【黄啊码】你可知道你的服务器很容易就被利用了?这些方法你一定要知道

举报
黄啊码 发表于 2022/06/28 22:41:29 2022/06/28
【摘要】 如果你的网站还是以777 作为权限,那么你的服务器将开放给任何人,任何人可以在目录中执行脚本。 看过一些别人的外包项目,竟然整个项目的权限设置为777 ,其实是非常可怕的,黑客可以上传文件到任意目录,并执行该文件。 这样做是可怕的,一些程序员可以利用一些工具扫描漏洞,像很多php程序员在简历中说,破解过php,植入后门等,都是因...

如果你的网站还是以777 作为权限,那么你的服务器将开放给任何人,任何人可以在目录中执行脚本。

看过一些别人的外包项目,竟然整个项目的权限设置为777 ,其实是非常可怕的,黑客可以上传文件到任意目录,并执行该文件。

这样做是可怕的,一些程序员可以利用一些工具扫描漏洞,像很多php程序员在简历中说,破解过php,植入后门等,都是因为前期的php程序员的门槛低,对于安全意识薄弱,造成很多网站都可以 get Shell。

如何正确的设置php 运行目录?我这边总结了3个小方法,分享给大家。

设置目录的所有者

php程序一般是给nginx 或者 apche 调用的,所以系统会有一个 www(视情况而,有些是www-data) 的用户和用户组

sudo chown -R www-data:www-data /path/to/your/laravel/root/directory
 

但是我们如果使用 php artisan 命令,或者什么时候你想要用FTP传输文件到服务器,这样设置权限会报错的,因为这个目录的权限是属于www-data:www-data 用户和用户组的。你应该要添加到web 的用户组中。(ubantu叫ubantu,vagrant叫vagrant)

sudo usermod -a -G www-data ubuntu
 

设置权限

首先给自己的程序还原一下最初

给php框架所需要的读写权限。

Laravel:

sudo chgrp -R www-data storage bootstrap/cachesudo chmod -R ug+rwx storage bootstrap/cache
 

如果是Tp框架:

sudo chgrp -R www-data runtimesudo chmod -R ug+rwx runtime
 

这样你的php框架就相对安全了。

上传权限

我们的小体量的程序有些需要上传图片或文件到服务器(但是推荐上传到OSS或者七牛等第三方储存方案。)

防止上传的程序被恶意攻击程序,我们可以在Nginx或者Apache 拒绝运行php脚本

Nginx:

location ~ ^/(uploads|assets)/.*\.(php|php5|jsp)$ {        deny all;
 

Apache:

RewriteEngine on RewriteCond % !^$RewriteRule uploads/(.*).(php)$ – [F]
 

文章来源: markwcm.blog.csdn.net,作者:黄啊码,版权归原作者所有,如需转载,请联系作者。

原文链接:markwcm.blog.csdn.net/article/details/123570972

【版权声明】本文为华为云社区用户转载文章,如果您发现本社区中有涉嫌抄袭的内容,欢迎发送邮件进行举报,并提供相关证据,一经查实,本社区将立刻删除涉嫌侵权内容,举报邮箱: cloudbbs@huaweicloud.com
  • 点赞
  • 收藏
  • 关注作者

评论(0

0/1000
抱歉,系统识别当前为高风险访问,暂不支持该操作

全部回复

上滑加载中

设置昵称

在此一键设置昵称,即可参与社区互动!

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。