web安全之php中常见的INI文件配置
php.ini
在 PHP 启动时被读取。对于服务器模块版本的 PHP,仅在 web 服务器启动时读取
一次。对于 CGI 和 CLI 版本,每次调用都会读取。
* Apache web 服务器在启动时会把目录转到根目录,这将导致 PHP 尝试在根目录
下读取 php.ini,如果存在的话。
* 在 php.ini 中可以使用环境变量。
.user.ini 文件
自 PHP 5.3.0 起,PHP 支持基于每个目录的 .htaccess 风格的 INI 文件。此类文件
仅被 CGI/FastCGI SAPI 处理。此功能使得 PECL 的 htscanner 扩展作废。如果使
用 Apache,则用 .htaccess 文件有同样效果。
启用全局变量
register_globals = on
有些程序例如OSC需要启用全局变量.这个设置的作用是关闭自动注册的全局变量,
在设置为On的时候,php会将$_POST,$_GET,$_COOKIE,$_ENV,$_SESSION数组中的$key=>$value直
接注册为变量,比如$_POST['username']就会被注册为$username。
虽然方便了调用,但是会有三个问题:
• 不知道变量是哪里来的,$_POST来的还是$_SESSION来的呢?非常不方便别人阅读代码。
• 变量之间互相覆盖,引起不必要的麻烦。
• 安全问题。所以要设置为Off。
短标签
short_open_tag = On
这个设置决定是否允许使用 PHP 代码开始标志的缩写形式(<? ?>)。如果禁用了,必须使用 PHP 代码开始
标志的完整形式(<?php ?>)。
本指令也会影响到缩写形式 <?=,它和 <? echo 等价。使用此缩写需要 short_open_tag 的值为 On。 从
PHP 5.4.0 起, <?= 总是可用的。
安全模式
safe_mode = off
php的安全模式是个非常重要的内嵌的安全机制,能够控制一些php中的函数,比如system(),同时把很多文件
操作函数进行了权限控制,也不允许对某些关键文件的文件,比如/etc/passwd,但是默认的php.ini是没有打
开安全模式的
安全模式下执行程序主目录
safe_mode_exec_dir = /var/www/html
如果 PHP 使用了安全模式,system() 和其它程序执行函数将拒绝启动不在此目录中的程序。必须使用 / 作为
目录分隔符,包括 Windows 中。 简单来说,就是这个目录下可以执行。
禁用类/函数
disable_classes = , disable_functions = , disable_functions = opendir,readdir,scandir,fopen,unlink
禁用某些类,禁止某些函数。接受逗号分隔的函数名列表作为参数。只能设置在 php.ini 中。
设置上传文件大小
file_uploads = on
upload_max_filesize = 8M
post_max_size = 8M
POST的数值要大于等于upload,否则upload不起作用。
文件上传临时目录
upload_tmp_dir =
上传临时文件保存的目录,需要可写,如果不设置,则采用系统临时目录。(/tmp)
用户访问目录限制
open_basedir = .:/tmp/
使用open_basedir选项能够控制PHP脚本只能访问指定的目录,这样能够避免PHP脚本访问不应该访问的文件,
一定程度上限制了phpshell的危害.我们一般可以设置为只能访问网站目录,表示允许访问当前目录(即PHP脚本
文件所在之目录)和/tmp/目录,有效防止php木马跨站运行。
错误信息控制
display_error = On
是否将错误信息作为输出的一部分,站点发布后应该关闭这项功能,以免暴露信息。调试的时候当然是要On的,
不然就什么错误信息也看不到了。
设置错误报告级别
error_reporting = E_ALL
这个设置的作用是将错误级别设置为最高,可以显示所有的问题,方便查错,也有利于写出高质量的代码。
日志级别是一些常量,在php.ini中有写,推荐使用 E_ALL | E_STRICT,即所有级别。
错误日志
error_log =
错误日志的位置,必须对web用户可写入,如果不定义则默认写入到web服务器的错误日志中去 。
log_errors = on
如上所说,建议将错误日志输出到文件,而不是直接输出到前端。
log_errors_max_length = 1024
错误日志关联信息的最大长度,设为0表示无限长度。
魔术引号 【Warning:本特性已自 PHP 5.3.0 起废弃并将自 PHP 5.4.0 起移除。】
magic_quotes_gpc = On
magic_quotes_runtime = Off
为 GPC (Get/Post/Cookie) 操作设置 magic_quotes 状态。 当 magic_quotes 为 on,所有的 ' (单引号)、"
(双引号)、\(反斜杠)和 NULL 被一个反斜杠自动转义。
是否允许打开远程文件
allow_url_fopen = on
本选项激活了 URL 形式的 fopen 封装协议使得可以访问 URL 对象例如文件。默认的封装协议提供用 ftp 和
http 协议来访问远程文件,一些扩展库例如 zlib 可能会注册更多的封装协议。
是否允许包含远程文件
allow_url_include = off
本选项激活允许 include, include_once, require, require_once等函数使用 URL 形式的 fopen 封装协议。简
单来说就是可以包含远程文件。
web安全之php中常见的INI文件配置的更多相关文章
- 向php文件中添加php.ini文件
向php文件中添加php.ini文件 默认情况下,php是没有php.ini配置文件的,必须手工添加php.ini文件 在php安装目录中,复制php.ini文件到/usr/local/php/lib ...
