Настройки за сигурност на сървъра за Apache и PHP

Някои задачи, които трябва да се изпълнят, за да се осигури по -голяма сигурност и да се избегнат проблеми, са:
Деактивирайте показването на грешка и предупреждение в php, това може да се използва на етапа на програмиране, за да помогне на разработчика да види грешките и след това да го деактивира, когато мрежата навлезе в производствения етап.
Деактивирайте всички известия за грешки
Използвайки следните променливи във php.ini:

error_reporting (0);

// Докладваме само грешки при изпълнение

докладване на грешки (E_ERROR | E_WARNING | E_PARSE);

// Съобщаваме за всички грешки с изключение на E_NOTICE

докладване на грешки (E_ALL ​​E_NOTICE);

// Докладваме всички грешки в PHP (error_reporting (E_ALL);
Те също могат да се активират и деактивират, като поставите кода в началото на страницата за изпълнение.

Винаги е важно да коригирате и да не скривате грешки, много разработчици използват error_reporting (0), за да скрият грешки, но те все още са там и биха могли да бъдат използвани, винаги трябва да избягваме всеки код, който разработваме, да има грешки, било то php, javascript или езика, който използваме.
Важно е да контролирате променливите и какви данни въвеждат.
Променете разширението на файла
Можете да промените разширението при извикване и изпълнение на скриптове в php, във файлове с html разширение.
В конфигурационен файл на apache (httpd.conf)
Търсим реда:

AddType приложение / x-httpd-php

И добавяме .htm и .html до края, това ще бъде следното:

AddType приложение / x-httpd-php .htm .html

Можем също така да създадем персонализирано разширение, за да скрием типа на файла от посетителя

AddType приложение / x-httpd-php .bo .sol .tf

Това е много полезно от съображения за сигурност. Скриваме, че приложението е програмирано, защото в браузъра ще видите просто .html или персонализираното разширение в скриптовете, които всъщност са php. Много уебсайтове използват този метод.
Проверете дали register_globals е неактивен
Деактивирайте register_globals и не позволявайте създаването на променливи в движение, наред с други неща с:

register_globals = Изключено

От php.ini това принуждава да декларира всички променливи или ще даде грешка.
Деактивирайте отдалечени URL адреси за функции, които обработват файлове
Това служи така, че файл на нашия сървър не може да бъде изпълнен или достъпен от друг, във php.ini деактивираме allow_url_fopen

allow_url_fopen = Изключено

Ограничете в коя директория PHP може да чете или изпълнява всеки скрипт или процес

open_basedir = /var/www/htdocs/midomino.com

Всеки домейн може да променя своя собствен php.ini, ако администраторът на сървъра го позволява, въпреки че това е рядкост.
Деактивирайте Apache HTTP TRACE
HTTP TRACE се използва за връщане на резултата от заявката, направена на сървъра.
Може да се използва за Cross Site Scripting или XSS атаки, така че е най -добре да го деактивирате от съображения за сигурност.
Променяме в / etc /httpd/conf/httpd.conf
TraceEnable изключен
Apache е един от най -широко използваните уеб сървъри, а php е най -широко използваният език за уеб разработка, с тези конфигурации и инструменти можем да помогнем за засилване на сигурността на нашата мрежа срещу възможни атаки.