Установка строгих PHP-настроек для безопасной установки Joomla и WordPress
Если Вы запускаете установку Joomla или WordPress с помощью mod_php, следующие настройки vhost-файла конфигурации или поля "Apache directives" в ISPConfig могут быть использованы для установки более жестких ограничений безопасности. Это помогает ограничить воздействие возможных взломов данного web-сайта и защитить другие сайты на сервере.
php_admin_value disable_functions "show_source system shell_exec passthru exec phpinfo popen proc_open" php_admin_flag allow_url_fopen Off php_admin_value session.save_path "/var/www/webXXX/phptmp/" php_admin_value open_basedir "/var/www/webXXX/:/tmp"
Объяснение действий по настройке для безопасной установке Joomla и WordPress
disable_functions отключает функции, которые потенциально могут воздействовать на защиту, например, они позволяют внешним приложениям запускаться.
allow_url_fopen отключает возможность открывать файл через URL.
session.save_path задает путь к месту, где PHP хранит файлы сессии. Например, для ISPConfig 2 используется следующий путь “/var/www/webXXX/phptmp/” а для ISPConfig 3 - “/var/www/clients/client1/web1/tmp/” Если Вы не используете ISPConfig, то вам необходимо прописать путь к каталогу, который является перезаписываемым для пользователя веб-сервера. Каталог должен быть уникальным для каждого сайта.
open_basedir устанавливает путь, куда php-скрипты могут открывать файлы. Например, для ISPConfig 2 используется следующий путь “/var/www/webXXX/”, а для ISPConfig 3 “/var/www/clients/client1/web1/” Если Вы не используете ISPConfig, задайте путь к корневому каталогу vhost. С помощью :/tmp мы позволяем php-скриптам также использовать каталог сервера /tmp.
Комментарий КОМТЕТ: данный материал относится к VPS-хостингу с использованием ISPConfig. На виртуальном хостинге КОМТЕТ не требуется применять данных мер.
Оригинал статьи на www.faqforge.com
Перевод хостинг КОМТЕТ komtet.ru