Serversäkerhetsinställningar för Apache och PHP

Några uppgif.webpter som ska utföras för att ge större säkerhet och undvika problem är:
Inaktivera visning av fel och varning i php, detta kan användas i programmeringssteget för att hjälpa utvecklaren att se felen och sedan inaktivera det när webben går in i produktionsstadiet.
Inaktivera alla felmeddelanden
Använda följande variabler i php.ini:

error_reporting (0);

// Rapportera endast körfel

felrapportering (E_ERROR | E_VARNING | E_PARSE);

// Rapportera alla fel utom E_NOTICE

felrapportering (E_ALL ​​E_NOTICE);

// Rapportera alla PHP -fel (error_reporting (E_ALL);
De kan också aktiveras och inaktiveras genom att sätta koden i början av sidan som ska köras.

Det är alltid viktigt att korrigera och inte dölja fel, många utvecklare använder error_reporting (0) för att dölja fel, men dessa finns fortfarande kvar och kan utnyttjas, vi måste alltid undvika att alla koder vi utvecklar har fel, oavsett om det är php, javascript eller det språk vi använder.
Det är viktigt att kontrollera variablerna och vilken data de matar in.
Ändra filtillägget
Du kan ändra tillägget när du aktiverar och kör skripten i php, i filer med ett html -tillägg.
I konfigurationsfilen för apache (httpd.conf)
Vi letar efter raden:

AddType application / x-httpd-php

Och vi lägger till .htm och .html till slutet, det skulle vara följande:

AddType application / x-httpd-php .htm .html

Vi kan också skapa ett anpassat tillägg för att dölja filtypen för besökaren

AddType application / x-httpd-php .bo .sol .tf

Detta är mycket användbart av säkerhetsskäl. Vi döljer att programmet är programmerat eftersom du i webbläsaren helt enkelt kommer att se .html eller det anpassade tillägget i skripten som faktiskt är php. Många webbplatser använder denna metod.
Kontrollera att register_globals är inaktiv
Inaktivera register_globals och tillåt inte att skapa variabler i farten, bland annat med:

register_globals = Av

Från php.ini tvingar detta att deklarera alla variabler, annars kommer det att ge ett fel.
Inaktivera fjärradresser för funktioner som hanterar filer
Detta tjänar så att en fil på vår server inte kan köras eller nås från en annan, i php.ini inaktiverar vi allow_url_fopen

allow_url_fopen = Av

Begränsa i vilken katalog PHP kan läsa eller köra alla skript eller processer

open_basedir = /var/www/htdocs/midomino.com

Varje domän kan ändra sin egen php.ini om serveradministratören tillåter det, även om detta är sällsynt.
Inaktivera Apache HTTP TRACE
HTTP TRACE används för att returnera resultatet av begäran som gjordes till servern.
Det kan användas för Cross Site Scripting eller XSS -attacker, så det är bäst att inaktivera det av säkerhetsskäl.
Vi ändrar i / etc /httpd/konf/httpd.konf
Spårning Aktivera
Apache är en av de mest använda webbservrarna och php är det mest använda språket för webbutveckling, med dessa konfigurationer och verktyg kan vi hjälpa till att stärka vår webbsäkerhet mot eventuella attacker.