- [转载]windows7中没用boot.ini文件而是改用BCDEDIT来配置了
原文地址:windows7中没用boot.ini文件而是改用BCDEDIT来配置了作者:开心骝哥 本人安装的Win7,因为机上有两个系统,一个dos系统,一个win7系统,开机时总是会在系统选择的界面 ...
- 云服务器 ECS Linux 系统中常见的日志文件介绍
云服务器 ECS Linux 系统中,日志文件是非常重要的文件,它们记录了很多系统中重要的事.Linux 系统中常见日志文件概述如下: /var/log/cron可以在 cron 文件中检查 cron ...
- InnoSetup中枚举出INI文件的所有sections和键值
原文 http://blog.chinaunix.net/uid-23480430-id-3016899.html InnoSetup支持一些INI文件操作函数, 例如GetIniString,Ini ...
- IDEA中怎么创建ini文件
首先博主在这使用的是idea的2019.3.2的版本,不知道的话可以打开help菜单的about查看 第一步: 具体需要在setings安装ini插件 第二步: 在File Types中查看ini,没 ...
- [问题解决]eclipse.ini 文件配置jdk版本
想要多个JDK 和 多个eclipse在一台电脑上同时运行无需配置环境变量,只需修改eclipse.ini文件即可启动eclipse. -vm D:\javaSE1.\jdk1.\bin\javaw. ...
- Django模版中加载静态文件配置详解
.settings.INSTALLED_APPS下添加:django.contrib.staticfiles .settings.py下添加:STATIC_URL = '/static/' . ()在 ...
- tomcat中的server.xml文件配置了URIEncoding="UTF-8"需要注意的问题
1. get请求传递中文时本地连正式库访问都正常,正式环境下单独访问报错 代码: 请求:project/projectInfo/export/?cks=’项目类型 public String ...
- 一些常见的pro文件配置
UI_DIR = ./ui #ui文件目录 TARGET = Test #最终生成目标名 DESTDIR = $$PWD/../test #目标生成目录,$$PWD表示当前目录下 DLLDESTDIR ...
随机推荐
- .Net基础篇_学习笔记_第四天_switch-case02
using System; using System.Collections.Generic; using System.Linq; using System.Text; using System.T ...
- Python中使用pip安装库时提示:远程主机强迫关闭了一个现有的连接
场景 在cmd中使用pip install moviepy时,需要安装一些依赖库,很长时间后提示: 远程主机中断了一个现有的连接. 原因是默认镜像源下载过慢,将其修改为国内或者设置安装时的源. 这里以 ...
- charles 访问控制设置
本文参考:charles 访问控制设置 charles 访问控制设置 access control settings 访问账户设置: 这里可以配置连接到charles时的一些配置: 这个访问控制确定谁 ...
- java反射机制,以及对反射机制的了解
反射是什么?反射有什么用?我相信大家在开始学的时候都会有疑惑,直到如今我学的还不够深入只能简单的说说反射的作用,理论的我也听得很迷糊,接下来我就以几个例子来 写写反射的用处: 494696003群,有 ...
- Spring入门教程
Spring新手入门教程,配套下面这两个大神的课程就可以了. 一个是Spring视频教程. 一个是Spring博客教程. https://www.imooc.com/learn/196 http:// ...
- java取json 的方法
public static void main(String[] args) { String jsonStr = "[{\"varieties_type\":\&quo ...
- APP自動化測試腳本2
package com.lemon.day01; import java.net.MalformedURLException; import java.net.URL; import java.uti ...
- Python 爬虫监控女神的QQ空间新的说说,实现秒赞,并发送说说内容到你的邮箱
这个文章主要是在前一篇文章上新增了说说秒赞的功能 前一篇文章可以了解一下 那么,这次主要功能就是 监控女神的 QQ空间,一旦女神发布新的说说,马上点赞,你的邮箱马上就会收到说说内容,是不是想了解一下 ...
- C#控件及常用属性
1.窗体(Form) 1.常用属性 (1)Name 属性:用来获取或设置窗体的名称,在应用程序中可通过Name 属性来引用窗体. (2) WindowState 属性: 用来获取或设置窗体的窗口状态. ...
- XLNet预训练模型,看这篇就够了!(代码实现)
1. 什么是XLNet XLNet 是一个类似 BERT 的模型,而不是完全不同的模型.总之,XLNet是一种通用的自回归预训练方法.它是CMU和Google Brain团队在2019年6月份发布的模 ...