Windows下PHP+MySQL+IIS安全平台III 变态配置

PHP+MySQL+IIS安全平台III 变态配置" onload="return imgzoom(this,550);" onclick="javascript:window.open(this.src);" style="cursor:pointer;"/>

图2

第四个重要的参数就是safe_mode，就是我们常说的安全模式。php的安全模式是个非常重要的内嵌的安全机制，能够控制一些php中的函数，比如system()等函数，同时把很多文件操作函数进行了权限控制，也不允许对某些关键文件的访问，比如/etc/passwd，但是默认的php.ini是没有打开安全模式的，我们把它打开。safe_mode = on。

第五个参数是open_basedir，使用open_basedir选项能够控制PHP脚本只能访问指定的目录，这样能够避免PHP脚本访问不应该访问的文件，一定程度上限制了webshell的危害，我们一般可以设置为只能访问网站目录（假设网站目录为E:test）：open_basedir = E:test 第六个参数是disable_functions，使用disable_functions可以限制一些对于系统来说威胁很大的函数。

例如，我们在第一部分中看到的有phpinfo()函数的网页中可以看到关于php的环境变量等。还有可以利用system，exec等函数来执行系统命令等等。这里我们推荐过滤的函数如下。disable_functions = phpinfo，passthru，exec，system，chroot，scandir，chgrp，chown，shell_exec，proc_open，proc_get_status，ini_alter，ini_alter，ini_restore，dl，pfsockopen，openlog，syslog，readlink，symlink，popepassthru，stream_socket_server。大家如果对某个函数不了解的话，可以google搜索得到函数的作用，然后来决定您自己的服务器是否禁止掉。

第七个参数是Com组件。Windows平台下的PHP脚本平台存在一个安全漏洞，使得PHP设置即使在安全模式下(safe_mode)，仍旧允许攻击者使用COM()函数来创建系统组件来执行任意命令。漏洞出现的原因是由于在安全模式下的PHP平台虽然system();pathru()函数被禁止，但是com.allow_dcom的设置依旧是为true。以至于攻击者可以使用COM()函数创建系统组件对象来运行系统命令。