简单安全防护

简单安全防护

一、服务器防护

1. 端口防护

尽量将端口禁用,尽量不要将端口暴露在公网,尽量仅供127.0.0.1访问
如非必要,尽量不要将服务暴露在公网,尤其是数据库等服务
设置连续登录失败禁用一段时间,防爆破

2. 网站防护

攻击者一般直接使用ip来攻击网站,可以将ip访问的默认网站只写一个首页
上述不利于搜索引擎收录,可以将搜索引擎的域名加入白名单使用Nginx转发
避免Js操作cookie,开启HTTP_ONLY

3. web容器配置

Nginx提供限制访问模块,防护CC与ddos
limit_conn_zone $binary_remote_addr
zone=perip:10m; limit_conn_zone $server_name zone=perserver:10m;
limit_req_zone $binary_remote_addr zone=allips:10m rate=10r/s;

4. 独立用户

服务器设置用户启动某服务,非该服务用户不允许访问与执行

二、PHP防护

1. 禁用系统函数

非常危险的函数
eval
system
exec
shell_exec
pcntl_exec
pcntl_fork
pcntl_exec
强烈建议禁止的函数
passthru
putenv
chroot
chgrp
chown
popen
proc_open
ini_alter
ini_restore
dl
openlog
syslog
readlink
symlink
popepassthru
pcntl_alarm
pcntl_waitpid
pcntl_wait
pcntl_wifexited
pcntl_wifstopped
pcntl_wifsignaled
pcntl_wifcontinued
pcntl_wexitstatus
pcntl_wtermsig
pcntl_wstopsig
pcntl_signal
pcntl_signal_dispatch
pcntl_get_last_error
pcntl_strerror
pcntl_sigprocmask
pcntl_sigwaitinfo
pcntl_sigtimedwait
pcntl_getpriority
pcntl_setpriority
imap_open
apache_setenv

2. ThinkPHP

  1. 及时打补丁,ThinkPHP发布的漏洞警告务必及时跟进打补丁
  2. 设置全局过滤规则 DEFAULT_FILTER ,防止XSS、SQL注入等
  3. 查询条件尽量使用数组方式,如果必须使用字符串,那么建议使用预处理机制
  4. 启动目录务必设置在内部目录,即TP建议的public目录下,防止恶意浏览扫描目录,并且public目录下除了静态资源和启动入口外不要放置其他文件
  5. 上传文件使用TP提供的Think\Upload类,提供对文件的类型、后缀、大小及上传文件的合法检查
  6. 使用强制路由模式,在route.php中配置可访问的路由,未定义的路由访问一律会自动抛出异常
  7. 对于有明确类型的请求变量,可以在使用param方法的时候使用类型强制转换

原文链接:https://www.cnblogs.com/WindrunnerMax/p/12558235.html

原创文章,作者:优速盾-小U,如若转载,请注明出处:https://www.cdnb.net/bbs/archives/22796

(0)
上一篇 2023年10月18日 08:45
下一篇 2023年10月18日 11:04

相关推荐

发表回复

您的电子邮箱地址不会被公开。 必填项已用*标注

优速盾注册领取大礼包www.cdnb.net
/sitemap.xml