nginx限制php程序“跨站”访问（nginx限制ip访问频率 可靠吗）
off999 2025-02-03 14:34 32 浏览 0 评论
我秀站外合作有一个需求：需在一台web服务器上增加一个虚拟主机用来做图片资源站，所用程序为第三方，担心有后门程序，因此希望最好隔断与原机器其他服务的关系。
思考了一下，确实有一些风险存在。目前我们服务器上都统一使用nobody用户启动nginx和php，包括web目录，这些机器上部分有多个域名在一起运行。这样至少存在一个问题：如果某一个虚拟主机站点有问题，其web目录如/diska/htdocs_1被注入恶意程序，那么其他的站点目录如/diska/htdocs_2域名也很可能难以幸免地通过这个恶意程序被访问到。分开不同用户权限，固然可以解决这个问题。但同时也意味需要徒增一个特定用户，想找一个类似chroot功能。经过搜索查找，nginx中可以增加一个配置项“fastcgi_param PHP_VALUE xxxx”达成这功能：
server {
listen 80 ;
……
location ~ \.(php|phtml) {
……
fastcgi_param PHP_VALUE "open_basedir=$document_root:/tmp/";
……
}
}
配置项加入在需要设置vhost中，冒号":"为分隔多个路径。当然也可以加入到 fastcgi_params中让nginx全局调用。
这样实现了虚拟主机限制在各自的web目录中，当某一个域名下出现漏洞或被攻击时，同一服务器下的其他应用域名不会因此而导致程序文件被查看或修改，避免“跨站”影响。
在查找过程中，同时发现如被入侵，虽然禁锢了对其他web目录的操作，但php程序还可以调用系统的命令进行一些操作。进一步加强安全，降低webshell调用的系统命令，可在php.ini下加入以下选项：
disable_functions = rmdir,exec,system,passthru,shell_exec
以上，我和松哥通过一些探针脚本进行测试验证，成功通过检测。
如果没上述的设置，那么恶意的脚本能直接通过浏览器访问到其他站点目录的内容，甚至可以本地调用系统命令启动一些基于php启动权限拥有者可以启动的端口。
供参考。
**注** 网上一些资料说在php5.2版本下，这些设置是不生效的。特意试了一下，真的如此。幸好我们的普遍在5.3以上。
相关推荐
- 电脑黑屏出现一堆字母（电脑屏幕黑屏突然又出现很多字母怎么办）
-
先尝试修复，不行就重装系统：第一、有可能是系统有问题了，可能的解决办法：1、开机不断点击F8键，进入系统操作选单，选“最后一次正确配置”，重启电脑，看能否解决。2、开机不断点击F8键，进入系统操作选单...
- 怎么清理系统数据（怎么清理系统数据安卓）
-
要清理系统占用的内存，可以尝试以下方法：1.关闭不必要的程序：打开任务管理器（在Windows中按Ctrl+Shift+Esc），查看运行中的程序和进程，关闭不必要的应用程序和任务，以释放内...
- 手机自动更新在哪里关闭（oppo软件自动更新怎么关闭）
-
1、首先要保证你的手机已经代开“开发者模式”，这样才能关闭或者打开系统自动更新；2、找到手机上的“设置”并点击；3、在设置页面找到“开发者选项”并点击；4、在开发者选项找到“系统自动更新”，因为系统默...
- ae（aed是什么意思）
-
跨境电商里说的AE平台指的是AliExpress，也就是我们常说的四大平台之一的速卖通。速卖通是阿里巴巴旗下针对跨境出口，面向全球市场打造的跨境电商交易平台，被称为“国际版淘宝”，是全球第三大英文在线...
- 装系统进入bios（装系统进入不了PE界面）
-
在进入BIOS界面后，有两种方式可以重装系统，具体步骤如下：方式一：通过U盘重装系统将U盘插入电脑，重启电脑，在开机时按下F11、F12、ESC等热键，并选择USB启动项。进入安装界面后，选择“语言和...
- 怎么制作优盘安装系统（怎样制作优盘安装win10系统）
-
1.下载一键重装系统软件，打开后选择启动U盘界面，接着制作一个u盘启动盘来装系统。2.开机并不断按下U盘启动快捷键。3.U盘启动快捷键在U盘制作完成后软件界面中有提示。4.在进入系统启动菜单中选择带有...
