apache 没有目录保护

Question 1

黑客通常使用符号链接绕过 open_basedir。我的服务器多次被黑客利用。最好的方法是安装 Suhosin 并禁用符号链接等潜在危险功能。以下是安装教程的链接，可能比较旧，但可能有用

http://www.webhostgear.com/416.html

然后使用 php.ini 中的以下指令阻止以下函数

suhosin.executor.func.blacklist = "show_source,shell_exec,passthru,exec,popen,system,system, shell_exec, passthru, exec, popen, proc_open, symlink, php_uname,etmyuid,passthru,leak,listen,diskfreespace,link,ignore_user_abord,shell_exec,dl,exec,highlight_file,source,show_source,fpaththru,virtual,posix_ctermid,posix_getcwd,symlink,popen,system,escapeshellarg,escapeshellcmd,myshellexec,c99_buff_prepare,c99_sess_put,posix_getegid,posix_geteuid,posix_getgid,posix_getgrgid,posix_getgrnam,posix_getgroups,posix_getlogin,posix_getpgid,posix_getpgrp,posix_getpid,posix,getppid,posix_getpwnam,posix_getpwuid,posix_getrlimit,posix_getsid,posix_getuid,posix_isatty,posix_kill,posix_mkfifo,posix_setegid,posix_seteuid,posix_setgid,posix_setpgid,posix_setsid,posix_setuid,posix_times,posix_ttyname,posix_uname,proc_open,proc_close,proc_get_status,proc_nice,proc_terminate"

Answer

黑客通常使用符号链接绕过 open_basedir。我的服务器多次被黑客利用。最好的方法是安装 Suhosin 并禁用符号链接等潜在危险功能。以下是安装教程的链接，可能比较旧，但可能有用

http://www.webhostgear.com/416.html

然后使用 php.ini 中的以下指令阻止以下函数

suhosin.executor.func.blacklist = "show_source,shell_exec,passthru,exec,popen,system,system, shell_exec, passthru, exec, popen, proc_open, symlink, php_uname,etmyuid,passthru,leak,listen,diskfreespace,link,ignore_user_abord,shell_exec,dl,exec,highlight_file,source,show_source,fpaththru,virtual,posix_ctermid,posix_getcwd,symlink,popen,system,escapeshellarg,escapeshellcmd,myshellexec,c99_buff_prepare,c99_sess_put,posix_getegid,posix_geteuid,posix_getgid,posix_getgrgid,posix_getgrnam,posix_getgroups,posix_getlogin,posix_getpgid,posix_getpgrp,posix_getpid,posix,getppid,posix_getpwnam,posix_getpwuid,posix_getrlimit,posix_getsid,posix_getuid,posix_isatty,posix_kill,posix_mkfifo,posix_setegid,posix_seteuid,posix_setgid,posix_setpgid,posix_setsid,posix_setuid,posix_times,posix_ttyname,posix_uname,proc_open,proc_close,proc_get_status,proc_nice,proc_terminate"

Question 2

对于未配置和未强化的系统，这是正常行为，您可以简单地设置open_basedir选项来php.ini定义限制（http://www.php.net/manual/en/ini.core.php#ini.open-basedir）。

但它不会限制exec从 php 脚本运行的 shell 脚本和命令访问这些文件，您可以使用禁用其中一些功能disable_functions。

一般来说，强化方面有很多东西，在这里列出来并不容易，而且是架构方面的。例如，目前，我猜你正在运行带有 mod_php 的 apache prefork MPM，如果是 mod_fcgid + php-cgi - 你将根本无法使用/data，因为它受到 mod_fcgid 的限制，此外，默认策略还/var/www/存在 selinux 限制等。targeted

你会发现越来越多这样的问题。

Answer