针对discuz的安全加固如下： 1、在nginx入口上对data|images|config|static|source|template 这几个可以上传的目录里的php文件禁止访问 。（更安全一点就是列出放行的，其他全部禁止。） ? 1 2 3 4 | location ~* ^/(data|images|config|static|source|template)/.*\.(php|php5)$
{
deny all;
}
|
按照以上的配置，即使出现上传漏洞，上传到了上面配置的几个目录php文件，也会报403出错无法执行。更安全的做法是，放行部分，其余全部禁止，例如： ? 1 2 3 4 5 6 7 | location ~ (index|forum|group|archiver|api|uc_client|uc_server).*\.(php)?$
{
allow all;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
include fcgi.conf;
}
|
不过上面只是一个示例，根目录下的php文件，我此处并未列全。而且还有一个问题就是，每次有新的版本发布，如果目录结构变列或者根目录新增php文件，都要相应的修改nginx 的安全配置。 2、优化nginx和php-fpm程序运行用户。例如，该用户为www，让www用户没有家目录，没有shell，无法登陆。nginx和php-fpm程序是通过root内部调用切换到 www用户。类似于mysql的启动。具体增加语句如下： useradd www -d /dev/null -s /sbin/nologin 如果感觉还不够安全，可以再利用chroot和sudo等程序，限制www用户所能访问的目录和可以调用的命令。 3、目录权限控制。除了discuz下的data目录有写的权限，取消所有其他目录的写权限。 该步，我看到网上有列出执行的shell命令为： ? 1 2 3 4 5 6 7 8 | find source -type d -maxdepth 4 -exec chmod 555 {} \;
find api -type d -maxdepth 4 -exec chmod 555 {} \;
find static -type d -maxdepth 4 -exec chmod 555 {} \;
find archive -type d -maxdepth 4 -exec chmod 555 {} \;
find config -type d -maxdepth 4 -exec chmod 555 {} \;
find data -type d -maxdepth 4 -exec chmod 755 {} \;
find template -type d -maxdepth 4 -exec chmod 555 {} \;
find uc_client -type d -maxdepth 4 -exec chmod 555 {} \;
|
不过按这样的shell语句执行是有警告的，具体所报内容如下： find: warning: you have specified the -maxdepth option after a non-option argument -type, but options are not positional (-maxdepth affects tests specified before it as well as those specified after it). Please specify options before other arguments. 规范的写法是： ? 1 2 3 4 5 6 7 8 | find source -maxdepth 4 -type d -exec chmod 555 {} \;
find api -maxdepth 4 -type d -exec chmod 555 {} \;
find static -maxdepth 4 -type d -exec chmod 555 {} \;
find archive -maxdepth 4 -type d -exec chmod 555 {} \;
find config -maxdepth 4 -type d -exec chmod 555 {} \;
find data -maxdepth 4 -type d -exec chmod 755 {} \;
find template -maxdepth 4 -type d -exec chmod 555 {} \;
find uc_client -maxdepth 4 -type d -exec chmod 555 {} \;
|
注：上面的' -maxdepth 4 ' 也是可以取消的。 对目录设置完成后，还要对文件配置权限： find . -type f -exec chmod 444 {} \; #设置论坛目录的文件只可读，然后设置那些需要写的文件，一般只有data下的文件是可以的。 find data -type f -exec chmod 755 {} \; #设置data 文件为755 4、禁止php相关函数的调用及跨站。在php.ini文件中开启以下两项 ? 1 2 3 4 5 6 | open_basedir = .:/tmp/
disable_functions = passthru,exec,system,chroot,scandir,chgrp,chown,shell_exec,proc_open,proc_get_status,ini_alter,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popep
assthru,stream_socket_server,escapeshellcmd,dll,popen,disk_free_space,checkdnsrr,checkdnsrr,getservbyname,getservbyport,disk_total_space,posix_ctermid,posix_get_last_error,posix
_getcwd, posix_getegid,posix_geteuid,posix_getgid, posix_getgrgid,posix_getgrnam,posix_getgroups,posix_getlogin,posix_getpgid,posix_getpgrp,posix_getpid, posix_getppid,posix_get
pwnam,posix_getpwuid, posix_getrlimit, posix_getsid,posix_getuid,posix_isatty, posix_kill,posix_mkfifo,posix_setegid,posix_seteuid,posix_setgid, posix_setpgid,posix_setsid,posix
_setuid,posix_strerror,posix_times,posix_ttyname,posix_uname
|
以上主要是对系统层面的调用函数全部禁止 。 5、将该KVM机进行隔离。和其他主机无法连接。 该步骤配置是有条件的，在有KVM环境的条件，可以将各个应用之间利用KVM进行隔离。web访问模式为 物理机iptables nat ——KVM虚拟机 或 web入口——物理机iptables nat ——KVM虚拟机 。 6、数据库控制。 在mysql新建用户时，一是适当分配给用户所需的权限，二是要在创建用户时最好能限定来源IP 。例如： ? 1 2 | CREATE USER 'discuz'@'192.168.0.%' IDENTIFIED BY '66ZX811a';
grant select,insert,update,delete,create,index,trigger,create temporary tables on discuz.* to 'discuz'@'192.168.0.%';
|
|
