务器或虚拟机实例上运行不同的网络服务。这限制了可能受到危及的其他服务的数量。比如说，如果攻击者成功地利用了Apache flow等软件的漏洞，就能访问整个服务器，包括在同一台服务器上运行的其他服务（比如MySQL和电子邮件服务等）。但是在上述例子中，按以下方式提供不同内容：
static.lan.cyberciti.biz：使用lighttpd或nginx服务器，用于提供js/css/images等静态资产。
phpcgi1.lan.cyberciti.biz和phpcgi2.lan.cyberciti.biz：Apache web服务器，php用于生成动态内容。
mysql1.lan.cyberciti.biz：MySQL数据库服务器。
mcache1.lan.cyberciti.biz：Memcached服务器是用于MySQL的速度非常快的缓存系统。它使用libevent或epoll（Linux运行时环境），可以扩展至任何数量的打开的连接，并使用非阻塞的网络输入/输出。
LB01：放在Apache Web服务器前面的nginx Web服务器和反向代理服务器。 从互联网进入到其中一台Web服务器的所有连接均通过nginx代理服务器来传送，该代理服务器可以本身处理请求，也可以将请求全部或部分传送到主Web服务器。LB01提供了简单的负载均衡机制。
第26个设置项：其他工具
来自PHPIDS项目网页（https://phpids.org/）：
PHPIDS（PHP入侵检测系统）是面向基于PHP的web应用程序的安全层，具有使用简单、结构良好、运行快捷、技术先进等优点。IDS无法清除、净化或过滤任何恶意输入内容，仅仅识别攻击者何时企图闯入你的网站，安全按照你希望它采取的措施来采取相应措施。
你可以使用PHPIDS来检测恶意用户，并记录检测出来的任何攻击，方便以后分析。请注意：我个人没有用过这款工具。
来自PhpSecInfo项目网页（http://phpsec.org/projects/phpsecinfo/index.html）：
PhpSecInfo提供了与phpinfo()函数相对应的机制，可报告关于PHP环境的安全信息，并提供改进的建议。它无法取代安全开发技巧，也不进行任何一种代码或应用程序审查，却是多层次安全方案中的一个实用工具。
图2：关于PHP应用程序的安全信息

参阅Linux安全加固要点（http://www.cyberciti.biz/tips/linux-security.html），减少系统面临的攻击途径数量。
关于PHP后门的补充
你可能碰到过PHP脚本或所谓的常见后门，比如c99、c99madshell和r57等。后门php脚本其实就是一段隐藏的脚本，用于绕开所有的验证机制，根据需要访问你的服务器。攻击者安装它的目的是，访问你的服务器，同时又企图不被发现。误用的PHP脚本（或其他任何CGI脚本）通常允许添加钻Web浏览器中安全漏洞空子的代码。攻击者可以使用这种被钻空子的安全漏洞，上传后门外壳程序，从而让攻击者能够获得许多功能，比如：

下载文件
上传文件
安装rootkit
设置垃圾邮件服务器/中继服务器
设置代理服务器，隐匿行踪
控制服务器
控制数据库服务器
窃取所有信息
删除所有信息和数据库
打开TCP/UDP端口及更多端口

要点：该如何找出PHP后门？
可以使用Unix/Linux grep命令，搜索c99或r57外壳：


# grep -iR 'c99' /var/www/html/
# grep -iR 'r57' /var/www/html/
# find /var/www/html/ -name \*.php -type f -print0 | xargs -0 grep c99
# grep -RPn "(passthru|shell_exec|system|base64_decode|fopen|fclose|eval)" /var/www/html/