web配置规范
2016-05-17 00:00
148 查看
摘要: web配置规范
站点: root:root
目录: 755
文件: 644
2、禁止在站点目录下 打包、备份、写log,存放于正式环境无关的内容。
nginx一般是把请求发fastcgi管理进程处理,fastcgi管理进程选择cgi子进程处理结果并返回被nginx。
nginx涉及到两个账户,一个是nginx的运行账户,一个是php-fpm的运行账户。如果访问的是一个静态文件,则只需要nginx的运行账户对文件具有读取权限;
而如果访问的是一个php文件,则首先需要nginx的运行账户对文件有读取权限,读取到文件后发现是一个php文件,则转发给php-fpm,此时则需要php-fpm账户对文件具有读取权限。
2. php文件的执行不需要文件的执行权限,只需要nginx和php-fpm运行账户的读取权限。
3. 上传木马后,能不能列出一个文件夹的内容,跟php-fpm的运行账户对文件夹的读取权限有关。
4. 木马执行命令的权限跟php-fpm的账户权限有关。
5. 如果木马要执行命令,需要php-fpm的账户对相应的sh有执行权限。
6. 要读取一个文件夹内的文件,是不需要对文件夹有读取权限的,只需要对文件夹有执行权限。
2. php-fpm.conf的配置
3. nginx和php-fpm的运行账户对磁盘的权限配置
4. php.ini的配置
2. 修改nginx及php-fpm的运行账户及组为nobody
5. 确认网站目录对于nobody的权限为可读可执行,对网站文件的权限为可读
6. 对于上传目录或者写入写文件的目录添加nobody的写入权限
7. 配置nginx.conf 对于上传目录无php的执行权限
8. 配置nginx.conf禁止访问的文件夹,如后台,或者限制访问ip
9. 配置nginx.conf禁止访问的文件类型,zip、txt、gz日志文件
web配置规范
1、权限设置站点: root:root
目录: 755
文件: 644
2、禁止在站点目录下 打包、备份、写log,存放于正式环境无关的内容。
Nginx
nginx介绍
nginx本身不能处理PHP,它只是个web服务器,当接收到请求后,如果是php请求,则发给php解释器处理,并把结果返回给客户端。nginx一般是把请求发fastcgi管理进程处理,fastcgi管理进程选择cgi子进程处理结果并返回被nginx。
nginx涉及到两个账户,一个是nginx的运行账户,一个是php-fpm的运行账户。如果访问的是一个静态文件,则只需要nginx的运行账户对文件具有读取权限;
而如果访问的是一个php文件,则首先需要nginx的运行账户对文件有读取权限,读取到文件后发现是一个php文件,则转发给php-fpm,此时则需要php-fpm账户对文件具有读取权限。
总结
1. linux下,要读取一个文件,首先需要具有对文件所在文件夹的执行权限,然后需要对文件的读取权限。2. php文件的执行不需要文件的执行权限,只需要nginx和php-fpm运行账户的读取权限。
3. 上传木马后,能不能列出一个文件夹的内容,跟php-fpm的运行账户对文件夹的读取权限有关。
4. 木马执行命令的权限跟php-fpm的账户权限有关。
5. 如果木马要执行命令,需要php-fpm的账户对相应的sh有执行权限。
6. 要读取一个文件夹内的文件,是不需要对文件夹有读取权限的,只需要对文件夹有执行权限。
nginx 安全配置
1. nginx.conf的配置2. php-fpm.conf的配置
3. nginx和php-fpm的运行账户对磁盘的权限配置
4. php.ini的配置
需要解决的常见问题
1. 让木马上传后不能执行
针对上传目录,在nginx配置文件中加入配置,使此目录无法解析php。2. 让木马执行后看不到非网站目录文件
取消php-fpm运行账户对于其他目录的读取权限。3. 木马执行后命令不能执行
取消php-fpm账户对于sh的执行权限。4. 命令执行后权限不能过高
Php-fpm账户不要用root或者加入root组。Nginx安全配置方案
1. 修改网站目录所有者为非php-fpm运行账户,此处修改所有者为root。chown -R root:root /data/htodcs |
nginx.conf usernobody; |
vim /etc/php-fpm .conf user = nobody group = nobody |
6. 对于上传目录或者写入写文件的目录添加nobody的写入权限
7. 配置nginx.conf 对于上传目录无php的执行权限
8. 配置nginx.conf禁止访问的文件夹,如后台,或者限制访问ip
9. 配置nginx.conf禁止访问的文件类型,zip、txt、gz日志文件
location ~* \.(ini|docx|txt|doc|zip|log| tar |gz|bak)$ { deny all; } |
相关文章推荐
- Nginx配置
- C++对python模块进行扩展
- activiti自定义流程之整合(一):整体环境配置
- Spring MVC 原理 - DispatcherServlet调用完整过程(下)
- 分享 做javaEE项目中常用的工具类中的方法!
- AngularJs 第一个自定义指令编写
- HTML5之FileReader的使用
- 手把手实现Java权限(1)-Shiro介绍
- java中super和this
- 利用静态服务提升读取Activiti流程图的性能
- Java过滤任意(script,html,style)标签符,返回纯文本--封装类
- 微信公众帐号开发教程第2篇-开发模式启用及接口配置
- MyBatis 中XML映射配置文件
- java项目WEB-INF目录作用
- Spring MVC JSON自定义类型转换
- 整合Acitiviti在线流程设计器(Activiti-Modeler 5.18.0)
- jQuery中ready与load事件的区别
- Activiti源码浅析:Activiti的活动授权机制
- Mybatis分页插件 - 示例
- Twitter 架构优化之路--Twitter是如何做到每秒处理3000张图片的