伏龙阁资源网

Linux Apache+Proftpd构建虚拟主机时要注意的几个安全问题
站长资源 2024/11/22 佚名
2 0
. proftpd建立hostuser/hostuser帐号，所有用户均映射到该帐号。
htdocs/hosts 目录属主也为hostuser
这样用户使用FTP上传的文件属性为hostuser（644 755）。
将FTP锁定用户在自己的主目录下。

apache以nobody运行（以独立apache用户更好），读hostuser的脚本文件。
对于要写入的目录uploads和cache，必须设定777，且循环设定其子目录。两个目录禁止脚本执行(.htaccess:php_flag engine off)。这样即使黑客上传webshell到这两个目录，也无法执行。
这样cache或uploads中的新文件的属主将是nobody
cache目录要限制对外访问。

这里存在一个问题，就是apache生成的文件和目录644和755，当proftpd以hostuser:hostuser运行时，用户是无法删除cache或uploads中的内容的。
解决方法：
(1) 在PHP程序中chmod文件和目录分别为666和777
以adodb为例，需修改adodb.inc.php文件1681行if (!mkdir($dir,0771)) 和adodb-csvlib.inc.php文件287行chmod($tmpname,0644);两个地方
(2) 让用户在系统里面清空cache和uploads


2. PHP safe_mode，它的主要作用是读写文件时会检查当前脚本和要读写或修改的文件属主是否一致，如果不一致就拒绝修改。
不过，如果当前脚本属主是hostuser，要删除属主是nobody的uploads目录下的文件，一旦safe_mode打开，就不能写了。
所以safe_mode默认是不打开的，

其替代方案为：

php_admin_value open_basedir /docroot 限制每个用户只能访问自己的文件。这里的docroot是程序的根目录，不是程序下的cache或uploads目录。如果不是根目录，PHP程序都无法访问。

3. (不一定能保证)所有PHP程序脚本能过滤Remote Code Execution和Local File Include攻击。否则黑客仍有可能读取config.php中的密码，或者直接读写cache或uploads目录中的内容。
cache目录中不可存放类似用户密码之类的数据。

4. expose_php设为off ,这样php不会在http文件头中泄露PHP的版本号.

Tips：Linux下默认文件和目录的mod为 文件644 目录755 （即666-22 777-22）umask 22
广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）
免责声明：本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除！
www.wwsws.com 伏龙阁资源网
39,976影音资源
44,792技术资源
21,817软件资源
651,128站长资源

更新日志

友情链接

杰晶网络 DDR爱好者之家 桃源资源网 杰网资源 富贵资源网 南强小屋 铁雪资源网 幽灵资源网 万梅资源网 狼山资源网 白云岛资源网 昆仑资源网 相思资源网 明霞山资源网 内蒙古资源网 黑松山资源网 茶园资源网 饿虎岗资源网 大旗谷资源网 常春岛资源网 岱庙资源网 兴国资源网 快活林资源网 蝙蝠岛资源网 帝王谷资源网 白云城资源网 伏龙阁资源网 清风细雨楼 天枫庄资源网 圆月山庄资源网 无争山庄资源网 神水资源网 移花宫资源网 神剑山庄资源网 无为清净楼资源网 金钱帮资源网 丐帮资源网 华山资源网 极乐门资源网 小李飞刀资源网 凤求凰客栈 风云阁资源网 金狮镖局 鸳鸯亭资源网 千金楼资源网 更多链接