設定PHP程式訪問限制，徹底杜絕PHP木馬入侵

PHPCMS平臺的注入漏洞太多，防不勝防，為此我想了個設定PHP程式訪問限制的方法。

只允許訪問以下四個PHP程式：

/index.php

/admin.php

/api.php

/phpsso_server/index.php

其它一律禁止訪問。 以下是apache中虛擬主機增加的重寫定義：

     RewriteEngine On

     RewriteCond %{REQUEST_FILENAME} !(.php$) [NC]

     RewriteRule ^.*$ – [NC,L]

     RewriteRule ^/index.php(.*)$ /index.php$1 [NC,L]

     RewriteRule ^/admin.php(.*)$ /admin.php$1 [NC,L]

     RewriteRule ^/api.php(.*)$ /api.php$1 [NC,L]

     RewriteRule ^/phpsso_server/index.php(.*)$ /phpsso_server/index.php$1 [NC,L]

     RewriteRule .php$ – [NC,F]

我已經測試過：對靜態網頁沒有影響，輸入任何這四個PHP之外的PHP，全部返回403.

如果其它PHP程式需要執行，可以增加rewriterule定義允許其執行。

不允許增加的PHP程式執行還不能完全杜絕入侵，黑客還會修改現有的PHP程式。所以還要把以下檔案及目錄全部改成不能寫入：

/index.php

/api.php

/admin.php

/plugin.php

/phpcms/

/api/

/phpsso_server/

在程式升級時再開啟寫入。

在這種情況下，黑客通過phpcms漏洞肯定是進不來的了。

本文轉自 gutaotao1989 51CTO部落格，原文連結:http://blog.51cto.com/taoyouth/1745700