最新PHP程序安全策略.doc

《最新PHP程序安全策略.doc》由会员分享，可在线阅读，更多相关《最新PHP程序安全策略.doc（52页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。

1、Four short words sum up what has lifted most successful individuals above the crowd: a little bit more.-author-datePHP程序安全策略PHP程序安全策略PHP程序安全策略 PHP是一种功能强大的语言和解释器，无论是作为模块方式包含到web服务器里安装的还是作为单独的CGI程序程序安装的，都能访问文件、执行命令或者在服务器上打开链接。而这些特性都使得PHP运行时带来安全问题。虽然PHP是特意设计成一种比用Perl或C语言所编写的CGI程序要安全的语言，但正确使用编译时和运行中的一些配

2、置选项以及恰当的应用编码将会保证其运行的安全性。一、安全从开始编译PHP开始。在编译PHP之前，首先确保操作系统的版本是最新的，必要的补丁程序必须安装过。另外使用编译的PHP也应当是最新的版本，关于PHP的安全漏洞也常有发现，请使用最新版本，如果已经安装过PHP请升级为最新版本：4.2.3。相关链接：http:/security.e-matters.de/advisories/012002.html 安装编译PHP过程中要注意的3个问题：1、只容许CGI文件从特定的目录下执行：首先把处理CGI脚本的默认句柄删除，然后在要执行CGI脚本的目录在http.conf 文件中加入ScriptAlias

3、指令。#Addhadler cgi-script .cgiScriptAlias /cgi-bin/ /usr/local/apache/cgi-bin/<Directory /usr/local/apache/cgi-bin>AllowOverride NoneOptions NoneOrder allow,denyAllow from all</Directory><Directory /home/*/public_html/cgi-bin>AllowOverride NoneOptions ExecCGIOrder allow,denyAllow fr

4、om all</Directory> SriptAlias的第一个参数指明在Web中的可用相对路径，第二个参数指明脚本放在服务器的目录。应该对每个目录别名都用Directory，这样可使得除系统管理员之外的人不知道Web服务器上CGI脚本的清单。Directory允许用户创建自己的CGI脚本。也可用SriptAliasMatch，但Directory更容易使用。 允许用户创建自己CGI脚本可能会导致安全问题，你可能不希望用户创建自己的CGI。 Apache默认配置是注释掉cgi—script的处理句柄，但有cgi-bin目录使用SriptAlias和Directory指

5、令。 你也可禁止CGI执行，但仍允许执行PHP脚本。2把PHP解析器放在web目录外把PHP解析器放在Web目录树外是非常重要的做法。这样可以防止web服务器对PHP的解析器的滥用。特别是不要把PHP解析器放在cgibin或允许执行CGI程序的目录下。然而，使用Action解析脚本是不可能的，因为用Action指令时，PHP解析器大多数要放在能够执行CGI的目录下只有当PHP脚本作为CGI程序执行时，才能把PHP解析器放在Web目录树之外。如果希望PHP脚本作为CGI程序执行(这们可以把PHP解析器放在Web目录树之外)，可以这样：( 1)所有的PHP脚本必须位于能执行CGI程序的目录里。(

6、2)脚本必须是可执行的(仅在UNIX/Linux机器里)。(3)脚本必须在文件头包括PHP解析器的路径。你可用下面命令使PHP脚本为可执行：#chmod +x test.php4 这样使在当前目录下的文件名为testPhP4的脚本变为可执行。 下面是一个能作为CGI程序运行的PHP脚的小例子。#!/usr/local/bin/phpecho This is a my small cgi program” 3. 按Apache模块方式安装:当将PHP作为Apache模块使用时，它将继承Apche的用户权限(一般情况下用户为“nobody”)。这一点对于安全性和

