PHP是流行的Web开发语言，也是部署广泛的网站运行时环境。

PHP配置的安全选项

在配置PHP运行时环境时，需要重点关注的安全选项包括：

禁止将PHP报错信息输出给用户。如果PHP报错信息直接输出给用户，则可能会泄露服务器或者数据库配置信息。如图8-5所示：

图8-5 PHP报错信息泄露代码结构

禁止将PHP报错信息输出给用户的配置方法是在php.ini中增加以下内容：

expose_php = Off #在HTTP头部中隐藏PHP信息
error_reporting = E_ALL #报告所有错误和警告
display_errors = Off #禁止把错误信息显示在客户端输出中
display_startup_errors = Off #禁止把启动错误显示在客户端输出中
log_errors = On #记录错误
error_log = /valid_path/PHP-logs/php_error.log #指定错误文件的路径
ignore_repeated_errors  = Off #禁止忽略重复的错误

PHP的通用安全配置。在php.ini中增加以下内容：

open_basedir = /path/DocumentRoot/PHP-scripts/ #只允许PHP访问该路径下的文件
allow_url_fopen = Off #禁止PHP打开远程文件
allow_url_include = Off #禁止PHP包含远程文件
variables_order = "GPSE" #设置变量的解析顺序
allow_webdav_methods = Off #禁用webdav方法

PHP上传文件的安全处理。在php.ini中增加以下内容：

file_uploads = On #是否启用文件上传，如不需要，则配置为Off
upload_tmp_dir = /path/PHP-uploads/ #指定上传文件的临时目录
upload_max_filesize = 2M #指定允许上传的最大文件大小

PHP执行文件的安全处理。在php.ini中增加以下内容：

enable_dl = Off #禁止动态加载模块  	
disable_functions = system, exec, shell_exec, passthru, phpinfo, show_source, popen, proc_open, fopen_with_path, dbmopen, dbase_open, putenv, move_uploaded_file, chdir, mkdir, rmdir, chmod, rename, filepro, filepro_rowcount, filepro_retrieve, posix_mkfifo #禁用危险函数，很多Webshell正是使用了这些危险函数来实现恶意功能

PHP会话（Session）的安全处理。在php.ini中增加以下内容：

session.cookie_secure = On #仅在HTTPS安全连接情况下传输
session.cookie_httponly = 1 #在Cookie中设置了"HttpOnly"属性，那么通过程序(JS脚本、Applet等)将无法读取到Cookie信息，这样能有效的防止XSS攻击
session.gc_maxlifetime  = 600 #设置会话过期时间

保持PHP版本更新。每次在官方发布PHP新版本后，其支持周期为3年，在此期间，官方会发布小版本修复漏洞。因此，笔者建议，系统管理员需要关注官方网站（http://php.net）来进行PHP版本升级，以避免旧版本的漏洞被黑客利用而导致网站被入侵。

PHP开发框架的安全

对于PHP开发者来说，还需要特别注意使用到的PHP开发框架的安全。例如，在知名漏洞搜索平台https://www.seebug.org上以关键字“ThinkPHP”检索得出的高危漏洞就多达34个，如图8-6所示：

图8-6 ThinkPHP框架高危漏洞示例

本文内容来自作者图书作品《Linux 系统安全：纵深防御、安全扫描与入侵检测》，点击购买。

创作场景

Linux 系统安全（八）：PHP 安全