Ubuntu PHP-FPM如何進行安全加固

Ubuntu PHP-FPM的安全加固是一個重要的過程，可以顯著提高服務器的安全性。以下是一些關鍵步驟和建議，幫助你進行有效的安全加固。

安全加固步驟

• 更新系統：在進行任何軟件安裝之前，首先需要確保系統已經更新到最新版本。

sudo apt update
sudo apt upgrade

• 安裝PHP-FPM：使用以下命令來安裝PHP-FPM和相關的擴展。

sudo apt install php-fpm php-mysql

• 配置PHP-FPM：

  • 監聽地址和端口：默認情況下，PHP-FPM會監聽127.0.0.1:9000。如果需要更改監聽地址或端口，可以編輯 /etc/php/{version}/fpm/pool.d/www.conf 文件，找到 listen 配置項，并進行相應的更改。
  • 用戶和用戶組：PHP-FPM需要運行在一個用戶和用戶組下?？梢跃庉?/etc/php/{version}/fpm/pool.d/www.conf 文件，找到 user 和 group 配置項，并根據需要進行修改。建議使用非root用戶運行PHP-FPM以提高安全性。
  • 日志：PHP-FPM默認會將錯誤日志寫入到 /var/log/php{version}-fpm.log 文件中?？梢跃庉?/etc/php/{version}/fpm/php-fpm.conf 文件，找到 error_log 配置項，并根據需要修改日志文件的位置或名稱。

• 重啟PHP-FPM：完成配置后，需要重新啟動PHP-FPM服務以使更改生效。

sudo systemctl restart php{version}-fpm

• 配置Nginx與PHP-FPM的連接：通過編輯Nginx的配置文件，將Nginx與PHP-FPM連接起來。

sudo nano /etc/nginx/conf.d/default.conf

在配置文件中添加以下配置段：

location \.php {
    fastcgi_pass unix:/var/run/php/php{version}-fpm.sock;
    fastcgi_index index.php;
    fastcgi_param SCRIPT_FILENAME document_rootfastcgi_script_name;
    include fastcgi_params;
}

注意將 {version} 替換為你所安裝的PHP版本號。

其他安全建議

• 使用最新版本的PHP和PHP-FPM：確保使用最新版本的PHP和PHP-FPM，以獲得最新的安全補丁和功能。
• 限制文件上傳：在 php.ini 中設置文件上傳限制，防止上傳惡意文件。
• 禁止目錄遍歷：在 .htaccess 文件中添加以下配置，防止目錄遍歷攻擊。

Options -Indexes

• 配置防火墻：使用 ufw 設置防火墻規則，限制對PHP-FPM端口的訪問。

sudo ufw allow 9000/tcp

• 定期審計和監控：定期審計系統和應用程序日志，監控異常行為。

通過以上步驟和建議，你可以有效地加固Ubuntu系統上的PHP-FPM，提高服務器的安全性和穩定性。