7、验证有不少影响。例如，使用PHP访问数据库，除非数据库支持内建的访问控制，将不得不设置数据库对于用户“nobody”的可访问权限。这将意味着恶意的脚本在没有访问用户名和密码，也能访问并修改数据库。通过Apache验证来保护数据不被暴露，或者也可使用LDAP、htaccess文件等设计自己的访问控制模型，并在PHP脚本中将此代码作为其中部分引入。 通常，一旦安全性建立，此处PHP用户(此情形即Apache用户)就风险大大降低了，会发现PHP护现在已被封禁了将可能的染毒文件写入用户目录的能力。 此处最常犯的安全性错误是赋予Apache服务器根(root)权限。 将Apach

8、e用户权限提升到根权限是极端危险的。可能会危及整个系统，因此要小心使用sudo，chroot安全隐患大的命令等。除非你对安全有绝对的掌握，否则不要让其以ROOT权限运行。更安全的php 上 二、让PHP的使用更安全。1、以安全模式运行PHP以安全模式运行PHP是使PHP脚本安全使用的好方法，特别是在允许用户使用自己开发的PHP脚本时。使用安全模式会使PHP在运行函数时检查是否存在安全问题。 include、readfile、fopen、file、unlink、rmdir等等：被包含的文件或者该文件所在目录的所有者必须是正在运行的脚本的所有者； Exec、System、Passthm等等：要执行

9、的程序必须位于特定的目录(默认为usr/localphp/bin)。编译PHP时可以用—with-exe-dir选项设定这个值。Mysql—Connect：这个函数用可选的用户名连接MySQL数据库。在安全模式下，用户名必须是当前被执行的脚本的所有者，或运行httpd的用户名(通常是nobody)。HTTP Authentication：包含HTTP验证代码脚本所有者的用户ID(数字型)会自动加到验证域。这样可以防止有人通过抓取密码的程序来欺骗同一个服务器上的HTTP验证脚本。2、使用 用户识别和验证有时需要唯一地确认一个用户。用户通常由请求和响应系统确认。用户名口令组

10、合就是这种系统的一个很好的例子，比如系统要求给出A1i的口令，响应的是Ali的口令。这样验证是因为只有Ali才知道这个口令。（1）服务器端用户验征这是用于服务端上对PHP程序要求最小的验证方法。只要让Apache来管理对用户的验证就行了。AuthName Secret page # The realmAuthType Basic# The password file has been placed outside the web treeAuthUserFile /home/car2002/website.pw<LIMIT GET POST>require valid-user&l

11、t;/LIMIT> 你需要把上述文件(文件名为.htaccess)放在需要保护的地方。用Apache的htpasswd程序，可以建立包含用户名和口令组合的文件。把这个文件放在Web目录树之外，只让该文件的拥有者查看和修改这个文件。当然，Web服务器必须能够读取这个文件。如果想读取被保护的目录，Web服务器要求浏览器提供用户名和密码。浏览器弹出对话框，用户可以输入他们的用户名和密码。如果用户名和密码与口令文件中相符合，就允许用户读取被保护的页面；反之，将得到错误页面，告诉用户没有通过验证。被保护的域会显示出来以便用户知道输入那个用户名和密码。（2）在PHP中进行用户识别和验证和在Apach

12、e服务器端进行用户识别和验证相比，在PHP进行用户识别和验证有以下优点：A、可注销。B、可失效。如用户登录后40分钟没有浏览你的网站，你可强制他们重新通过验证。C、可定制。D、可基于数据库。你可以用保存在各种各样的数据库里的数据来验证用户，并且记录访问者访问网站的详细日志。E、可用于每个页面。你可在每个页面上决定是否需要验证。F、你也可以使浏览器弹出对话框。下面的例子显示了怎样从，MySQL数据库中检索用名和口令：让用户填人用户名和口令。 <?if(!isset($PHP_AUTH_USER) Header(WWW-authenticate: basic realm=restricted

13、 area);Header( HTTP/I.0 401 Unauthorized);echo You failed to provide the correct password.n;exit; else mysql_select_db(users) ;$user_id = strtolower($PHPAUTH_USER);$result = mysql_query(SELECT password FROM users .WHERE username = $username) ;$row = mysql_fetch_array($result) ;if ($PHP_AUTH_PW != $r

