很明显，PHP+Mysql+Apache是很流行的web技术，这个组合功能强大，可扩展性强，还是免费的。然而，PHP的默认设置对已经上线的网站不是那么适合。下面通过修改默认的配置文件加强PHP的安全策略！

0x01：禁用远程url文件处理功能

像fopen的文件处理函数，接受文件的rul参数(例如：fopen('http:///script.php?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000

显然，我们不希望用户可以直接获取你网站服务器的PHP版本，幸运的是，在php.ini中有个开关可以禁用这个功能：
复制代码 代码如下:
expose_php = Off

0x07：安全模式配置

在默认的情况下，php可以配置为安全模式，在这种模式下，Apache禁止访问文件、环境变量和二进制程序，在安全模式下，存在的最大问题就是只有文件的所有者才能访问这写PHP文件，如果有很多开发者共同开发这个程序，这样的设置就不切实际，当你需要访问一个PHP文件时就需要修改这个文件的所有者，另外一个问题就是其它程序也不能访问这些PHP文件，下面的配置就可以修改文件的的权限为用户组而不是单个用户。
复制代码 代码如下:
safe_mode = Off
safe_mode_gid = On

通过启用safe_mode_gid，能够使用Apache的这个群组就能够访问PHP文件。安全模式对阻止二进制文件的执行也非常有效，然而，开发者却希望在某些特定情形下能够运行一些二进制文件。在这些特殊的情形下，可以将二进制文件放进一个目录中，比如（/var/www/binaries），可以做如下设置：
复制代码 代码如下:
safe_mode_exec_dir = /var/www/binaries

最后，通过下面的设置，可以访问服务器的环境变量，提供一个以”_“分割的前缀，这样只能访问具有规定前缀的环境变量：

复制代码 代码如下:
safe_mode_allowed_env_vars = PHP_

0x08：限制公共用户对具有特定后缀名的文件的访问

由于安全的原因，很多具有特定后缀名的文件不能被公共用户所访问，比如.inc后缀的文件，里面包含了一些敏感的信息，比如mysql连接信息，如果没有适当的配置，那么每个用户都能访问这个配置文件，为了加强网站的安全，你需要在. .htaccess文件进行如下的配置：
复制代码 代码如下:
<filesmatch>
Order allow,deny
Deny from all
</filesmatch>

0x09：总结

PHP的默认配置是面向开发者的，如果网站面向广大的用户，建议重新配置PHP。