Server sikkerhedsindstillinger for Apache og PHP

Nogle opgaver, der skal udføres for at give større sikkerhed og undgå problemer, er:
Deaktiver visning af fejl og advarsel i php, dette kan bruges i programmeringsfasen til at hjælpe udvikleren med at se fejlene og derefter deaktivere det, når internettet går ind i produktionsfasen.
Deaktiver alle fejlmeddelelser
Brug af følgende variabler i php.ini:

fejlrapport (0);

// Rapporter kun udførelsesfejl

fejlrapportering (E_ERROR | E_WARNING | E_PARSE);

// Rapporter alle fejl undtagen E_NOTICE

fejlrapportering (E_ALL ​​E_NOTICE);

// Rapporter alle PHP -fejl (error_reporting (E_ALL);
De kan også aktiveres og deaktiveres ved at sætte koden i begyndelsen af ​​siden, der skal udføres.

Det er altid vigtigt at rette og ikke skjule fejl, mange udviklere bruger error_reporting (0) til at skjule fejl, men disse er der stadig og kan drages fordel af, vi skal altid undgå at enhver kode vi udvikler har fejl, det være sig php, javascript eller det sprog, vi bruger.
Det er vigtigt at kontrollere variablerne, og hvilke data de indtaster.
Skift filtypen
Du kan ændre udvidelsen, når du påkalder og udfører scripts i php, i filer med en html -udvidelse.
I apache -konfigurationsfil (httpd.conf)
Vi leder efter linjen:

AddType application / x-httpd-php

Og vi tilføjer .htm og .html til slutningen, det ville være som følger:

AddType application / x-httpd-php .htm .html

Vi kan også oprette en brugerdefineret udvidelse til at skjule filtypen for den besøgende

AddType application / x-httpd-php .bo .sol .tf

Dette er meget nyttigt af sikkerhedsmæssige årsager. Vi skjuler, at applikationen er programmeret, fordi du i browseren simpelthen vil se .html eller den tilpassede udvidelse i scripts, der faktisk er php. Mange websteder bruger denne metode.
Kontroller, at register_globals er inaktiv
Deaktiver register_globals, og tillad ikke oprettelse af variabler i farten, blandt andet med:

register_globals = Fra

Fra php.ini tvinger dette til at deklarere alle variabler, eller det vil give en fejl.
Deaktiver eksterne webadresser til funktioner, der håndterer filer
Dette tjener, så en fil på vores server ikke kan eksekveres eller tilgås fra en anden, i php.ini deaktiverer vi allow_url_fopen

allow_url_fopen = Fra

Begræns, i hvilken bibliotek PHP kan læse eller udføre ethvert script eller en proces

open_basedir = /var/www/htdocs/midomino.com

Hvert domæne kan ændre sit eget php.ini, hvis serveradministratoren tillader det, selvom dette er sjældent.
Deaktiver Apache HTTP TRACE
HTTP TRACE bruges til at returnere resultatet af anmodningen til serveren.
Det kan bruges til Cross Site Scripting eller XSS -angreb, så det er bedst at deaktivere det af sikkerhedsmæssige årsager.
Vi ændrer i / etc /httpd/konf/httpd.konf
Spor Slå til
Apache er en af ​​de mest anvendte webservere, og php er det mest udbredte sprog til webudvikling, med disse konfigurationer og værktøjer kan vi hjælpe med at styrke vores webs sikkerhed mod mulige angreb.