Discuz安裝前安全規範

科技小能手發表於2017-11-12
建議在機房部署的時候後端機器起碼2臺作容災，運維側nginx反向代理至後端處理，可以參考下如下的nginx相關配置供測試，Discuz的安全相關的東西以下提出了些，供參考：
Discuz安裝前安全規範 
1、須從Discuz官網下載最新版本的安裝包;
2、Discuz論壇程式碼上傳到伺服器解壓後，將全部檔案和目錄屬主改為root或其他屬主（必須與webserver屬主不同），目的是為了防止黑客獲得webserver的許可權後，對程式檔案進行惡意篡、放置後門等；
3、將Discuz論壇程式碼中的全部目錄許可權設定為755，將Discuz論壇程式碼中的全部檔案許可權設定為644；
4、確保資料庫與discuz不在同一臺機器上，做好DB分離，後端機器不能只有單臺； 
5、刪除Discuz根目錄下的crossdomain.xml檔案，如需要此檔案，必須限制到具體域名； 
6、刪除./static/image/common/mp3player.swf 檔案； 
7、Discuz根目錄下./api/目錄中不需要的外部介面需刪除； 
8、禁止論壇管理後臺和UC管理後臺外網訪問； 

9、禁止Discuz根目錄下./data目錄解析php，並且php、sql檔案不能被下載； 

10、禁止Discuz根目錄下./uc_server/data ./uc_client/data/目錄解析php,並且php檔案不能被下載； 
11、禁止Discuz根目錄下的conf目錄及目錄中的檔案被外網訪問；禁止訪問Discuz論壇目錄下的.bak備份檔案； 
12、禁止Discuz根目錄下./api/uc.php檔案外網訪問； 
13、刪除/uc_server/control/app.php； 
14、安裝好論壇後，需刪除install目錄； 
安裝好Discuz後，需對Discuz配置檔案中的部分配置項進行修改，對論壇進行安全加固，加固點如下：
1. 設定founder = `1` 
2. 設定forcesecques = `1` 
3. 設定checkip = 1 
4. 設定runquery = `0` 
5. 設定dbimport = 0 
6. 設定urlxssdefend = 1 
7. 設定attackevasive = `0` 
PHP配置相關： 
1. 配置open_basedir項為網站目錄;
2. 禁用危險函式disable_functions disable_functions=
dl,eval,assert,exec,popen,system,passthru,shell_exec,escapeshellarg,escapeshellcmd,proc_close,proc_open
(部分Discuz!版本正常執行需要eval,assert兩個函式，如果有問題，上述禁用函式可以去掉這兩個) ;
3. 關閉全域性變數register_globals;
4. 開啟magic_quotes_gpc ;
5. 安全模式safe_mode ;
6. 關閉錯誤訊息提示display_errors ;

7. 禁止訪問遠端檔案allow_url_fopen，allow_url_include;



本文轉自 boy461205160 51CTO部落格，原文連結:http://blog.51cto.com/461205160/1732888


相關文章