PHP安全：10个php.ini高危配置，错误显示、远程包含等设置不当可致网站沦陷，附加固方案

在 php.ini 配置文件中，有一些设置如果配置不当，可能会导致网站面临安全风险。PHP 的安全性很大程度上依赖于这些配置选项的正确设置。以下是 10 个可能存在安全问题的 PHP 配置项，如果配置不当，可能会导致网站存在安全漏洞：

1. display_errors

问题： 启用错误显示时，PHP 会将错误信息直接输出到浏览器，这可能会泄露敏感信息（如数据库密码、文件路径等）给攻击者。解决方法： 应该禁用错误显示，特别是在生产环境中。

display_errors=Off

如果需要调试，使用 log_errors 记录错误日志，而不是直接显示。

2. log_errors

问题： 如果 log_errors 未启用，PHP 将不会记录错误，这可能使得攻击者无法被检测到。解决方法： 在生产环境中启用错误日志，以便及时发现和响应潜在的安全问题。

log_errors=On
error_log=/path/to/php-error.log

确保错误日志文件的权限安全，防止未授权访问。

3. expose_php

问题： 默认情况下，PHP 会在 HTTP 响应头中发送一个X-Powered-By信息，泄露出服务器使用的是 PHP，甚至是 PHP 的版本号，这对攻击者有帮助。解决方法： 禁用该选项，避免泄露 PHP 版本信息。

expose_php=Off

4. allow_url_fopen 和 allow_url_include

问题： 这两个选项允许 PHP 文件通过 URL 访问远程文件，可能导致远程文件包含（RFI）漏洞。如果允许恶意文件通过远程路径被加载，攻击者可以执行恶意代码。解决方法： 在生产环境中应该禁用这两个选项。

allow_url_fopen=Off
allow_url_include=Off

5. register_globals

问题：register_globals如果开启，PHP 会自动将$_GET、$_POST、$_COOKIE等数据作为全局变量。这增加了脚本注入的风险，因为攻击者可能利用恶意数据覆盖关键的变量。解决方法： 确保在 php.ini 中禁用此选项。该选项从 PHP 5.4.0 开始已经被移除，但老版本 PHP 中可能仍然会启用。

register_globals=Off

6. session.cookie_secure 和 session.cookie_httponly

问题： 如果这些设置没有启用，攻击者可能会窃取会话信息。session.cookie_secure如果为Off，会话 Cookie 可能在不安全的连接上传输。session.cookie_httponly如果为Off，JavaScript 可以访问 Cookie，导致 XSS 攻击。解决方法： 应该开启这两个设置以增强会话安全性。

session.cookie_secure=On     # 仅通过 HTTPS 传输会话 Cookie
session.cookie_httponly=On   # 阻止 JavaScript 访问会话 Cookie

7. open_basedir

问题：open_basedir设置限制 PHP 只能访问特定目录，如果没有启用该设置，PHP 脚本可能访问到服务器上的敏感文件和目录，导致信息泄露或其他攻击。解决方法： 应该限制 PHP 进程访问的目录范围，避免它访问敏感文件。

open_basedir=/path/to/allowed/directory

8. disable_functions

问题： 一些 PHP 函数可以被攻击者利用来执行恶意操作。例如，exec()、system()、shell_exec()等函数，如果没有禁用，可能会被恶意用户用来执行系统命令或脚本。解决方法： 在生产环境中禁用一些危险的函数。

disable_functions=exec, system, shell_exec, passthru, popen, proc_open, parse_ini_file, show_source

禁用这些函数可以防止攻击者执行系统命令。

9. max_execution_time

问题：max_execution_time用于限制 PHP 脚本的最大执行时间。如果此值设置得过高，攻击者可以利用脚本执行的漏洞发起拒绝服务攻击（DoS）。解决方法： 应该设置合适的执行时间限制，以防止恶意脚本占用服务器资源。

max_execution_time=30  # 单位为秒

10. file_uploads 和 upload_max_filesize

问题： 如果文件上传功能未被限制，攻击者可能会通过上传恶意脚本（如 PHP 反向 shell）进行攻击。解决方法： 限制上传文件的大小，并确保文件上传目录是安全的，不能直接通过 URL 访问。

file_uploads=On
upload_max_filesize=10M
post_max_size=10M

附加建议

1. 禁用 PHP 文件执行
   通过设置open_basedir和 Web 服务器的配置，可以避免某些目录（如上传目录）执行 PHP 文件，减少 Web Shell 攻击的风险。
2. 使用最新版本的 PHP
   定期更新 PHP 版本，确保系统没有已知的安全漏洞。
3. 设置适当的权限
   设置 php.ini 文件和所有相关目录、文件的适当权限，确保只有授权的用户能够修改这些配置文件。

总结

上述 10 个 php.ini 设置如果不当，会导致潜在的安全问题。通过正确配置这些选项，可以大大增强 PHP 应用的安全性，减少潜在的攻击面。务必确保在生产环境中禁用不必要的功能、限制文件上传权限、增强会话安全、关闭调试输出等，从而提高 Web 应用的防护能力。

以上关于PHP安全：10个php.ini高危配置，错误显示、远程包含等设置不当可致网站沦陷，附加固方案的文章就介绍到这了，更多相关内容请搜索码云笔记以前的文章或继续浏览下面的相关文章，希望大家以后多多支持码云笔记。