nginx限制php程序“跨站”访问（nginx限制ip访问频率 可靠吗）
off999 2025-02-03 14:34 22 浏览 0 评论
我秀站外合作有一个需求：需在一台web服务器上增加一个虚拟主机用来做图片资源站，所用程序为第三方，担心有后门程序，因此希望最好隔断与原机器其他服务的关系。
思考了一下，确实有一些风险存在。目前我们服务器上都统一使用nobody用户启动nginx和php，包括web目录，这些机器上部分有多个域名在一起运行。这样至少存在一个问题：如果某一个虚拟主机站点有问题，其web目录如/diska/htdocs_1被注入恶意程序，那么其他的站点目录如/diska/htdocs_2域名也很可能难以幸免地通过这个恶意程序被访问到。分开不同用户权限，固然可以解决这个问题。但同时也意味需要徒增一个特定用户，想找一个类似chroot功能。经过搜索查找，nginx中可以增加一个配置项“fastcgi_param PHP_VALUE xxxx”达成这功能：
server {
listen 80 ;
……
location ~ \.(php|phtml) {
……
fastcgi_param PHP_VALUE "open_basedir=$document_root:/tmp/";
……
}
}
配置项加入在需要设置vhost中，冒号":"为分隔多个路径。当然也可以加入到 fastcgi_params中让nginx全局调用。
这样实现了虚拟主机限制在各自的web目录中，当某一个域名下出现漏洞或被攻击时，同一服务器下的其他应用域名不会因此而导致程序文件被查看或修改，避免“跨站”影响。
在查找过程中，同时发现如被入侵，虽然禁锢了对其他web目录的操作，但php程序还可以调用系统的命令进行一些操作。进一步加强安全，降低webshell调用的系统命令，可在php.ini下加入以下选项：
disable_functions = rmdir,exec,system,passthru,shell_exec
以上，我和松哥通过一些探针脚本进行测试验证，成功通过检测。
如果没上述的设置，那么恶意的脚本能直接通过浏览器访问到其他站点目录的内容，甚至可以本地调用系统命令启动一些基于php启动权限拥有者可以启动的端口。
供参考。
**注** 网上一些资料说在php5.2版本下，这些设置是不生效的。特意试了一下，真的如此。幸好我们的普遍在5.3以上。
相关推荐
- 在NAS实现直链访问_如何访问nas存储数据
-
平常在使用IPTV或者TVBOX时，经常自己会自定义一些源。如何直链的方式引用这些自定义的源呢？本人基于armbian和CasaOS来创作。使用标准的Web服务器（如Nginx或Apache...
- PHP开发者必备的Linux权限核心指南
-
本文旨在帮助PHP开发者彻底理解并解决在Linux服务器上部署应用时遇到的权限问题（如Permissiondenied）。核心在于理解“哪个用户（进程）在访问哪个文件（目录）”。一、核心...
- 【Linux高手必修课】吃透sed命令!文本手术刀让你秒变运维大神!
-
为什么说sed是Linux运维的"核武器"？想象你有10万个配置文件需要批量修改？传统方式要写10万行脚本？sed一个命令就能搞定！这正是运维工程师的"暴力美学"时...
- 「实战」docker-compose 编排 多个docker 组成一个集群并做负载
-
本文目标docker-compose，对springboot应用进行一个集群（2个docker，多个类似，只要在docker-compose.yml再加boot应用的服务即可)发布的过程架构...
- 企业安全访问网关:ZeroNews反向代理
-
“我们需要让外包团队访问测试环境，但不想让他们看到我们的财务系统。”“审计要求我们必须记录所有第三方对内部系统的访问，现在的VPN日志一团糟。”“每次有新员工入职或合作伙伴接入，IT部门都要花半天时间...
- 反向代理以及其使用场景_反向代理实现过程
-
一、反向代理概念反向代理（ReverseProxy）是一种服务器配置，它将客户端的请求转发给内部的另一台或多台服务器处理，然后将响应返回给客户端。与正向代理（ForwardProxy）不同，正向代...
- Nginx反向代理有多牛?一篇文章带你彻底搞懂!
-
你以为Nginx只是个简单的Web服务器？那可就大错特错了！这个看似普通的开源软件，实际上隐藏着惊人的能力。今天我们就来揭开它最强大的功能之一——反向代理的神秘面纱。反向代理到底是什么鬼？想象一下你...
- Nginx反向代理最全详解(原理+应用+案例)
-
Nginx反向代理在大型网站有非常广泛的使用，下面我就重点来详解Nginx反向代理@mikechen文章来源：mikechen.cc正向代理要理解清楚反向代理，首先：你需要搞懂什么是正向代理。正向代理...
- centos 生产环境安装 nginx，包含各种模块http3
-
企业级生产环境Nginx全模块构建的大部分功能，包括HTTP/2、HTTP/3、流媒体、SSL、缓存清理、负载均衡、DAV扩展、替换过滤、静态压缩等。下面我给出一个完整的生产环境安装流程（C...
- Nginx的负载均衡方式有哪些?_nginx负载均衡机制
-
1.轮询（默认）2.加权轮询3.ip_hash4.least_conn5.fair(最小响应时间)--第三方6.url_hash--第三方...
- Nginx百万并发优化:如何提升100倍性能!
-
关注△mikechen△，十余年BAT架构经验倾囊相授！大家好，我是mikechen。Nginx是大型架构的核心，下面我重点详解Nginx百万并发优化@mikechen文章来源：mikechen....
- 在 Red Hat Linux 上搭建高可用 Nginx + Keepalived 负载均衡集群
-
一、前言在现代生产环境中，负载均衡是确保系统高可用性和可扩展性的核心技术。Nginx作为轻量级高性能Web服务器，与Keepalived结合，可轻松实现高可用负载均衡集群（HA+LB...
- 云原生(十五) | Kubernetes 篇之深入了解 Pod
-
深入了解Pod一、什么是PodPod是一组（一个或多个）容器（docker容器）的集合（就像在豌豆荚中）；这些容器共享存储、网络、以及怎样运行这些容器的声明。我们一般不直接创建Pod，而是...
- 云原生(十七) | Kubernetes 篇之深入了解 Deployment
-
深入了解Deployment一、什么是Deployment一个Deployment为Pods和ReplicaSets提供声明式的更新能力。你负责描述Deployment中的目标状...
- 深入理解令牌桶算法:实现分布式系统高效限流的秘籍
-
在高并发系统中，“限流”是保障服务稳定的核心手段——当请求量超过系统承载能力时，合理的限流策略能避免服务过载崩溃。令牌桶算法（TokenBucket）作为最经典的限流算法之一，既能控制请求的平...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- python计时 (73)
- python安装路径 (56)
- python类型转换 (93)
- python进度条 (67)
- python吧 (67)
- python的for循环 (65)
- python格式化字符串 (61)
- python静态方法 (57)
- python列表切片 (59)
- python面向对象编程 (60)
- python 代码加密 (65)
- python串口编程 (77)
- python封装 (57)
- python写入txt (66)
- python读取文件夹下所有文件 (59)
- python操作mysql数据库 (66)
- python获取列表的长度 (64)
- python接口 (63)
- python调用函数 (57)
- python多态 (60)
- python匿名函数 (59)
- python打印九九乘法表 (65)
- python赋值 (62)
- python异常 (69)
- python元祖 (57)