Ustawienia bezpieczeństwa serwera dla Apache i PHP

Niektóre zadania, które należy wykonać, aby zapewnić większe bezpieczeństwo i uniknąć problemów, to:
Wyłącz wyświetlanie błędów i ostrzeżeń w php, można to wykorzystać na etapie programowania, aby pomóc programiście zobaczyć błędy, a następnie dezaktywować je, gdy sieć wejdzie w etap produkcji.
Wyłącz wszystkie powiadomienia o błędach
Używając następujących zmiennych w php.ini:

raportowanie_błędów (0);

// Zgłoś tylko błędy wykonania

raportowanie_błędów (E_ERROR | E_WARNING | E_PARSE);

// Zgłoś wszystkie błędy z wyjątkiem E_NOTICE

raportowanie_błędów (E_ALL ​​​​E_NOTICE);

// Zgłoś wszystkie błędy PHP (error_reporting (E_ALL);
Można je również aktywować i dezaktywować, umieszczając kod na początku strony do wykonania.

Zawsze ważne jest, aby poprawiać, a nie ukrywać błędy, wielu programistów używa raportowania_błędów (0) do ukrywania błędów, ale te nadal istnieją i można je wykorzystać, zawsze musimy unikać tego, że każdy rozwijany przez nas kod zawiera błędy, czy to php, javascript lub język, którego używamy.
Ważne jest kontrolowanie zmiennych i wprowadzanych przez nie danych.
Zmień rozszerzenie pliku
Możesz zmienić rozszerzenie podczas wywoływania i wykonywania skryptów w php, w plikach z rozszerzeniem html.
W pliku konfiguracyjnym Apache (httpd.conf)
Szukamy linii:

Aplikacja AddType / x-httpd-php

A dodajemy .htm i .html na końcu, wyglądałoby to następująco:

Aplikacja AddType / x-httpd-php .htm .html

Możemy również utworzyć niestandardowe rozszerzenie, aby ukryć typ pliku przed odwiedzającym

Aplikacja AddType / x-httpd-php .bo .sol .tf

Jest to bardzo przydatne ze względów bezpieczeństwa. Ukrywamy, że aplikacja jest zaprogramowana, ponieważ w przeglądarce zobaczysz po prostu .html lub niestandardowe rozszerzenie w skryptach, które w rzeczywistości są php. Wiele witryn korzysta z tej metody.
Sprawdź, czy register_globals jest nieaktywna
Wyłącz register_globals i nie zezwalaj na tworzenie zmiennych w locie, między innymi za pomocą:

register_globals = Off

Z php.ini wymusza to zadeklarowanie wszystkich zmiennych lub da błąd.
Wyłącz zdalne adresy URL dla funkcji obsługujących pliki
Służy to temu, że plik na naszym serwerze nie może zostać uruchomiony lub uzyskany z innego, w php.ini dezaktywujemy allow_url_fopen

allow_url_fopen = Wyłączony

Ogranicz, w którym katalogu PHP może czytać lub wykonywać dowolny skrypt lub proces

open_basedir = /var/www/htdocs/midomino.com

Każda domena może modyfikować swój własny plik php.ini, jeśli zezwala na to administrator serwera, chociaż jest to rzadkie.
Wyłącz Apache HTTP TRACE
HTTP TRACE służy do zwracania wyniku żądania wysłanego do serwera.
Może być używany do ataków Cross Site Scripting lub XSS, więc najlepiej jest go wyłączyć ze względów bezpieczeństwa.
Modyfikujemy w /etc/httpd/konf/httpd.konf
TraceEnable wyłączone
Apache jest jednym z najczęściej używanych serwerów internetowych, a php jest najczęściej używanym językiem do tworzenia stron internetowych. Dzięki tym konfiguracjom i narzędziom możemy pomóc wzmocnić bezpieczeństwo naszej sieci przed możliwymi atakami.