분류 php

PHP 앱 보안을 위한 10 단계

컨텐츠 정보

  • 조회 486 (작성일 )

본문

안녕하세요 PHP 개발자. 이 포스트에서는 PHP 앱의 보안을 향상 시키기 위해 수행 할 수 있는 구체적인 단계를 제공합니다. PHP 구성 자체에 중점을 두고 있으므로 SQL 주입, HTTPS 또는 기타 PHP와 관련이 없는 문제에 대해서는 이야기하지 않습니다.


https://dev.to/elabftw/10-steps-for-securing-a-php-app-5fnp 


docker-entrypoint.sh 스크립트의 bash 줄을 사용하여 예제를 설명하지만 물론 비 docker 환경에 적용 할 수 있습니다.


세션 


더 긴 세션 ID 길이 사용 


세션 ID 길이를 늘리면 공격자가 (무차별적이거나 더 많은 사이드 채널 공격을 통해) 추측하기 어렵게 됩니다. 세션 ID 길이는 22-256 자입니다. 기본값은 32입니다.


sed -i -e "s/session.sid_length = 26/session.sid_length = 42/" /etc/php7/php.ini

(Alpine Linux에서 왜 26인지 묻지 마십시오 ...)


session.sid_bits_per_character를 볼 수도 있습니다.


제한적인 권한으로 사용자 정의 세션 저장 경로 사용 


nginx / php만이 세션에 접근 할 필요가 있으므로 제한적인 권한을 가진 특별한 폴더에 넣으십시오.


sed -i -e "s:;session.save_path = \"/tmp\":session.save_path = \"/sessions\":" /etc/php7/php.ini
mkdir -p /sessions
chown nginx:nginx /sessions
chmod 700 /sessions


물론 Redis를 사용하여 세션을 처리하는 경우 이 부분에 신경 쓰지 않습니다.)


안전한 세션 쿠키 


javascript가 자바 스크립트에 액세스하지 못하도록 session.cookie_httponly. 더 많은 정보.


sed -i -e "s/session.cookie_httponly.*/session.cookie_httponly = true/" /etc/php7/php.ini
sed -i -e "s/;session.cookie_secure.*/session.cookie_secure = true/" /etc/php7/php.ini


쿠키가 일반 텍스트 HTTP로 이동하지 못하도록 session.cookie_secure.


교차 사이트 공격을 방지하기 위한 session.cookie_samesite 최근 PHP / 브라우저에만 해당됩니다.


엄격 모드 사용 


쿠키 사양으로 인해 공격자는 쿠키 데이터베이스 또는 JavaScript 주입을 로컬로 설정하여 제거 할 수 없는 세션 ID 쿠키를 배치 할 수 있습니다. session.use_strict_mode는 공격자가 초기화 된 세션 ID가 사용되는 것을 방지 할 수 있습니다.


수명 제한 


세션은 브라우저와 함께 닫아야 합니다. 따라서 session.cookie_lifetime을 0으로 설정하십시오.


Open_basedir 


open_basedir는 php.ini 설정 옵션으로 PHP가 접근 할 수 있는 파일 / 디렉토리를 제한 할 수 있습니다.


sed -i -e "s#;open_basedir =#open_basedir = /elabftw/:/tmp/:/usr/bin/unzip#" /etc/php7/php.ini


여기 composer가 사용하는 unzip을 추가했습니다. /elabftw는 모든 소스 PHP 파일이 있는 곳입니다. 그리고 /tmp가 왜 여기에 있는지 기억이 나지 않지만 반드시 이유가 있습니다.


Disable functions 


앱을 매우 쉽게 엉망으로 만들 수 있으므로 주의하십시오. 그러나 이것은 분명히 살펴볼 것입니다. 침입자가 어떻게 든 웹쉘을 올릴 수 있었다고 가정 해 봅시다. 이것이 올바르게 설치되면 웹쉘이 실제로 shell_exec로 작동하지 않고 친구가 비활성화됩니다. elabftw에 적용되는 목록을 제공하고 있지만 100 % 완전하지는 않습니다.


sed -i -e "s/disable_functions =/disable_functions = php_uname, getmyuid, getmypid, passthru, leak, listen, diskfreespace, tmpfile, link, ignore_user_abort, shell_exec, dl, system, highlight_file, source, show_source, fpaththru, virtual, posix_ctermid, posix_getcwd, posix_getegid, posix_geteuid, posix_getgid, posix_getgrgid, posix_getgrnam, posix_getgroups, posix_getlogin, posix_getpgid, posix_getpgrp, posix_getpid, posix_getppid, posix_getpwnam, posix_getpwuid, posix_getrlimit, posix_getsid, posix_getuid, posix_isatty, posix_kill, posix_mkfifo, posix_setegid, posix_seteuid, posix_setgid, posix_setpgid, posix_setsid, posix_setuid, posix_times, posix_ttyname, posix_uname, phpinfo/" /etc/php7/php.ini

Disable url_fopen 


allow_url_fopen 옵션은 위험합니다. 비활성화 하십시오. 자세한 정보는 여기에 있습니다.


sed -i -e "s/allow_url_fopen = On/allow_url_fopen = Off/" /etc/php7/php.ini


Disable cgi.fix_pathinfo 


PHP 이외의 파일을 PHP 파일로 실행하고 싶지 않습니까? 그런 다음 이것을 비활성화 하십시오. 더 많은 정보.


sed -i -e "s/;cgi.fix_pathinfo=1/cgi.fix_pathinfo=0/g" /etc/php7/php.ini


PHP 버전 숨기기 


마무리하기 위해, nobrainer :


sed -i -e "s/expose_php = On/expose_php = Off/g" /etc/php7/php.ini