Nginx+PHP的虚拟主机目录权限控制
Nginx+PHP的虚拟主机目录权限控制
最近检查了apache开启的虚拟主机配置，发现并没有对php文件跨目录访问做任何限制。如果给该虚拟主机开启了FTP权限，那么只要上传一个网页木马，即可任务访问服务器上的任何文件。老规矩，给apache的每个虚拟主机都加上php_admin_value参数，加以限制。同时也在网上找到了nginx下的相应解决办法，下边是转载的文章，原文作者在其博客中也给出了另一种较完美解决方法，就是修改PHP源码，然后重新变异，针对这种方法本人没做测试，不做介绍，Nginx的使用者最近越来越多，很多大型网站也都从Apache或其他平台迁移到了Nginx。但在我使用Nginx的过程中有个问题一直未得到解决，就是如何限制Nginx+PHP的目录权限。
我们知道，在Apache中可以很容易的对虚拟目录进行权限控制，如：
程序代码 程序代码
ServerAdmin [email protected]
DocumentRoot /usr/www/xpb/
ServerName www.xpb.cn:80
ServerAlias www.xpb.cn
ErrorLog logs/default-error_log
php_admin_value open_basedir “/tmp/:/usr/www/xpb/”
关键是后面的这句php_admin_value，这样就限制了php的操作目录仅限于/tmp/和/usr/www/xpb/这两个目录了。对于 Apache虚拟主机来说，这个设置十分有用，结合在php.ini中禁用一些php函数，几乎可以杜绝PHP木马对其他站点及系统的危害。我虽没专业做过Linux下的虚拟主机，但相信各大虚拟主机商也是这么做的。
看来对于Apache最好的办法还是使用“在php.ini中禁用一些危险的php函数和在Apache虚拟主机中配置php_admin_value”的方式来做虚拟主机的安全。
关于Nginx的配置文件，参考了很多资料，好像是不支持php_admin_value open_basedir，也就是Nginx暂时还没有 Apache的 php_myadmin_value这类的设置。如果用Nginx做虚拟主机，各用户之间的目录安全控制如何来做呢？网上很多人说，限制上传文件类型，做好程序安全不就行了么？对，对于自己的站点来说这样完全可以。但如果虚拟主机是给别人用的，又给予了FTP权限，总不能不让人上传php 文件吧。参考以上，如果用Nginx来做虚拟主机，目前看来安全的配置方法是：
1、用低权限账号运行Nginx。
2、在php.ini中禁用危险的函数。如：system,passthru,shell_exec,exec,popen,proc_open,chroot,scandir,chgrp,chown等，但禁止太多的函数可能对某些php程序的正常运行产生影响。
3、在php.ini中设置open_basedir,如：open_basedir = “/usr/local/webserver/nginx /html/www.xpb.cn_7da347bc1a9fd621/:/usr/local/webserver/nginx/html/www2.xpb.cn_7da347bc1a9fd621/”
4、各个虚拟主机用户放在不易于猜到的目录，如： www.xpb.cn_7da347bc1a9fd621、www2.xpb.cn_7da347bc1a9fd621
5、自己找一个php木马，自我测试服务器安全！
6、【2009年7月17日更新】据网上部分资料说，在运行spawn-fcgi 的时候带上参数 -d open_basedir 即可，例如：/usr /sbin/spawn-fcgi -a 127.0.0.1 -p 10080 -C 20 -u www -f “/usr/sbin/php-cgi -d open_basedir=/var/www/wwwroot/:/tmp/”
我们先来看下nginx.conf
server
{
listen 80;
server_name www.a.com;
index index.html index.htm index.php;
root /data/htdocs/www.a.com/;
#limit_conn crawler 20;
location ~ .*\.(php|php5)?
{
#fastcgi_pass unix:/tmp/php-cgi.sock;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
include fcgi.conf;
}
}
server
{
listen 80;
server_name www.b.com;
index index.html index.htm index.php;
root /data/htdocs/www.b.com/;
#limit_conn crawler 20;
location ~ .*\.(php|php5)?
{
#fastcgi_pass unix:/tmp/php-cgi.sock;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
include fcgi.conf;
}
}
nginx在80端口接受到访问请求后，会把请求转发给9000端口的php-cgi进行处理
而如果修改php.ini中open_basedir= ../../../../../ ，针对两个不同的网站， www.a.com , www.b.com都会把请求发送给9000处理，而如果先访问 www.a.com那么../../../../../就会变成A网站的根目录地址，然后这时候如果你访问 www.b.com，那么open_basedir仍然是A网站的根目录，但是对于B来说，又是不允许访问的，所以就造成了，第二个站点打开以后会出现no input files，那么有什么解决办法呢？
我们可以把不同的虚拟主机发送到不同的php-cgi端口进行处理，当然响应的php-fpm配置文件中的open_basedir也不同。。我们来看看怎么配置。。
首先,nginx.conf配置如下
server
{
listen 80;
server_name www.a.com;
index index.html index.htm index.php;
root /data/htdocs/www.a.com/;
#limit_conn crawler 20;
location ~ .*\.(php|php5)?
{
#fastcgi_pass unix:/tmp/php-cgi.sock;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
include fcgi.conf;
}
}
server
{
listen 80;
server_name www.b.com;
index index.html index.htm index.php;
root /data/htdocs/www.b.com/;
#limit_conn crawler 20;
location ~ .*\.(php|php5)?
