最小化 PHP.CGI.Argument.Injection 并进一步强化 Centos 6.4 Web 服务器

Question 1

这PHP.CGI.Argument.Injection 漏洞如果用作 CGI 并且版本 <= 5.3.12 或 <= 5.4.2，则允许在 PHP 上远程执行代码。

您在防火墙日志中看到这些行并不意味着您易受伤害的，只是外面有人想那你可能。为此，但这只是我的意见我有几位专家强烈反对，让你的服务器隐藏其版本控制令牌可能会适得其反，因为潜在的利用者会尝试他们所有的伎俩 - 那些你可能容易受到攻击的技巧，以及那些你不容易受到攻击的技巧。如果出现针对 FooScript 的漏洞，您将不会因为没有宣传 FooScript 的使用而幸免。

那么，你什么能do（我想你已经这样做了）是将 PHP 作为模块运行和/或将其更新为比易受攻击的版本更高的版本。一旦您不再容易受到攻击，您可能希望指示防火墙在没有警告的情况下放弃此类尝试（当然您仍然希望收到警告其他尝试！）。

一般来说，您可能还想查看一项或多项漏洞扫描器。

将 PHP 作为模块或 CGI

PHP 可以通过多种方式安装。作为一个模块 ( mod_php5)，它“生存”在 Apache 进程中，默认情况下具有相同的权限。您可以将其视为“嵌入”Apache 内部的 PHP 功能，使其变得“更智能”。妥协mod_php可能意味着损害 Apache（有补救措施，但仍然如此），因此全部其网站。作为一个 CGI，它作为一个单独的进程存在（一些单独的进程），一些人认为这更安全，而另一些人则认为这是性能较差（每次调用都必须重新设置整个过程）。 FastCGI 处于中间位置，但需要更多配置；有两三个口味它的。

配置看起来还不错；不过，您可能想更改这些值：

KeepAlive      On
DefaultType    text/html
EnableMMAP     On

mmap'ing 几乎可以免费提高性能。有一些警告，但它们是通常不相关（当然，您将检查这是否是您的情况）：

这种内存映射有时会提高性能。但在某些环境中，最好禁用内存映射以防止出现操作问题：
On some multiprocessor systems, memory-mapping can reduce the performance of the httpd.
Deleting or truncating a file while httpd has it memory-mapped can cause httpd to crash with a segmentation fault.

禁用 Keep-Alive 可能会减轻某种 (D)DoS - 请参阅安全提示-，但通常最好采取其他措施，例如禁止（就像您已经做的那样），这使得禁用 Keep-Alives 基本上是多余的；同时拥有它们可以提高“好”客户的性能（也可以释放资源来处理坏的那些）。

默认的内容类型text/html并不真正相关，但我觉得没有理由让你的平均值网络服务器默认为纯文本。

Answer

这PHP.CGI.Argument.Injection 漏洞如果用作 CGI 并且版本 <= 5.3.12 或 <= 5.4.2，则允许在 PHP 上远程执行代码。

您在防火墙日志中看到这些行并不意味着您易受伤害的，只是外面有人想那你可能。为此，但这只是我的意见我有几位专家强烈反对，让你的服务器隐藏其版本控制令牌可能会适得其反，因为潜在的利用者会尝试他们所有的伎俩 - 那些你可能容易受到攻击的技巧，以及那些你不容易受到攻击的技巧。如果出现针对 FooScript 的漏洞，您将不会因为没有宣传 FooScript 的使用而幸免。

那么，你什么能do（我想你已经这样做了）是将 PHP 作为模块运行和/或将其更新为比易受攻击的版本更高的版本。一旦您不再容易受到攻击，您可能希望指示防火墙在没有警告的情况下放弃此类尝试（当然您仍然希望收到警告其他尝试！）。

一般来说，您可能还想查看一项或多项漏洞扫描器。

将 PHP 作为模块或 CGI

PHP 可以通过多种方式安装。作为一个模块 ( mod_php5)，它“生存”在 Apache 进程中，默认情况下具有相同的权限。您可以将其视为“嵌入”Apache 内部的 PHP 功能，使其变得“更智能”。妥协mod_php可能意味着损害 Apache（有补救措施，但仍然如此），因此全部其网站。作为一个 CGI，它作为一个单独的进程存在（一些单独的进程），一些人认为这更安全，而另一些人则认为这是性能较差（每次调用都必须重新设置整个过程）。 FastCGI 处于中间位置，但需要更多配置；有两三个口味它的。

