圖-LAMP

確保安全使用LAMP開源開發(fā)工具的四步曲

　　任何暴露在互聯(lián)網(wǎng)上的服務(wù)器需要對(duì)安全問題特別注意，對(duì)于動(dòng)態(tài)Web服務(wù)器來說，由于其復(fù)雜性這一點(diǎn)顯得更加突出。間接破壞的風(fēng)險(xiǎn)是非常高的。今天很多有組織的計(jì)算機(jī)犯罪一般利用計(jì)算機(jī)系統(tǒng)的漏洞，惡意軟件正是欺騙、欺詐和盜竊等破壞行為的入口之一。它們一般不會(huì)攻入你的系統(tǒng)來傷害它們，而是悄悄的盜竊數(shù)據(jù)并把它們發(fā)送到全球范圍內(nèi)的僵尸網(wǎng)絡(luò)中。

　　一、PHP安全問題嚴(yán)重

　　PHP超文本標(biāo)記語(yǔ)言是導(dǎo)致LAMP不安全的主犯。相對(duì)很多主流編程語(yǔ)言，它還比較年輕，它誕生于1997年，依然在向前發(fā)展中。PHP所存在的問題主要是三方面：與生俱來的設(shè)計(jì)缺陷、缺乏經(jīng)驗(yàn)的程序員和從不打補(bǔ)丁或升級(jí)PHP的缺乏維護(hù)網(wǎng)站。

　　當(dāng)你了解了PHP底層的東西后，你會(huì)發(fā)現(xiàn)它不是一個(gè)非常嚴(yán)謹(jǐn)?shù)恼Z(yǔ)言，其中充滿了混亂和矛盾。命名約定、語(yǔ)法和大小寫敏感全不一致。它的內(nèi)置功能中有許多是多余的，實(shí)現(xiàn)著非常相似但不完全相同的任務(wù)，而且它在文檔化方面又做的相當(dāng)差，因此很多人不確定哪一個(gè)功能是實(shí)現(xiàn)什么操作。如果不了解其令人痛苦的詳細(xì)信息，很容易導(dǎo)致程序員在編程中犯錯(cuò)。

　　PHP看似非常容易學(xué)習(xí)。從一方面來講它的確如此;你可以在幾個(gè)小時(shí)以內(nèi)就學(xué)會(huì)如何搭建起一個(gè)動(dòng)態(tài)網(wǎng)站。但是要真正理解它的不安全因素潛伏的地方以及如何處理它們，可能要花費(fèi)你數(shù)年的時(shí)間。其中最常見的安全漏洞之一就是未經(jīng)驗(yàn)證的輸入問題——所有的用戶輸入應(yīng)該是不被信任的，但是PHP在這方面沒有多少工具來幫助實(shí)現(xiàn)這個(gè)操作，因此你不得不編寫自己的驗(yàn)證程序。

　　當(dāng)你通過使用Apache的mod_php來將PHP作為一個(gè)模塊運(yùn)行的時(shí)候，PHP會(huì)繼承Apache進(jìn)程的所有信任。因此，所有可以被Apache讀寫的事情同樣也可以被PHP讀寫，這意味著一個(gè)成功的PHP漏洞會(huì)直接被引入到Apache和所有相關(guān)的程序中。在一個(gè)只有少數(shù)用戶的簡(jiǎn)單站點(diǎn)上使用mod_php是沒有問題的，但是在一個(gè)具有多個(gè)用戶的共享系統(tǒng)中，它就是帶來破壞的導(dǎo)火索，因?yàn)樗械哪_本運(yùn)行在相同的Apache用戶下。一個(gè)可行的選擇是在suEXEC或CGIWrap下運(yùn)行PHP。這些情況同樣適用于諸如Perl、Python和Ruby等腳本語(yǔ)言。

　　現(xiàn)在還有眾多網(wǎng)站依然運(yùn)行在PHP3和PHP4之上，而且有更多的從來沒有應(yīng)用一個(gè)補(bǔ)丁修復(fù)或安全更新。PHP5在2004年發(fā)布，而PHP3則要回溯到1998年。是的，這是一種非常愚蠢和危險(xiǎn)的事情，但是，更新到新PHP版本幾乎意味著要進(jìn)行大量的代碼重寫工作。更有趣的是Apache、PHP和MySQL的版本兼容問題，你必須選擇同時(shí)選擇正確的可以互相兼容的版本，否則它們沒法一起配合使用。有一些方法可以實(shí)現(xiàn)輕松的全新安裝，諸如XAMMP和Ubuntu的LAMP安裝包。但是有趣的是，當(dāng)你嘗試更新你的系統(tǒng)的時(shí)候，它們不能保持同步。

　　在我個(gè)人觀點(diǎn)看來，你最好使用Perl、Python或Ruby語(yǔ)言，雖然在前端編程所花費(fèi)的時(shí)間似乎要多一些，但是卻會(huì)省去了很多安全和維護(hù)之憂。

#p#

　　二、加固MySQL安全

　　MySQL是當(dāng)前最為流行的開源數(shù)據(jù)庫(kù)之一，我們可以通過一些基本步驟來加固MySQL數(shù)據(jù)庫(kù)的安全性。

　　1、MySQL數(shù)據(jù)庫(kù)只允許被同主機(jī)上的PHP使用;

　　2、禁止對(duì)數(shù)據(jù)庫(kù)的匿名訪問;

