Serverbeveiligingsinstellingen voor Apache en PHP

Enkele taken die moeten worden uitgevoerd om meer veiligheid te bieden en problemen te voorkomen, zijn:
Schakel de weergave van fouten en waarschuwingen in php uit, dit kan in de programmeerfase worden gebruikt om de ontwikkelaar te helpen de fouten te zien en vervolgens te deactiveren wanneer het web de productiefase binnengaat.
Alle foutmeldingen uitschakelen
Gebruik de volgende variabelen in de php.ini:

foutrapportage (0);

// Rapporteer alleen uitvoeringsfouten

error_reporting (E_ERROR | E_WARNING | E_PARSE);

// Rapporteer alle fouten behalve E_NOTICE

error_reporting (E_ALL ​​​​E_NOTICE);

// Rapporteer alle PHP-fouten (error_reporting (E_ALL);
Ze kunnen ook worden geactiveerd en gedeactiveerd door de code aan het begin van de uit te voeren pagina te plaatsen.

Het is altijd belangrijk om fouten te corrigeren en niet te verbergen, veel ontwikkelaars gebruiken error_reporting (0) om fouten te verbergen, maar deze zijn er nog steeds en kunnen misbruikt worden, we moeten altijd vermijden dat elke code die we ontwikkelen fouten bevat, of het nu php, javascript of de taal die we gebruiken.
Het is belangrijk om de variabelen te controleren en welke gegevens ze invoeren.
Wijzig de bestandsextensie
U kunt de extensie wijzigen bij het aanroepen en uitvoeren van de scripts in php, in bestanden met een html-extensie.
In apache-configuratiebestand (httpd.conf)
We zoeken de regel:

AddType-toepassing / x-httpd-php

En we voegen .htm en .html toe aan het einde, het zou als volgt zijn:

AddType-toepassing / x-httpd-php .htm .html

We kunnen ook een aangepaste extensie maken om het bestandstype voor de bezoeker te verbergen

AddType-toepassing / x-httpd-php .bo .sol .tf

Dit is erg handig om veiligheidsredenen. We verbergen dat de applicatie is geprogrammeerd omdat je in de browser gewoon .html of de aangepaste extensie ziet in de scripts die eigenlijk php zijn. Veel websites gebruiken deze methode.
Controleer of register_globals inactief is
Schakel register_globals uit en sta niet toe dat variabelen on-the-fly worden gemaakt, onder andere met:

register_globals = Uit

Vanuit php.ini dwingt dit om alle variabelen te declareren, anders geeft het een foutmelding.
Externe URL's uitschakelen voor functies die bestanden verwerken
Dit dient zodat een bestand op onze server niet kan worden uitgevoerd of geopend vanaf een andere, in de php.ini deactiveren we allow_url_fopen

allow_url_fopen = Uit

Beperken in welke directory PHP een script of proces kan lezen of uitvoeren

open_basedir = /var/www/htdocs/midomino.com

Elk domein kan zijn eigen php.ini wijzigen als de serverbeheerder dit toestaat, hoewel dit zeldzaam is.
Schakel Apache HTTP TRACE uit
HTTP TRACE wordt gebruikt om het resultaat van het verzoek aan de server te retourneren.
Het kan worden gebruikt voor Cross Site Scripting of XSS-aanvallen, dus het is het beste om het om veiligheidsredenen uit te schakelen.
Wij wijzigen in / etc /httpd/conf/httpd.conf
TraceEnable uit
Apache is een van de meest gebruikte webservers en php is de meest gebruikte taal voor webontwikkeling. Met deze configuraties en tools kunnen we de beveiliging van ons web tegen mogelijke aanvallen helpen versterken.