正確設定php-fpm子進程使用者，提高網站安全性防掛馬，php-fpm安全性

【轉】正確設定php-fpm子進程使用者，提高網站安全性防掛馬，php-fpm安全性

原文地址：http://www.myhack58.com/Article/60/61/2013/37209.htm

 

根據生產環境不斷反饋，發現不斷有 PHP網站被掛木馬，絕大部分原因是因為使用權限設定不合理造成。因為伺服器軟體，或是 php 程式中存在漏洞都是難免的，在這種情況下，如果能正確設定 Linux 網站目錄許可權， php 進程許可權，那麼網站的安全性實際上是可以得到保障的。

那麼，造成網站被掛木馬的原因是什嗎？

ftp 串連資訊被破解，對這個原因，可行的辦法就是使用非常複雜的FTP 使用者名稱（不要使用常用的使用者名稱），如果是固定作業，可考慮使用 iptables 防火牆限制來源 IP 。但是一些情景下，可能需要使用 VPN 以便遠程維護。　即網站維護者需要使用 FTP 修改網站檔案時，必須先登入到 IDC 機房的 VPN 伺服器上，再進行後續的操作。

網站伺服器軟體/ 配置 /php 程式存在漏洞，被利用，在討論這個問題前，先說明檔案及進程許可權的幾個概念：

FTP使用者對網站目錄具有最大修改許可權，那麼網站的檔案所有者一定屬於 FTP, 　這是毋庸置疑的 , 否則如何修改檔案呢？

php-fpm進程， Nginx 進程對網站檔案至少需要有讀取許可權，例如，以下命令即可查看這兩個進程所使用的帳號：

通過，我們可以發現，nginx 和 php-fpm 子進程帳號是 nobody 。

我們再查看網站檔案目錄的許可權：

發現網站檔案所有者是www 帳號，那說明：

• nginx和 php 對網站只有讀取許可權，無寫入許可權
• 如果php 程式需要對網站某些檔案有寫入許可權，需要手工將檔案或目錄許可權修改為 777
• 因為php-fpm 子進程是以 nobody 運行，那麼 php-fpm 產生的新檔案所有者也是 nobody, 這時 ftp 使用者將無法修改這些檔案，解鈴還需系鈴人，當 php 組建檔案後，需要調用 chmod(“/somedir/somefile”, 0777) 將檔案許可權修改為 777 ，以便 FTP 使用者也可以修改這個檔案。
• 經常有開發人員找我請求重設php 產生的檔案的許可權。
• 如果php-fpm 子進程以網站檔案所有者使用者運行，那意味著 php-fpm 進程對整個網站目錄具有可寫入權限，噩夢也就由此開始。

但是我們發現，有不少系統管理員為了省事，違背了Linux 最小化許可權的原則，設定 php-fpm 進程以網站檔案所有者帳號運行，當然這樣可能會方便 php 開發人員（ php-fpm 進程對整個網站目錄具有可寫入權限），但是這樣一來， Linux 體系的檔案系統許可權原則將被打破，所有的安全措施將形同虛設。可以想象的是，萬一 php 程式中有漏洞，攻擊者上傳木馬，便可以修改網站的所有檔案，網站首頁被黑，也就不足為怪了。

退一步，如果我們設定了較嚴格的許可權，就算php 程式中存在漏洞，那麼攻擊者也只能篡改許可權為 777 的目錄，其它的檔案是無法被改寫的，網站不就就得更安全了嗎？

核心總結：php-fpm 子進程所使用的使用者，不能是網站檔案所有者。 凡是違背這個原則，則不符合最小許可權原則。

 

經過我參閱網上關於nginx, php-fpm 配置的文章教程和市面上的一些書籍，發現有不少人受這些文章的誤導，直接讓 php-fpm 子進程以網站所有者帳號運行，例如張宴的《實戰 nginx 取代 apache 的高效能 Web 服務器》一書的 52 頁中，存在以下設定：

www www

官方提供的設定檔中，php-fpm 子進程使用 nobody 使用者，這完全是合理的，無須修改。

那麼nginx 的子進程使用者，如何設定合理？我的建議是也使用 nobody （對錯誤記錄檔寫入等無影響），設定方法如下：

nginx.conf檔案第一行設定為 user nobody; , 再執行 nginx -s reload 即可。

php-fpm子進程使用者佈建方法：

編輯檔案php-fpm.conf （一般位於 /usr/local/php/etc/php-fpm.conf 視安裝參數為準），找到 user 、group 兩個參數的定義，將其設定為nobody( 預設已經是 nobody) ，再重啟 php-fpm 進程即可。

網站可寫目錄的特殊注意

這裡的可寫，是相對php-fpm 子進程而言。一個網站最容易出安全問題的即是可寫目錄，如果可寫目錄許可權能控制嚴格，安全係數也將大大提高。 我們認為，一個網站可寫目錄主要分為以下幾種：

也就是說對網站開發人員而言，需要對可寫目錄實現動靜分離，不同效能的檔案，應該區別對待之，這樣也就方便系統管理員，設定合理的nginx 規則，以提高安全性。

簡單地去掉php 檔案的執行許可權，並不能阻止 php-fpm 進程解析之。

接下來，根據以上總結，系統管理員如何配置nginx 的目錄規則，才更安全呢？

資料緩衝目錄 /cache/，這個目錄的特點是需要777 許可權，無須提供給使用者訪問，那麼可以按以下參考配置 nginx

location ~ “^/cache” {return 403;}location ~ “.php$” {fastcgi_pass 127.0.0.0:9000;………………..}

這時，任何使用者將無法訪問/cache/ 目錄內容。

附件上傳目錄 attachments

此目錄的特點是需要開放存取權限，但所有檔案不能由php 引擎解析（包括尾碼名改為 gif 的木馬檔案）

location ~ “^/attachments” {}location ~ “.php$” {fastcgi_pass 127.0.0.0:9000;………………..}

注意，上面對attachments 目錄的 location 定義中是沒有任何語句的。 nginx 對Regex的 location 匹配優先順序最高，任何一個用Regex定義的 location, 只要匹配一次，將不會再匹配其它Regex定義的 location 。

現在，請在attachments 目錄下建立一個 php 指令檔，再通過瀏覽器訪問安，我們發現瀏覽器提示下載，這說明 nginx 把 attachments 目錄下的檔案當成靜態檔案處理，並沒有交給 php fastcgi 處理。這樣即使可寫目錄被植入木馬，但因為其無法被執行，網站也就更安全了。

 

顯然，重要的php 設定檔，請勿放在此類目錄下。

靜態檔案組建目錄 public

這些目錄一般都是php 產生的靜態頁的儲存目錄，顯然與附件目錄有類似之處，按附件目錄的使用權限設定即可。可以預見的是，如果我們設定了較嚴格的許可權，即使網站php 程式存在漏洞，木馬指令碼也只能被寫入到許可權為 777 的目錄中去，如果配合上述嚴格的目錄許可權控制，木馬也無法被觸發運行，整個系統的安全性顯然會有顯著的提高。

但是網站可寫目錄的作用及許可權，只有開發人員最為清楚。這方面需要php 開發人員和系統管理員積極溝通。我們使用的方式是：項目上線前，開發人員根據以文檔形式提供網站可寫目錄的作用及許可權，由系統管理員針對不同目錄進行使用權限設定。任何一方修改了網站目錄許可權，但未體現到文檔中，我們認為是違反工作流程的。