{
#fastcgi_pass unix:/tmp/php-cgi.sock;
fastcgi_pass 127.0.0.1:9001;
fastcgi_index index.php;
include fcgi.conf;
}
}
注意: www.a.com 的请求发送到9000端口 ， www.b.com的请求发送到9001端口，依次类推
nginx配置修改了，相对的,php-fpm.conf也要修改
每个站点建一个conf
A站点
#cp /usr/local/webserver/php/etc/php-fpm.conf /usr/local/webserver/php/etc/www.a.com.conf
#vi /usr/local/webserver/php/etc/www.a.com.conf
找到php_defines，添加
/data/htdocs/www.a.com:/tmp:/var/tmp
B站点
#cp /usr/local/webserver/php/etc/php-fpm.conf /usr/local/webserver/php/etc/www.b.com.conf
#vi /usr/local/webserver/php/etc/www.b.com.conf
找到php_defines，添加
/data/htdocs/www.b.com:/tmp:/var/tmp
找到listen_address,修改为
127.0.0.1:9001 注意这里的端口号
最后要修改php-fpm启动脚本
#vi /usr/local/webserver/php/sbin/php-fpm
注释掉原来的 #php_fpm_BIN --fpm php_opts，
php_fpm_BIN --fpm --fpm-config /usr/local/webserver/php/etc/www.a.com.conf
php_fpm_BIN --fpm --fpm-config /usr/local/webserver/php/etc/www.b.com.conf
启动服务
#/usr/local/webserver/php/sbin/php-fpm restart
查看端口
#netstat -tln
开了9000 9001分别处理两个站点请求
两个php-cgi主进程加载不同的conf文件，这样就完美解决了虚拟主机webshell能跨目录的问题
当然，启动之前记得conf里面的max_children，开启php-cgi子进程数，相应要减少一些，以免造成内存不足
关于Nginx：
1、简介
Nginx (”engine x”) 是一个高性能的 HTTP 和 反向代理 服务器，也是一个 IMAP/POP3/SMTP 代理服务器。 Nginx 是由 Igor Sysoev 为俄罗斯访问量第二的 Rambler.ru 站点开发的，它已经在该站点运行超过四年半了。Igor 将源代码以类BSD许可证的形式发布。尽管还是测试版，但是，Nginx 已经因为它的稳定性、丰富的功能集、示例配置文件和低系统资源的消耗而闻名了。更多的请见官方wiki: http://wiki.codemongers.com/
2、 Nginx的优点
nginx做为HTTP服务器，有以下几项基本特性：
1) 处理静态文件，索引文件以及自动索引；打开文件描述符缓冲．
2) 无缓存的反向代理加速，简单的负载均衡和容错．
3) FastCGI，简单的负载均衡和容错．
4) 模块化的结构。包括gzipping, byte ranges, chunked responses, 以及 SSI-filter等filter。如
果由FastCGI或其它代理服务器处理单页中存在的多个SSI，则这项处理可以并行运行，而不需要相互等待。
5) 支持SSL 和 TLS SNI．
Nginx专为性能优化而开发，性能是其最重要的考量, 实现上非常注重效率 。它支持内核Poll模型，能经受高负载的考验, 有报告表明能支持高达 50,000 个并发连接数。
Nginx 具有很高的稳定性。其它HTTP服务器，当遇到访问的峰值，或者有人恶意发起慢速连接时，也很可能会导致服务器物理内存耗尽频繁交换，失去响应，只能重启服务器。例如当前apache一旦上到200个以上进程，web响应速度就明显非常缓慢了。而Nginx采取了分阶段资源分配技术，使得它的CPU与内存占用率非常低。nginx官方表示保持10,000个没有活动的连接，它只占2.5M内存，所以类似DOS这样的攻击对nginx来说基本上是毫无用处的。就稳定性而言, nginx比lighthttpd更胜一筹。
Nginx支持热部署。它的启动特别容易, 并且几乎可以做到7*24不间断运行，即使运行数个月也不需要重新启动。你还能够在不间断服务的情况下，对软件版本进行进行升级。
Nginx采用master-slave模型, 能够充分利用SMP的优势，且能够减少工作进程在磁盘I/O的阻塞延迟。当采用select()/poll()调用时，还可以限制每个进程的连接数。
Nginx 代码质量非常高，代码很规范， 手法成熟， 模块扩展也很容易。特别值得一提的是强大的Upstream与Filter链。 Upstream为诸如 reverse proxy, 与其他服务器通信模块的编写奠定了很好的基础。而Filter链最酷的部分就是各个filter不必等待前一个 filter执行完毕。它可以把前一个filter的输出做为当前filter的输入，这有点像Unix的管线。这意味着，一个模块可以开始压缩从后端服务器发送过来的请求，且可以在模块接收完后端服务器的整个请求之前把压缩流转向客户端。
Nginx采用了一些os提供的最新特性如对sendfile (Linux 2.2+)，accept-filter (FreeBSD 4.1+)，TCP_DEFER_ACCEPT (Linux 2.4+) 的支持，从而大大提高了性能。
http://blog.hackroad.com/read.php/491.htm