14、owpassword) Header( WWW-authenticate: basic realm=restricted areaHeader( HTTP/I.0 401 Unauthorized);echo You failed to provide the correct password.n ;exit;?>Only users with a working username/password combination can see this (3) 检测IP地址一般人们普遍认为一个IP地址唯一地确定一个访问者。但实际上并不是这样的。代理服务器可用相同的IP地址发送不同用户的请求。

15、另外IP地址的盗用也普遍存在。检测 IP地址有它们的用处，但相当有限。例如你是一个论坛版主，你发现某个用户粘贴一些不健康的、违法的内容。你可以找到他的IP地址，把从这个IP连进来的用户逐出论坛。使用下面一行命令将会得到某个特定请求的源IP地址：# ip = $REMOTE_ADDR4、使用PHP加密技术在PHP中，加密技术主要用来加密信息、产生校验和和摘要。使用加密技术可大大地增强安全性能。 这里只讲述使用加密技术的一些概念。如果你想进一步了解，应参考一些好的加密技术资料。加密技术的标准是Bmce Schneier的应用加密技术，非常值得一读。他的网站( )是在互联网上查找加密技术资料的好起点

16、。数据加密是一个非常复杂的话题，这里只简单介绍一下。PHP中大多数的加密函数由mcrypt库和mhash库提供。你需要在系统中装上这两个库，在编译时加上-ith-mcrypt和-ith-hash选项。PHP从 3013版本开始支持mcrypt库。5、使用具有SSL技术SSI是英文Server Side Includes的缩写。使用具有SSL(安全套接字协议层)功能的web服务器，可以不用改变一行代码而提高网站的安全性能。SSI使用加密方法来保护web服务器和浏览器之间的信息流。SSL不仅用于加密在互联网上传递的数据流，而且还提供双方身份验证。这样，你就可以安全地在线购物而不必担心别人矢随你的信

17、用卡的信息。这种特性使得SSL适用于那些交换重要信息的地方，像电子商务和基于Web的邮件。SSL使用公共密钥加密技术，服务器在连接结束时给客户端发送公用密钥用来加密信息，而加密的信息只有服务器用它自己持有的专用密钥才能解开。客户端用公用密钥加密数据，并且发送给服务端自己的密钥，以唯一确定自己，防止在系统两端之间有人冒充服务端或客户端进行欺骗。加密的HTTP连接用443端口号代替80端口号，以区别于普通的不加密的HTTP。客户端使用加密HTTP连接时会自动使用443端口而不是80端口。这使得服务端更容易作出相应的响应。在Apache服务器下，可以通过直接编辑服务器配置文件或者在需要使用SSI的目

18、录中创建.htaccess文件来启动SSI。登录到服务器，找到配置文件的存放目录，使用文字编辑器打开文件srm.conf，找到以下几行： # If you want to use server side includes, or CGI outside# ScriptAliased directories, uncomment the following lines.#AddType text/x-server-parsed-html .shtml#AddType application/x-httpd-CGI .CGI将以AddType开头的两行并且去掉每一行最前面的#符号即可。保存所做的修

19、改，然后再打开文件access.conf。 Directory /usr/local/etc/httpd/htdocs# This may also be None, All, or any combination of Indexes,# Includes, or FollowSymLinksOptions Indexes FollowSymLinks/Directory将其中的Options Indexes FollowSymLinks改为:Options Indexes FollowSymLinks Includes 即可。 2. PHP安全设置 PHP本身再老版本有一些问题，比如在 p

20、hp4.3.10和php5.0.3以前有一些比较严重的bug，所以推荐使用新版。另外，目前闹的轰轰烈烈的SQL Injection也是在PHP上有很多利用方式，所以要保证安全，PHP代码编写是一方面，PHP的配置更是非常关键。 我们php手工编译安装的，php的默认配置文件在 /usr/local/php/conf/php.ini，我们最主要就是要配置php.ini中的内容，让我们执行php能够更安全。 整个PHP中的安全设置主要是为了防止phpshell和SQL Injection的攻击，一下我们慢慢探讨。(1) 打开php的安全模式 php的安全模式是个非常重要的内嵌的安全机制，能够控制一