　　3、MySQL數(shù)據(jù)庫(kù)應(yīng)該在被改變了默認(rèn)根目錄下的環(huán)境運(yùn)行，在一個(gè)虛根(chroot)環(huán)境下的特殊組和用戶下運(yùn)行MySQL;

　　4、創(chuàng)建一個(gè)強(qiáng)壯的系統(tǒng)管理員密碼，不會(huì)被別人輕易猜到，并定期修改密碼;

　　5、刪除你不需要的所有服務(wù)，諸如示例數(shù)據(jù)庫(kù)和表，以及任何測(cè)試的數(shù)據(jù)庫(kù)和表。

　　以上只是簡(jiǎn)單的幾條安全建議，著名的安全公司Security Focus具有一個(gè)非常優(yōu)秀的MySQL數(shù)據(jù)庫(kù)安全指南(http://www.securityfocus.com/infocus/1726)。該篇文章是一個(gè)系列文章中的一部分，同樣還包括加強(qiáng)Apache和PHP安全性的鏈接。另外，MySQL參考手冊(cè)(http://dev.mysql.com/doc/index.html)中也有關(guān)于安全的很好的章節(jié)。另外，安全公司Security Focus強(qiáng)烈推薦使用chroot安全環(huán)境。

#p#

　　三、加固Apache服務(wù)器

　　客觀來說，Apache Web服務(wù)器已經(jīng)是一個(gè)非常安全的產(chǎn)品，但是即使一個(gè)好的工具也只有會(huì)合理的用它，才能發(fā)揮它的最大作用。以下是一些可以參考的建議。

　　1、隱藏Apache的版本號(hào)和其他敏感信息;

　　2、確保Apache以其自身的用戶賬號(hào)和組運(yùn)行;

　　3、關(guān)閉目錄瀏覽;

　　4、禁止Apache遵循符號(hào)鏈接;

　　5、關(guān)閉任何不必要的模塊;

　　6、所有敏感的會(huì)話，諸如用戶登錄或任何用戶輸入等，都需要通過OpenSSL來進(jìn)行保護(hù)。

　　關(guān)于加固Apache安全性的最好文章之一是：http://httpd.apache.org/docs/2.0/misc/security_tips.html。

#p#

　　四、通過SELinux或AppArmor來加固整體安全

　　SELinux全稱是Security Enhanced Linux，由美國(guó)國(guó)家安全部領(lǐng)導(dǎo)開發(fā)的GPL項(xiàng)目，它擁有一個(gè)靈活而強(qiáng)制性的訪問控制結(jié)構(gòu)，旨在提高Linux系統(tǒng)的安全性，提供強(qiáng)健的安全保證，可防御未知攻擊。

　　在Fedora Linux中有一個(gè)非常好的預(yù)置SELinux策略，其中包括一個(gè)Apache策略，還有一個(gè)圖形化的管理工具system-config-selinux。我不是說它使用起來非常簡(jiǎn)單，但是通過使用它比你完全手動(dòng)設(shè)置要容易的多。

　　在Novell的企業(yè)版SUSE Linux中包含一個(gè)叫AppArmor的工具，也很值得關(guān)注。使用它，你可以為通用操作系統(tǒng)和應(yīng)用軟件預(yù)定義的策略，包括Apache Web服務(wù)器、Postfix郵件服務(wù)器、Sendmail郵件服務(wù)器、OpenSSH、squid、ntpd、nscd等，據(jù)說它比使用SELinux更加簡(jiǎn)單，關(guān)于兩者誰(shuí)更好一直存在爭(zhēng)論。

#p#

　　總結(jié)

　　盡管你運(yùn)行的是一個(gè)具有很好安全性的Linux或Unix操作系統(tǒng)，你也不能對(duì)安全問題大意。無(wú)論在哪兒總會(huì)有潛在的威脅，尤其是現(xiàn)在有組織的計(jì)算機(jī)犯罪已經(jīng)發(fā)現(xiàn)了互聯(lián)網(wǎng)的力量?；景踩ＷR(shí)應(yīng)該堅(jiān)持應(yīng)用，另外你還需要相應(yīng)的技巧和經(jīng)驗(yàn)。搭建一個(gè)簡(jiǎn)單的測(cè)試實(shí)驗(yàn)室是非常容易且無(wú)需多少投資的，而且有很多觸手可及的文檔或幫助來輔助你實(shí)現(xiàn)這一點(diǎn)。Linux安全的未來在于像SELinux和AppArmor之類的工具，而不是我們已經(jīng)熟悉的針對(duì)已經(jīng)發(fā)現(xiàn)的威脅再作響應(yīng)的方法(亡羊補(bǔ)牢式的防護(hù))，像SELinux和AppArmor之類的工具可以幫助你防護(hù)未知的安全威脅。

通過文章的分析，我們能從四點(diǎn)中找出LAMP的安全問題并解決它，希望本文對(duì)你們有用！

【編輯推薦】

• Linux將繼續(xù)留在LAMP中
• 當(dāng)開源LAMP遭遇WindowsAMP
• Java有能力抵擋LAMP的進(jìn)攻嗎
• 解讀WAMP和LAMP:從對(duì)立到融合
• 搭建lamp系統(tǒng)環(huán)境部署及調(diào)整
• 史上最全的LAMP環(huán)境的搭建
• 我的LAMP筆記