- 镜像版和原版有啥区别（镜像版系统和原版）
-
镜像和原版不一个概念。镜像是指的一种文件格式。如ISO文件等。原版是指一个版本没有经过任何修改的系统。原版可以是形容一个镜像文件，如原版镜像。也可以形容一个系统，如原版系统。原版对应是非原版。如原...
- 中关村在线装机模拟器（中关村在线模拟装机平台）
-
有关装机模拟器自由装机最高配置取决于您的计算机配置和游戏需求。如果您想要在自由装机中的最高配置，建议您选择以下配置：CPU：AMDRyzen95900X或AM3IntelCor...
- 怎么截图整个网页（怎么截图整个网页快捷键）
-
要截取整个网页的截图，您可以尝试以下方法：使用浏览器的截图工具：大多数现代浏览器都提供了内置的截图工具，可以帮助您截取整个网页。通常，您可以通过右键点击网页上的空白处，然后选择“截图”或“捕捉整个页面...
- 樱桃bt磁力在线（樱桃下载 mp4 下载）
-
打开百度搜索引擎，在搜索框中输入“bt樱桃”就可以搜索到该网站的入口地址。在“bt樱桃”官方主页面，输入要搜索的视频的关键字，点击“搜索”按钮。在搜索结果列表中，点击相应的网站连接进入。接着就可以看到...
- cad软件下载电脑版怎么下载（cad软件电脑怎么下载安装）
-
1.如果没有软件的光盘，电脑能够上网，先打开网页，在网页的搜索栏输入：“CAD××下载”最好输入××版本，建议初学者选适中的版本（可选2006版）2.下载到指定路径，保存。完成后，即可安装软件（执行s...
- 360桌面主题安卓下载（360桌面主题安卓下载安装）
-
是可以改变的。360浏览器应该说是无所不能的，他下载了一个360安全卫士，你用这个安全卫士可以把你的电脑全部都修改成为360的一些应用，比如说清理软件的杀毒的都是可以的，而且还可以改变你电脑桌面的主题...
-
- 重装电脑系统会不会清空所有文件
-
简单的重装系统，不会影响硬盘上C盘以外的分区和数据。重装系统，只会清除C盘的所有文件和数据，其他分区，都不会受到任何影响。只有笔记本电脑等正版系统的硬盘备份，在重置硬盘时，会删除硬盘上都全部原有数据，将硬盘恢复到出厂状态。优盘里面的东西...
-
2025-12-06 16:03 off999
- 2025买什么笔记本电脑好（2028年笔记本推荐）
-
1.预计会表现不错。2.因为酷睿i7是英特尔公司推出的高端处理器，具有强大的计算能力和多线程处理能力，而且2023年的新品往往会采用更先进的制程工艺和更高的主频，因此表现应该会更好。3.当然，除...
欢迎 你 发表评论:
- 一周热门
-
-
抖音上好看的小姐姐，Python给你都下载了
-
全网最简单易懂!495页Python漫画教程，高清PDF版免费下载
-
Python 3.14 的 UUIDv6/v7/v8 上新，别再用 uuid4 () 啦!
-
飞牛NAS部署TVGate Docker项目，实现内网一键转发、代理、jx
-
python入门到脱坑 输入与输出—str()函数
-
宝塔面板如何添加免费waf防火墙?（宝塔面板开启https）
-
Python三目运算基础与进阶_python三目运算符判断三个变量
-
(新版)Python 分布式爬虫与 JS 逆向进阶实战吾爱分享
-
失业程序员复习python笔记——条件与循环
-
使用 python-fire 快速构建 CLI_如何搭建python项目架构
-
- 最近发表
- 标签列表
-
- python计时 (73)
- python安装路径 (56)
- python类型转换 (93)
- python进度条 (67)
- python吧 (67)
- python的for循环 (65)
- python格式化字符串 (61)
- python静态方法 (57)
- python列表切片 (59)
- python面向对象编程 (60)
- python 代码加密 (65)
- python串口编程 (77)
- python封装 (57)
- python写入txt (66)
- python读取文件夹下所有文件 (59)
- python操作mysql数据库 (66)
- python获取列表的长度 (64)
- python接口 (63)
- python调用函数 (57)
- python多态 (60)
- python匿名函数 (59)
- python打印九九乘法表 (65)
- python赋值 (62)
- python异常 (69)
- python元祖 (57)