21、些php中的函数，比如system()，同时把很多文件操作函数进行了权限控制，也不允许对某些关键文件的文件，比如/etc/passwd，但是默认的php.ini是没有打开安全模式的，我们把它打开： safe_mode = on (2) 用户组安全 当safe_mode打开时，safe_mode_gid被关闭，那么php脚本能够对文件进行访问，而且相同组的用户也能够对文件进行访问。 建议设置为： safe_mode_gid = off 如果不进行设置，可能我们无法对我们服务器网站目录下的文件进行操作了，比如我们需要对文件进行操作的时候。 (3) 安全模式下执行程序主目录 如果安全模式打开了，但是

22、却是要执行某些程序的时候，可以指定要执行程序的主目录： safe_mode_exec_dir = /usr/bin 一般情况下是不需要执行什么程序的，所以推荐不要执行系统程序目录，可以指向一个目录，然后把需要执行的程序拷贝过去，比如： safe_mode_exec_dir = /tmp/cmd 但是，我更推荐不要执行任何程序，那么就可以指向我们网页目录： safe_mode_exec_dir = /usr/www (4) 安全模式下包含文件 如果要在安全模式下包含某些公共文件，那么就修改一下选项： safe_mode_include_dir = /usr/www/include/ 其实一般ph

23、p脚本中包含文件都是在程序自己已经写好了，这个可以根据具体需要设置。 (5) 控制php脚本能访问的目录 使用open_basedir选项能够控制PHP脚本只能访问指定的目录，这样能够避免PHP脚本访问/etc/passwd等文件，一定程度上限制了phpshell的危害，我们一般可以设置为只能访问网站目录： open_basedir = /usr/www (6) 关闭危险函数 如果打开了安全模式，那么函数禁止是可以不需要的，但是我们为了安全还是考虑进去。比如，我们觉得不希望执行包括system()等在那的能够执行命令的php函数，或者能够查看php信息的phpinfo()等函数，那么我们就可以

24、禁止它们： disable_functions = system,passthru,exec,shell_exec,popen,phpinfo 如果你要禁止任何文件和目录的操作，那么可以关闭很多文件操作 disable_functions = chdir,chroot,dir,getcwd,opendir,readdir,scandir,fopen,unlink,delete,copy,mkdir,rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown 以上只是列了部分不叫常用的文件处理函数，你也可以把上面执行命令函

25、数和这个函数结合，就能够抵制大部分的phpshell了。 (7) 关闭PHP版本信息在http头中的泄漏 我们为了防止黑客获取服务器中php版本的信息，可以关闭该信息斜路在http头中： expose_php = Off 比如黑客在 telnet 80 的时候，那么将无法看到PHP的信息。 关闭注册全局变量 打开php的安全模式 php的安全模式是个非常重要的内嵌的安全机制，能够控制一些php中的函数，比如system()，同时把很多文件操作函数进行了权限控制，也不允许对某些关键文件的文件，比如/etc/passwd，但是默认的php.ini是没有打开安全模式的，我们把它打开： safe_mo

26、de = on (2) 用户组安全 当safe_mode打开时，safe_mode_gid被关闭，那么php脚本能够对文件进行访问，而且相同组的用户也能够对文件进行访问。 建议设置为： safe_mode_gid = off 如果不进行设置，可能我们无法对我们服务器网站目录下的文件进行操作了，比如我们需要对文件进行操作的时候。 (3) 安全模式下执行程序主目录 如果安全模式打开了，但是却是要执行某些程序的时候，可以指定要执行程序的主目录： safe_mode_exec_dir = /usr/bin 一般情况下是不需要执行什么程序的，所以推荐不要执行系统程序目录，可以指向一个目录，然后把需要执行

