数学建模社区-数学中国

标题: 抵御php木马的攻击 [打印本页]
作者: 韩冰    时间: 2004-11-22 23:50
标题: 抵御php木马的攻击

作者：Alpha　　　　来自：http://www.54hack.info/

; o& G4 t& W- E; e5 V8 T: j

1.防止跳出web目录

# }4 b$ N2 ^# f' ] h

修改httpd.conf,如果你只允许你的php脚本程序在web目录里操作，还可以修改httpd.conf文件限制php的操作路径。比 + Q; p u% Y; T如你的web目录是/usr/local/apache/htdocs，那么在httpd.conf里加上这么几行：

, p/ K2 K6 e4 Q

php_admin_value open_basedir /usr/local/apache/htdocs

3 D/ P l. @" a' R7 x

这样，如果脚本要读取/usr/local/apache/htdocs以外的文件将不会被允许，如果错误显示打开的话 5 w4 ^6 Y4 ?. |9 d会提示这样的错误： 1 K! P0 s! K: TWarning: open_basedir restriction in effect. File is in wrong directory in 1 K, r1 b% v# Q! c/usr/local/apache/htdocs/open.php on line 4 4 K: w' L! y0 ]/ w等等。 * |* f' G( }# ]7 ]5 w7 s% T2.防止php木马执行webshell

; x! l- L% K& r( C" V, F

打开safe_mode, 3 |/ h& y' w `( F5 h9 i. e在,php.ini中设置 - F# P6 J l! k ?; v8 M* vdisable_functions= passthru,exec,shell_exec,system

6 Q$ N: j' l' y" D; y; B# O7 o" S

二者选一即可,也可都选

3 A' ?! Q( D& ~. O. ^/ y; m# D

3.防止php木马读写文件目录

1 ]1 [! }# t; b7 T

在php.ini中的 t: ]: F5 f7 g8 e( P/ sdisable_functions= passthru,exec,shell_exec,system

3 M w/ d4 I: r5 e2 b

后面加上php处理文件的函数' S2 v2 m! M: m3 ~0 U' _1 v 主要有: S1 Q$ n+ D( B& r- U6 x fopen,mkdir,rmdir,chmod,unlink,dir 8 Y( @- u8 O# x/ L, y$ ?: m0 Ufopen,fread,fclose,fwrite,file_exists; J9 C3 n' ?8 A1 I2 Y: R7 i closedir,is_dir,readdir.opendir 3 R! h0 j3 @/ p2 M( C ?fileperms.copy,unlink,delfile , q3 G# p, T) ?6 ]/ [- E- {% F% E即成为4 X+ C* j! W, Y/ t disable_functions= passthru,exec,shell_exec,system,fopen,mkdir,rmdir,chmod,unlink,dir9 c2 Z6 { b1 k ,fopen,fread,fclose,fwrite,file_exists# u; R. _% J2 h8 q ,closedir,is_dir,readdir.opendir S2 K* Z1 t7 a u3 x3 q9 ? ,fileperms.copy,unlink,delfile9 T# \2 f4 C' r ok,大功告成,php木马拿我们没辙了,^_^ : P/ ]( v9 t4 \1 n8 M遗憾的是这样的话,利用文本数据库的那些东西就都不能用了哦!

5 ^- _% o( O) f" O5 f1 V

如果是在windos平台下搭建的apache我们还需要注意一点,apache默认运行是system权限,这很恐怖,这让人感觉很不爽.那我们就给apache降降权限吧.

+ y" D, r/ ~7 q/ a. k8 _

net user apache fuckmicrosoft /add

0 b0 k8 o4 P0 a7 Y/ S5 v, O

net localgroup users apache /del

" C! H; K3 _, h

ok.我们建立了一个不属于任何组的用户apche.

5 L" n% c" F" U

我们打开计算机管理器,选服务,点apache服务的属性,我们选择log on ,选择this account ,我们填入上面所建立的账户和密码,重启apache服务,ok,apache运行在低权限下了.

- E4 I+ w. j0 m2 X. N- C- Z( _# C

实际上我们还可以通过设置各个文件夹的权限,来让apache用户只能执行我们想让它能干的事情,给每一个目录建立一个单独能读写的用户.这也是当前很多虚拟主机提供商的流行配置方法哦,不过这种方法用于防止这里就显的有点大材小用了哦 .





欢迎光临 数学建模社区-数学中国 (http://www.madio.net/) Powered by Discuz! X2.5