[PHP 安全] OWASP 維護的 PHP 安全配置速查表

文章轉自：learnku.com/php/t/26973

介紹

這個頁面的目的是爲了幫助那些配置 PHP 和運行它的 web 服務器的人確保它的安全性。

下面你將找到有關 php.ini 文件的正確配置信息。

php.ini

下面的一些設置須要適應你的系統，特別是 session.save_path， session.cookie_path （例如： /var/www/mysite），和 session.cookie_domain （例如：ExampleSite.com）。

你還應該運行 PHP 7.2 或者更高版本。若是你運行的版本是 PHP 7.0 和 PHP 7.1 ，你將在下面的幾個地方使用略有不一樣的值（看內聯的註釋）。最後，查看 PHP 文檔 以得到關於 php.ini 配置文件中每一個值的參考。

你能夠在一個現成的 php.ini 文件中找到如下配置的副本 此處 。

PHP 錯誤處理

expose_php              = Off
error_reporting         = E_ALL
display_errors          = Off
display_startup_errors  = Off
log_errors              = On
error_log               = /valid_path/PHP-logs/php_error.log
ignore_repeated_errors  = Off

複製代碼

請注意：你須要在生產環境中 display_errors 設置成 Off， 同時最好養成常常查看這些日誌的好習慣。

PHP 通用設置

doc_root                = /path/DocumentRoot/PHP-scripts/
open_basedir            = /path/DocumentRoot/PHP-scripts/
include_path            = /path/PHP-pear/
extension_dir           = /path/PHP-extensions/
mime_magic.magicfile    = /path/PHP-magic.mime
allow_url_fopen         = Off
allow_url_include       = Off
variables_order         = "GPCS"
allow_webdav_methods    = Off
session.gc_maxlifetime  = 600

複製代碼

allow_url_* 很容易發生 LFI 還有 RFI 徹底漏洞。

PHP上傳文件處理

file_uploads            = On
upload_tmp_dir          = /path/PHP-uploads/
upload_max_filesize     = 2M
max_file_uploads        = 2

複製代碼

若是你的應用沒有使用文件上傳功能，或者說用戶惟一的輸入上傳的方式是經過沒有包含文檔附件的表單提交， file_uploads 應當被設置成 Off。

PHP 可執行處理

enable_dl               = Off
disable_functions       = system, exec, shell_exec, passthru, phpinfo, show_source, highlight_file, popen, proc_open, fopen_with_path, dbmopen, dbase_open, putenv, move_uploaded_file, chdir, mkdir, rmdir, chmod, rename, filepro, filepro_rowcount, filepro_retrieve, posix_mkfifo
# 請查看：http://ir.php.net/features.safe-mode
disable_classes         = 

複製代碼

以上是PHP中存在危險的方法和類.。你應當禁用其中不會使用到的方法和類。

PHP session 處理

Session 設置中有一些須要重點關注的值， 將 session.name 改爲新的是個很好的練習.

session.save_path                = /path/PHP-session/
 session.name                     = myPHPSESSID
 session.auto_start               = Off
 session.use_trans_sid            = 0
 session.cookie_domain            = full.qualified.domain.name
 #session.cookie_path = /application/path/
 session.use_strict_mode          = 1
 session.use_cookies              = 1
 session.use_only_cookies         = 1
 session.cookie_lifetime          = 14400 # 4小時 
 session.cookie_secure            = 1
 session.cookie_httponly          = 1
 session.cookie_samesite          = Strict
 session.cache_expire             = 30 
 session.sid_length               = 256
 session.sid_bits_per_character   = 6 # PHP 7.2+
 session.hash_function            = 1 # PHP 7.0-7.1
 session.hash_bits_per_character  = 6 # PHP 7.0-7.1

複製代碼

更多的安全隱患的檢查

session.referer_check   = /application/path
memory_limit            = 50M
post_max_size           = 20M
max_execution_time      = 60
report_memleaks         = On
track_errors            = Off
html_errors             = Off
複製代碼

文章轉自：learnku.com/php/t/26973
更多文章：learnku.com/laravel/c/t…