杰网资源 Design By www.escxy.com
. proftpd建立hostuser/hostuser帐号，所有用户均映射到该帐号。
htdocs/hosts 目录属主也为hostuser
这样用户使用FTP上传的文件属性为hostuser（644 755）。
将FTP锁定用户在自己的主目录下。
apache以nobody运行（以独立apache用户更好），读hostuser的脚本文件。
对于要写入的目录uploads和cache，必须设定777，且循环设定其子目录。两个目录禁止脚本执行(.htaccess:php_flag engine off)。这样即使黑客上传webshell到这两个目录，也无法执行。
这样cache或uploads中的新文件的属主将是nobody
cache目录要限制对外访问。
这里存在一个问题，就是apache生成的文件和目录644和755，当proftpd以hostuser:hostuser运行时，用户是无法删除cache或uploads中的内容的。
解决方法：
(1) 在PHP程序中chmod文件和目录分别为666和777
以adodb为例，需修改adodb.inc.php文件1681行if (!mkdir($dir,0771)) 和adodb-csvlib.inc.php文件287行chmod($tmpname,0644);两个地方
(2) 让用户在系统里面清空cache和uploads
2. PHP safe_mode，它的主要作用是读写文件时会检查当前脚本和要读写或修改的文件属主是否一致，如果不一致就拒绝修改。
不过，如果当前脚本属主是hostuser，要删除属主是nobody的uploads目录下的文件，一旦safe_mode打开，就不能写了。
所以safe_mode默认是不打开的，
其替代方案为：
php_admin_value open_basedir /docroot 限制每个用户只能访问自己的文件。这里的docroot是程序的根目录，不是程序下的cache或uploads目录。如果不是根目录，PHP程序都无法访问。
3. (不一定能保证)所有PHP程序脚本能过滤Remote Code Execution和Local File Include攻击。否则黑客仍有可能读取config.php中的密码，或者直接读写cache或uploads目录中的内容。
cache目录中不可存放类似用户密码之类的数据。
4. expose_php设为off ,这样php不会在http文件头中泄露PHP的版本号.
Tips：Linux下默认文件和目录的mod为 文件644 目录755 （即666-22 777-22）umask 22
htdocs/hosts 目录属主也为hostuser
这样用户使用FTP上传的文件属性为hostuser（644 755）。
将FTP锁定用户在自己的主目录下。
apache以nobody运行（以独立apache用户更好），读hostuser的脚本文件。
对于要写入的目录uploads和cache，必须设定777，且循环设定其子目录。两个目录禁止脚本执行(.htaccess:php_flag engine off)。这样即使黑客上传webshell到这两个目录，也无法执行。
这样cache或uploads中的新文件的属主将是nobody
cache目录要限制对外访问。
这里存在一个问题，就是apache生成的文件和目录644和755，当proftpd以hostuser:hostuser运行时，用户是无法删除cache或uploads中的内容的。
解决方法：
(1) 在PHP程序中chmod文件和目录分别为666和777
以adodb为例，需修改adodb.inc.php文件1681行if (!mkdir($dir,0771)) 和adodb-csvlib.inc.php文件287行chmod($tmpname,0644);两个地方
(2) 让用户在系统里面清空cache和uploads
2. PHP safe_mode，它的主要作用是读写文件时会检查当前脚本和要读写或修改的文件属主是否一致，如果不一致就拒绝修改。
不过，如果当前脚本属主是hostuser，要删除属主是nobody的uploads目录下的文件，一旦safe_mode打开，就不能写了。
所以safe_mode默认是不打开的，
其替代方案为：
php_admin_value open_basedir /docroot 限制每个用户只能访问自己的文件。这里的docroot是程序的根目录，不是程序下的cache或uploads目录。如果不是根目录，PHP程序都无法访问。
3. (不一定能保证)所有PHP程序脚本能过滤Remote Code Execution和Local File Include攻击。否则黑客仍有可能读取config.php中的密码，或者直接读写cache或uploads目录中的内容。
cache目录中不可存放类似用户密码之类的数据。
4. expose_php设为off ,这样php不会在http文件头中泄露PHP的版本号.
Tips：Linux下默认文件和目录的mod为 文件644 目录755 （即666-22 777-22）umask 22
杰网资源 Design By www.escxy.com
广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）
免责声明：本站文章均来自网站采集或用户投稿，网站不提供任何软件下载或自行开发的软件！ 如有用户或公司发现本站内容信息存在侵权行为，请邮件告知！ 858582#qq.com
免责声明：本站文章均来自网站采集或用户投稿，网站不提供任何软件下载或自行开发的软件！ 如有用户或公司发现本站内容信息存在侵权行为，请邮件告知！ 858582#qq.com
杰网资源 Design By www.escxy.com
暂无评论...
《魔兽世界》大逃杀！60人新游玩模式《强袭风暴》3月21日上线
暴雪近日发布了《魔兽世界》10.2.6 更新内容，新游玩模式《强袭风暴》即将于3月21 日在亚服上线，届时玩家将前往阿拉希高地展开一场 60 人大逃杀对战。
艾泽拉斯的冒险者已经征服了艾泽拉斯的大地及遥远的彼岸。他们在对抗世界上最致命的敌人时展现出过人的手腕，并且成功阻止终结宇宙等级的威胁。当他们在为即将于《魔兽世界》资料片《地心之战》中来袭的萨拉塔斯势力做战斗准备时，他们还需要在熟悉的阿拉希高地面对一个全新的敌人──那就是彼此。在《巨龙崛起》10.2.6 更新的《强袭风暴》中，玩家将会进入一个全新的海盗主题大逃杀式限时活动，其中包含极高的风险和史诗级的奖励。
《强袭风暴》不是普通的战场，作为一个独立于主游戏之外的活动，玩家可以用大逃杀的风格来体验《魔兽世界》，不分职业、不分装备（除了你在赛局中捡到的），光是技巧和战略的强弱之分就能决定出谁才是能坚持到最后的赢家。本次活动将会开放单人和双人模式，玩家在加入海盗主题的预赛大厅区域前，可以从强袭风暴角色画面新增好友。游玩游戏将可以累计名望轨迹，《巨龙崛起》和《魔兽世界：巫妖王之怒 经典版》的玩家都可以获得奖励。