nginx+PHP セキュリティ強化構成

クズども · 掲載地 2017/08/22 12:12:59

PHPはデフォルトでディレクトリ間でファイルにアクセスできますが、各仮想ホストごとに別々の制限を設ける必要があります。
そう、open_basedir。ここでは特別な工夫が必要で、各仮想マシンを制限します

これにより、ウェブホストはウェブサイトディレクトリとtmpディレクトリでのみ動作し、他のディレクトリへのトラバースはなくなります

nginxの独立したウェブサイト設定ファイルは以下の通りです:
(サイトが別途追加のディレクトリを設定する必要がある場合は、上記のコードをinclude fastcgi.confに書き込みます。このラインは問題なく、fastcgi.confの設定は上書きされます。）

ログインが見えます。

グローバルに設定すれば、各サイトを個別に設定する必要はありません。構成は以下の通りです:

Nginxの設定ファイルに入りましょう

ログインが見えます。

通常、nginxサイトの設定ファイルにはfastcgi.confが含まれています。このようにして、このラインをfastcgi.confに追加するだけです。

上記の方法が完了したら、nginxサービスを再起動する必要があります。

推奨される禁止機能の一覧は以下の通りです。

disable_functions = pcntl_alarm、pcntl_fork、pcntl_waitpid、pcntl_wait、pcntl_wifexited、pcntl_wifstopped、pcntl_wifsignaled、pcntl_wexitstatus、、pcntl_wtermsig、pcntl_wstopsig、 pcntl_signal、pcntl_signal_dispatch、pcntl_get_last_error、pcntl_strerror、pcntl_sigprocmask、pcntl_sigwaitinfo、pcntl_sigtimedwait、pcntl_exec、pcntl_getpriority、pcntl_ setpriority、eval、popen、passthru、exec、system、shell_exec、proc_open、proc_get_status、chroot、chgrp、chown、ini_alter、ini_restore、dl、pfsockopen、Openlog、syslog、readlink、シンムリンク、ポープパススルー、stream_socket_server、fsocket、chdir

[その他] nginx+PHP セキュリティ強化構成

関連記事

閲覧したセクション