27、的程序拷贝过去，比如： safe_mode_exec_dir = /tmp/cmd 但是，我更推荐不要执行任何程序，那么就可以指向我们网页目录： safe_mode_exec_dir = /usr/www (4) 安全模式下包含文件 如果要在安全模式下包含某些公共文件，那么就修改一下选项： safe_mode_include_dir = /usr/www/include/ 其实一般php脚本中包含文件都是在程序自己已经写好了，这个可以根据具体需要设置。 (5) 控制php脚本能访问的目录 使用open_basedir选项能够控制PHP脚本只能访问指定的目录，这样能够避免PHP脚本访问/etc/

28、passwd等文件，一定程度上限制了phpshell的危害，我们一般可以设置为只能访问网站目录： open_basedir = /usr/www (6) 关闭危险函数 如果打开了安全模式，那么函数禁止是可以不需要的，但是我们为了安全还是考虑进去。比如，我们觉得不希望执行包括system()等在那的能够执行命令的php函数，或者能够查看php信息的phpinfo()等函数，那么我们就可以禁止它们： disable_functions = system,passthru,exec,shell_exec,popen,phpinfo 如果你要禁止任何文件和目录的操作，那么可以关闭很多文件操作 disa

29、ble_functions = chdir,chroot,dir,getcwd,opendir,readdir,scandir,fopen,unlink,delete,copy,mkdir,rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown 以上只是列了部分不叫常用的文件处理函数，你也可以把上面执行命令函数和这个函数结合，就能够抵制大部分的phpshell了。 (7) 关闭PHP版本信息在http头中的泄漏 我们为了防止黑客获取服务器中php版本的信息，可以关闭该信息斜路在http头中： expose_php =

30、 Off 比如黑客在 telnet 80 的时候，那么将无法看到PHP的信息。 关闭注册全局变量 在PHP中提交的变量，包括使用POST或者GET提交的变量，都将自动注册为全局变量，能够直接访问，这是对服务器非常不安全的，所以我们不能让它注册为全局变量，就把注册全局变量选项关闭： register_globals = Off 当然，如果这样设置了，那么获取对应变量的时候就要采用合理方式，比如获取GET提交的变量var，那么就要用$_GETvar来进行获取，这个php程序员要注意。 (9) 打开magic_quotes_gpc来防止SQL注入 SQL注入是非常危险的问题，小则网站后台被入侵，重则

31、整个服务器沦陷，所以一定要小心。php.ini中有一个设置： magic_quotes_gpc = Off 这个默认是关闭的，如果它打开后将自动把用户提交对sql的查询进行转换，比如把 转为 等，这对防止sql注射有重大作用。所以我们推荐设置为： magic_quotes_gpc = On (10) 错误信息控制 一般php在没有连接到数据库或者其他情况下会有提示错误，一般错误信息中会包含php脚本当前的路径信息或者查询的SQL语句等信息，这类信息提供给黑客后，是不安全的，所以一般服务器建议禁止错误提示： display_errors = Off 如果你却是是要显示错误信息，一定要设置显示错误

32、的级别，比如只显示警告以上的信息： error_reporting = E_WARNING & E_ERROR 当然，我还是建议关闭错误提示。 (11) 错误日志 建议在关闭display_errors后能够把错误信息记录下来，便于查找服务器运行的原因： log_errors = On 同时也要设置错误日志存放的目录，建议根apache的日志存在一起： error_log = /usr/local/apache2/logs/php_error.log 注意：给文件必须允许apache用户的和组具有写的权限。 3. Mysql的安全设置 我们把Mysql安装在 /usr/local/my

33、sql目录下，我们必须建立一个用户名为mysql，组为mysql的用户来运行我们的mysql，同时我们把它的配置文件拷贝到 /etc目录下： # cp suport-files/my-f /etc/f chown root:sys /etc/f chmod 644 /etc/f 使用用户mysql来启动我们的mysql: # /usr/local/mysql/bin/mysqld_safe -user=mysql & (1) 修改root用户的的口令 缺省安装的mysql是没有密码的，所以我们要修改，以防万一。下面采用三种方式来修改root的口令。 * 用mysqladmin命令来改r

