• 187-0914-8768
DEDECMS安全設置 執行php腳本限制設置方法(iis6+iis7+apache+nginx)
作者:啟藍網絡科技 / 2016-08-14 11:55 / 瀏覽次數:

網站安全中,對目錄的執行權限是非常敏感的,一般來說,可以寫入的目錄是不能夠擁有腳本的執行權限的,像DedeCMS系統,可寫入的有兩個目錄data、uploads,data目錄主要是基本配置文件和緩存數據,uploads則是附件上傳保存的目錄,本篇將針對不同服務器環境來介紹如何取消這兩個目錄的執行權限,當然我們也建議用戶其他一些生成純靜態html的目錄,擁有可寫入權限的也統統去除執行權限,這樣系統會更為安全。 

Windows下的IIS IIS6.0 
打開IIS中站點,在站點uploads目錄、data目錄以及靜態html生成目錄點擊右鍵,菜單中選擇“屬性”,在目錄屬性面板選擇執行權限為“無”即可。(如圖1) 


IIS7 
IIS7也類似于IIS6.0,選擇站點對應的目錄,data、uploads及靜態html文件目錄,雙擊功能試圖面板中的“處理程序映射”(如圖2) 
 

在“編輯功能權限……”中,我們直接去除腳本的執行權限即可。(如圖3) 

其實上面只是介紹了如果取消執行權限,根據官方的推薦還需要設置目錄寫權限的設置方法,這里腳本之家簡單的介紹下
例如a目錄,一般是生成靜態頁面用的,那么我們就需要服務器端設置(dederun是iis中運行網站匿名用戶)


Apache下目錄腳本的執行權限設置 獨立主機配置 
在Apache中,沒有Windows 下IIS的圖形管理界面,我們需要手工修改下apache的配置文件,來進行目錄腳本的執行權限的設定。 
首先我們找到apache的配置文件httpd.conf,通常情況下,該配置文件在apache安裝目錄下的conf文件夾中(如圖4)。 
 

(圖4)

打開httpd.conf文件,找到內容中如圖5的位置:

(圖5)

 

將需要限制執行腳本文件的目錄配置添加到下方:

配置內容為: 

 

復制代碼
代碼如下:

<Directory "DIR"> 
<FilesMatch ".(php|asp|jsp)$"> 
Deny from all 
</FilesMatch> 
</Directory> 


配置內容中的DIR為需要限制執行腳本文件的目錄,FilesMatch后的內容為需要限定的執行的腳本后綴名。例如:這里需要禁止測試站點uploads文件夾下的PHP,ASP,JSP腳本的運行,則進行如下圖6配置: 

 

(圖6)

 

在配置完成后,重啟一下apache,配置便生效!
在操作前,uploads文件夾下我新建了一個index.php文件,圖7為未作配置前訪問情況

(圖7)

圖8為重啟apache后訪問該頁面的效果。

(圖8)

虛擬主機/空間配置


在配置前需要確認你的空間是否支持.htaccess和rewrite,該方法基于.htaccess文件中使用rewrite來達到禁止指定腳本的運行效果。
規則內容如下:

 

復制代碼
代碼如下:

RewriteEngine on RewriteCond % !^$ 
RewriteRule uploads/(.*).(php)$ – [F] 
RewriteRule data/(.*).(php)$ – [F] 
RewriteRule templets/(.*).(php)$ – [F] 


針對uploads,data,templets 三個目錄做了執行php腳本限制; 
將如上內容存儲至到.hatccess文件中,將該文件存放到你的站點根目錄下, 

這樣,目錄腳本的執行權限就控制好了,規則上傳前后的效果同圖7,圖8。 

nginx環境規則內容如下:nginx執行php腳本限制 

LNMP有一個缺點就是目錄權限設置上不如Apache,有時候網站程序存在上傳漏洞或類似pathinfo的漏洞從而導致被上傳了php木馬,而給網站和服務器帶來比較大危險。建議將網站目錄的PHP權限去掉,當訪問上傳目錄下的php文件時就會返回403錯誤。 

首先要編輯nginx的虛擬主機配置,在fastcgi的location語句的前面按下面的內容添加: 


代碼如下: 

復制代碼
代碼如下:

location ~ /(data|uploads|templets)/.*\.(php|php5)?$ { 
deny all; 

好了就這些吧,做了這些應該不會有什么問題基本夠用!建議用dedecms的朋友花點時間去設置一下. 
【啟藍科技】網站建設、網站設計、服務器空間租售、網站維護、網站托管、網站優化、百度推廣、網絡安全、微信公眾號
如有意向---聯系我們
熱門欄目
熱門資訊
熱門標簽

備案號:陜ICP備17005566號   網站地圖

公司地址:陜西省商洛市洛南人民廣場向西200M 咨詢QQ:2429620209 手機:187-0914-8768 電話:0914-8013002

Powered by DedeCMS

(^ω^)MG纯银3D投注 天津11选五遗漏 九乐棋牌现在下载 网络棋牌输了好多钱怎么办啊 凯尔特人vs火箭 宁夏十一选五开奖预测 湖北快三统计图表 北京pk拾开奖网站 足彩玩法规则详解 内蒙麻将作弊器免费版 血流成河麻将规则 二十一点玩法 广东11选5走势 燕赵排列七走势图 连码二九是什么 kk棋牌怎么样 打麻将赢钱的软件有吗