PHP是一种非常流行的网站脚本语言,但是它本身所固有的安全性是非常薄弱。本文讲述了PHP增强计划(Hardened-PHP project)和新的Suhosi计划,Suhosin提供了增强的PHP的安全配置。
PHP是带有争论地但又是最流行的一种网站脚本语言。它之所以流行,是因为它低廉的价格,然而,这低廉的价格导致用PHP写的网站应用程序越来越多的同时也越来越多的展现出PHP本身在安全上的脆弱,这种安全特性显示出PHP是极不可靠,不过同时对这个脚本语言本身而言它又是非常灵活的,使用它就能很容易的实现代码,不过这些代码都是臃肿的且不安全的,虽然是这样它还是一直都拥有很多的使用者。你可以根据实际情况来假设,一次又一次,各种应用软件都体现了这种脆弱性:容易受到SQL注入、跨站脚本、任意执行指令等等的攻击。
因为象safe_mode和open_basedir这样内置的PHP安全措施将被忽略,PHP增强计划创建的PHP更具有安全性,同时也对 PHP进行校验检查。最初,这些是由增强的PHP补丁完成的,这些补丁需要修补并重新编译PHP自身。最近,PHP增强计划发布了一个名为Suhosin 的新工程。
Sohosin包括有两部分:第一部分是PHP的补丁,这个补丁强化了Zend引擎自身,以免可能产生缓冲溢出,也可以防止相关的弱点。第二部分是Suhosin的扩展,这是一个PHP的独立使用模块。这两部分可以一起工作,或者是扩展部分单独工作。
开发人员不希望为了达到安全性而总去维护他们自己的PHP安装设置和他们当然更喜欢直接使用销售商提供的Linux分布系统上PHP,使用扩展模块能提供更多PHP本身所不能具有的安全特点。
扩展模块很容易安装;它也能通过PECL安装,或者是下载后通过编译安装:
$ tar xvzf suhosin-0.9.17
$ cd suhosin-0.9.17
$ phpize
$ ./configure
$ make
$ sudo make install
为了使用suhosin,还需要增加/etc/php.ini,如下所示:
extension=suhosin.so
对于大部分人来说默认的配置选项已经足够了。为了加强设置,可以在/etc/php.ini中增加相应的值。网站中详细地介绍了有关的各种配置选项,这些说明可以帮助你进行初始化配置。
使用Suhosin,你可以得到一些错误日志,你能把这些日志放到系统日志中,也可以同时写到其他任意的日志文件中去;它还可以为每一个虚 拟 主机创建黑名单和白名单;可以过滤GET和POST请求、文件上载和cookie。你还能传送加密的会话和cookie,可以设置不能传送的存储上线等等。它不像原始的PHP强化补丁,Suhosin是可以被像Zend Optimizer这样的第三方扩展软件所兼容的。
分享到:
相关推荐
windows下安装suhosin: 1、安装suhosin,将php_suhosin.dll文件复制到php目录下 2、编辑php.ini extension=php_suhosin.dll suhosin.executor.disable_eval = on 3、重启php服务,完成php保护,实现eval(&#...
php安装suhosin扩展
suhosin7 警告:本软件是 ALPHA 前的软件。 不要试图在生产中运行 ... 但在那段时间里,很多关于如何提高 PHP 安全性的想法浮现在脑海中。 计划根据 snufflepagus 所做的出色工作来探索其中的一些想法。
suhosin-0.9.32.1.tar.gz
linux php suhosin-0.9.29.tgz
Suhosin-NG 是下一代 PHP 7 强化项目。 有关更多信息,请查看 。 新闻:现在是 2019 年,Suhosin 回来了!
suhosin-patch-5.2.6-0.9.6.2.patch.gz
suhosin-windows 适用于 Windows 的 Suhosin 扩展 如果你不想费心编译 suhosin 您可以将文件下载到 php_suhosin.dll 几个文件你找到了你应该选择的一个 取决于架构和 php 版本只希望使用 如果要手动编译 suhosin ...
DebianLNMP加强版? 新增PHP5插件ImageMagick、XCache、memcache、curl、MCrypt、Suhosin。...DebianLNMP一键安装包是很不错的安装脚本,用在低配置VPS上最合适不过啦,安装方便快捷,轻轻松松全自动安装LNMP.
WINDOWS系统文件
这里简单介绍一些基本编程要点, 相对系统安全来说,php安全防范更多要求编程人员对用户输入的各种参数能更细心.php编译过程中的安全建议安装Suhosin补丁,必装安全补丁php.ini安全设置复制代码 代码如下:register_...
这里简单介绍一些基本编程要点, 相对系统安全来说,php安全防范更多要求编程人员对用户输入的各种参数能更细心. php编译过程中的安全 建议安装Suhosin补丁,必装安全补丁 php.ini安全设置 register_global = off ...
Vlad的LEMP安装脚本 该脚本将安装最新的NginX,MySQL和PHP(具有APC和Memcache扩展)。 *注意APC不适用于PHP 5.5+。 (可选)您可以安装Memcached服务器和Postfix。 您可以为任何程序安装首选版本。 只需编辑...
带有PHP 5.2,Suhosin补丁和PHP-FPM的Docker映像
Using the Suhosin Patch and Extension 213 Using the Security Features Built into PHP and Apache 213 safe_mode 213 SuEXEC 214 Using ModSecurity 215 Hardening php.ini 216 Wrapping It Up 218 Chapter 14 ...
幸好有前辈提供了php扩展来禁用万恶的eval: suhosin 一开始发现是需要给php打补丁,我是拒绝的,但确实没有找到更好的方法。不过实际安装下来,真的很方便: yum install wget make gcc gcc-c++ zlib-devel ...
绕过Suhosin之类的安全系统(IPS,WAF等)(最多使用20个php函数来执行命令)。 丢弃CGI Shell,并与它们通信以绕过安全系统。 使用SSH授权密钥方法绕过安全系统。 在两种方法中使用Shellshock绕过安全系统。 ...
应用科学大学 Fachhochschule Gießen Friedberg 的 Hardening Moodle 项目。 包含用于 eLearning-System Moodle (moodle.org) (#1) 入侵检测和预防系统 (#2) Suhosin-Extension-Administration 的两个插件