34、oot用户口令 mysqladmin -uroot password test 这样，MySQL数据库root用户的口令就被改成test了。（test只是举例，我们实际使用的口令一定不能使用这种易猜的弱口令） * 用set password修改口令： mysql> set password for rootlocalhost=password(test); 这时root用户的口令就被改成test了。 * 直接修改user表的root用户口令 mysql> use mysql; mysql> update user set password=password(test) whe

35、re user=root; mysql> flush privileges; 这样，MySQL数据库root用户的口令也被改成test了。其中最后一句命令flush privileges的意思是强制刷新内存授权表，否则用的还是缓冲中的口令，这时非法用户还可以用root用户及空口令登陆，直到重启MySQL服务器。 (2) 删除默认的数据库和用户 我们的数据库是在本地，并且也只需要本地的php脚本对mysql进行读取，所以很多用户不需要。mysql初始化后会自动生成空用户和test库，这会对数据库构成威胁，我们全部删除。 我们使用mysql客户端程序连接到本地的mysql服务器后出现如下提示

36、： mysql> drop database test; mysql> use mysql; mysql> delete from db; mysql> delete from user where not(host=localhost and user=root); mysql> flush privileges; (3) 改变默认mysql管理员的名称 这个工作是可以选择的，根据个人习惯，因为默认的mysql的管理员名称是root，所以如果能够修改的话，能够防止一些脚本小子对系统的穷举。我们可以直接修改数据库，把root用户改为admin mysql>

37、use mysql; mysql> update user set user=admin where user=root; mysql> flush privileges; (4) 提高本地安全性 提高本地安全性，主要是防止mysql对本地文件的存取，比如黑客通过mysql把/etc/passwd获取了，会对系统构成威胁。mysql对本地文件的存取是通过SQL语句来实现，主要是通过Load DATA LOCAL INFILE来实现，我们能够通过禁用该功能来防止黑客通过SQL注射等获取系统核心文件。 禁用该功能必须在 f 的mysqld部分加上一个参数： set-variable=l

38、ocal-infile=0 (5) 禁止远程连接mysql 因为我们的mysql只需要本地的php脚本进行连接，所以我们无需开socket进行监听，那么我们完全可以关闭监听的功能。 有两个方法实现： * 配置f文件，在mysqld部分添加 skip-networking 参数 * mysqld服务器中参数中添加 -skip-networking 启动参数来使mysql不监听任何TCP/IP连接，增加安全性。如果要进行mysql的管理的话,可以在服务器本地安装一个phpMyadmin来进行管理。 (6) 控制数据库访问权限 对于使用php脚本来进行交互，最好建立一个用户只针对某个库有 updat

39、e、select、delete、insert、drop table、create table等权限，这样就很好避免了数据库用户名和密码被黑客查看后最小损失。 比如下面我们创建一个数据库为db1，同时建立一个用户test1能够访问该数据库。 mysql> create database db1; mysql> grant select,insert,update,delete,create,drop privileges on db1.* to test1localhost identified by admindb; 以上SQL是创建一个数据库db1，同时增加了一个test1用户，

40、口令是admindb，但是它只能从本地连接mysql，对db1库有select,insert,update,delete,create,drop操作权限。 (7) 限制一般用户浏览其他用户数据库 如果有多个数据库，每个数据库有一个用户，那么必须限制用户浏览其他数据库内容，可以在启动MySQL服务器时加-skip-show-database 启动参数就能够达到目的。 ( 忘记mysql密码的解决办法 如果不慎忘记了MySQL的root密码，我们可以在启动MySQL服务器时加上参数-skip-grant-tables来跳过授权表的验证 (./safe_mysqld -skip-grant-tabl

41、es &)，这样我们就可以直接登陆MySQL服务器，然后再修改root用户的口令，重启MySQL就可以用新口令登陆了。 (9) 数据库文件的安全 我们默认的mysql是安装在/usr/local/mysql目录下的，那么对应的数据库文件就是在/usr/local/mysql/var目录下，那么我们要保证该目录不能让未经授权的用户访问后把数据库打包拷贝走了，所以要限制对该目录的访问。 我们修改该目录的所属用户和组是mysql，同时改变访问权限： # chown -R mysql.mysql /usr/local/mysql/var # chmod -R go-rwx /usr/local