配置看起来还不错；不过，您可能想更改这些值：

KeepAlive      On
DefaultType    text/html
EnableMMAP     On

mmap'ing 几乎可以免费提高性能。有一些警告，但它们是通常不相关（当然，您将检查这是否是您的情况）：

这种内存映射有时会提高性能。但在某些环境中，最好禁用内存映射以防止出现操作问题：
On some multiprocessor systems, memory-mapping can reduce the performance of the httpd.
Deleting or truncating a file while httpd has it memory-mapped can cause httpd to crash with a segmentation fault.

禁用 Keep-Alive 可能会减轻某种 (D)DoS - 请参阅安全提示-，但通常最好采取其他措施，例如禁止（就像您已经做的那样），这使得禁用 Keep-Alives 基本上是多余的；同时拥有它们可以提高“好”客户的性能（也可以释放资源来处理坏的那些）。

默认的内容类型text/html并不真正相关，但我觉得没有理由让你的平均值网络服务器默认为纯文本。

Question 2

渗透测试

当维护可访问互联网的服务器时，您确实无法避免自己执行渗透测试（又名渗透测试）的需要。我通常使用以下工具来执行此操作：

OpenVAS 是一个由多种服务和工具组成的框架，提供全面且强大的漏洞扫描和漏洞管理解决方案。（免费/开源）
- http://www.openvas.org/
Nessus 是 Tenable Network Security 开发的专有综合漏洞扫描器。在非企业环境中个人使用是免费的。其目标是检测被测系统上的潜在漏洞。
- http://www.tenable.com/products/nessus
Metasploit Framework 是一个用于针对远程目标计算机开发和执行漏洞利用代码的工具。
- http://www.metasploit.com/

NSA 强化指南

我通常在设置 CentOS 系统时会阅读本指南。它特定于 RHEL5，但指南中的所有内容都是相关的并且应该遵守。它确实专门讨论了 Apache 的强化。

Red Hat Enterprise Linux 5 安全配置指南 - NSA

审计

正如您现在所做的那样，检查任何异常情况并跟进它们，并确保您理解它们，以便您可以权衡它们是否是您的设置的潜在向量。

埃里克·罗曼的博客是查找这些漏洞的一个非常好的资源。具体来说，这是您注意到的漏洞：CVE-2012-1823 PHP CGI 参数注入 Metasploit 演示。您还可以查找这两个数据库中的漏洞：

OSVDB- 开源漏洞数据库
CVE- 常见漏洞和暴露列表

Answer

渗透测试

当维护可访问互联网的服务器时，您确实无法避免自己执行渗透测试（又名渗透测试）的需要。我通常使用以下工具来执行此操作：

OpenVAS 是一个由多种服务和工具组成的框架，提供全面且强大的漏洞扫描和漏洞管理解决方案。（免费/开源）
- http://www.openvas.org/
Nessus 是 Tenable Network Security 开发的专有综合漏洞扫描器。在非企业环境中个人使用是免费的。其目标是检测被测系统上的潜在漏洞。
- http://www.tenable.com/products/nessus
Metasploit Framework 是一个用于针对远程目标计算机开发和执行漏洞利用代码的工具。
- http://www.metasploit.com/

NSA 强化指南

我通常在设置 CentOS 系统时会阅读本指南。它特定于 RHEL5，但指南中的所有内容都是相关的并且应该遵守。它确实专门讨论了 Apache 的强化。

Red Hat Enterprise Linux 5 安全配置指南 - NSA

审计

正如您现在所做的那样，检查任何异常情况并跟进它们，并确保您理解它们，以便您可以权衡它们是否是您的设置的潜在向量。

埃里克·罗曼的博客是查找这些漏洞的一个非常好的资源。具体来说，这是您注意到的漏洞：CVE-2012-1823 PHP CGI 参数注入 Metasploit 演示。您还可以查找这两个数据库中的漏洞：

OSVDB- 开源漏洞数据库
CVE- 常见漏洞和暴露列表

最小化 PHP.CGI.Argument.Injection 并进一步强化 Centos 6.4 Web 服务器

答案1

答案2

渗透测试

NSA 强化指南

审计

相关内容