Server sikkerhetsinnstillinger for Apache og PHP

Noen oppgaver som skal utføres for å gi større sikkerhet og unngå problemer er:
Deaktiver visning av feil og advarsel i php, dette kan brukes i programmeringsfasen for å hjelpe utvikleren med å se feilene og deretter deaktivere den når nettet går inn i produksjonsfasen.
Deaktiver alle feilmeldinger
Bruke følgende variabler i php.ini:

error_reporting (0);

// Rapporter bare kjøringsfeil

error_reporting (E_ERROR | E_WARNING | E_PARSE);

// Rapporter alle feil bortsett fra E_NOTICE

error_reporting (E_ALL ​​E_NOTICE);

// Rapporter alle PHP -feil (error_reporting (E_ALL);
De kan også aktiveres og deaktiveres ved å sette koden i begynnelsen av siden som skal kjøres.

Det er alltid viktig å korrigere og ikke skjule feil, mange utviklere bruker error_reporting (0) for å skjule feil, men disse er fortsatt der og kan utnyttes, vi må alltid unngå at noen kode vi utvikler har feil, det være seg php, javascript eller språket vi bruker.
Det er viktig å kontrollere variablene og hvilke data de legger inn.
Endre filtypen
Du kan endre utvidelsen når du påkaller og kjører skriptene i php, i filer med en html -utvidelse.
I apache -konfigurasjonsfil (httpd.conf)
Vi ser etter linjen:

AddType application / x-httpd-php

Og vi legger til .htm og .html til slutten, det ville være som følger:

AddType application / x-httpd-php .htm .html

Vi kan også lage en tilpasset utvidelse for å skjule filtypen for den besøkende

AddType application / x-httpd-php .bo .sol .tf

Dette er veldig nyttig av sikkerhetshensyn. Vi skjuler at programmet er programmert fordi i nettleseren vil du ganske enkelt se .html eller den egendefinerte utvidelsen i skriptene som faktisk er php. Mange nettsteder bruker denne metoden.
Kontroller at register_globals er inaktiv
Deaktiver register_globals og ikke tillate opprettelse av variabler i farten, blant annet med:

register_globals = Av

Fra php.ini tvinger dette til å deklarere alle variablene, ellers vil det gi en feil.
Deaktiver eksterne nettadresser for funksjoner som håndterer filer
Dette tjener slik at en fil på serveren vår ikke kan kjøres eller nås fra en annen, i php.ini deaktiverer vi allow_url_fopen

allow_url_fopen = Av

Begrens i hvilken katalog PHP kan lese eller kjøre et skript eller en prosess

open_basedir = /var/www/htdocs/midomino.com

Hvert domene kan endre sin egen php.ini hvis serveradministratoren tillater det, selv om dette er sjeldent.
Deaktiver Apache HTTP TRACE
HTTP TRACE brukes til å returnere resultatet av forespørselen som ble sendt til serveren.
Den kan brukes til Cross Site Scripting eller XSS -angrep, så det er best å deaktivere den av sikkerhetshensyn.
Vi endrer i / etc /httpd/konf/httpd.konf
Spor Slå av
Apache er en av de mest brukte webserverne og php er det mest brukte språket for webutvikling, med disse konfigurasjonene og verktøyene kan vi hjelpe til med å forsterke sikkerheten til nettet vårt mot mulige angrep.