42、/mysql/var (10) 删除历史记录 执行以上的命令会被shell记录在历史文件里，比如bash会写入用户目录的.bash_history文件，如果这些文件不慎被读，那么数据库的密码就会泄漏。用户登陆数据库后执行的SQL命令也会被MySQL记录在用户目录的.mysql_history文件里。如果数据库用户用SQL语句修改了数据库密码，也会因.mysql_history文件而泄漏。所以我们在shell登陆及备份的时候不要在-p后直接加密码，而是在提示后再输入数据库密码。 另外这两个文件我们也应该不让它记录我们的操作，以防万一。 # rm .bash_history .mysql_hist

43、ory # ln -s /dev/null .bash_history # ln -s /dev/null .mysql_history (11) 其他 另外还可以考虑使用chroot等方式来控制mysql的运行目录，更好的控制权限，具体可以参考相关文章。 4. vsFTPd安全设置 vsFTPd是一款非常著名的ftp daemon程序，目前包括R在内很多大公司都在使用，它是一款非常安全的程序，因为它的名字就叫：Very Secure FTP Daemon (非常安全的FTP服务器)。 vsftpd设置选项比较多，涉及方方面面，我们下面主要是针对安全方面进行设置。 目前我们的需求就是使用系统帐

44、户同时也作为是我们的FTP帐户来进行我们文件的管理，目前假设我只需要一个帐户来更新我的网站，并且我不希望该帐户能够登陆我们的系统，比如我们的网站的目录是在/usr/www下面，那么我们新建一个用户ftp，它的主目录是/usr/www，并且它的shell是/usr/sbin/nologin，就是没有shell，防止该用户通过ssh等登陆到系统。 下面在进行系统详尽的设置，主要就是针对vsftpd的配置文件vsftpd.conf文件的配置。 (1) 禁止匿名用户访问, 我们不需要什么匿名用户，直接禁止掉： anonymous_enable=NO (2) 允许本地用户登陆，因为我们需要使用ftp用户

45、来对我们网站进行管理: local_enable=YES (3) 只允许系统中的ftp用户或者某些指定的用户访问ftp，因为系统中帐户众多，不可能让谁都访问。 打开用户文件列表功能： userlist_enable=YES 只允许用户文件列表中的用户访问ftp: userlist_deny=NO 用户名文件列表路径： userlist_file=/etc/vsftpd.user_list 然后在/etc下建立文件 vsftpd.user_list 文件，一行一个，把用户ftp加进去，同时也可以加上你允许访问的系统帐户名。 (4) 禁止某些用户登陆ftp: pam_service_name=vs

46、ftpd 指出VSFTPD进行PAM认证时所使用的PAM配置文件名，默认值是vsftpd，默认PAM配置文件是/etc/pam.d/vsftpd。 /etc/vsftpd.ftpusers VSFTPD禁止列在此文件中的用户登录FTP服务器，用户名是一行一个。这个机制是在/etc/pam.d/vsftpd中默认设置的。 这个功能和(3)里的功能有点类似，他们俩能结合使用，那样就最好了。 (5) 把本地用户锁定在自己的主目录，防止转到其他目录，比如把/etc/passwd给下载了: chroot_local_users=NO chroot_list_enable=YES chroot_list_

47、file=/etc/vsftpd.chroot_list 然后在/etc下建立vsftpd.chroot_list文件，里面把我们要限制的本地帐户加进去，一行一个，我们加上ftp，防止它登陆到系统。 (6) 隐藏文件真实的所有用户和组信息，防止黑客拿下ftp后查看更多系统用户信息： hide_ids=YES (7) 取消ls -R命令，节省资源，因为使用该命令，在文件列表很多的时候将浪费大量系统资源： ls_recurse_enable=NO ( 上传文件的默认权限，设置为022： local_umask=022 如果要覆盖删除等，还要打开： write_enable=YES (9) ftp的banner信息，为了防止黑客获取更多服务器的信息，设置该项： ftpd_banne