Discuz安装前安全规范

简介:
建议在机房部署的时候后端机器起码2台作容灾,运维侧nginx反向代理至后端处理,可以参考下如下的nginx相关配置供测试,Discuz的安全相关的东西以下提出了些,供参考:
Discuz安装前安全规范 
1、须从Discuz官网下载最新版本的安装包;
2、Discuz论坛代码上传到服务器解压后,将全部文件和目录属主改为root或其他属主(必须与webserver属主不同),目的是为了防止黑客获得webserver的权限后,对程序文件进行恶意篡、放置后门等;
3、将Discuz论坛代码中的全部目录权限设置为755,将Discuz论坛代码中的全部文件权限设置为644;
4、确保数据库与discuz不在同一台机器上,做好DB分离,后端机器不能只有单台; 
5、删除Discuz根目录下的crossdomain.xml文件,如需要此文件,必须限制到具体域名; 
6、删除./static/image/common/mp3player.swf 文件; 
7、Discuz根目录下./api/目录中不需要的外部接口需删除; 
8、禁止论坛管理后台和UC管理后台外网访问; 
9、禁止Discuz根目录下./data目录解析php,并且php、sql文件不能被下载; 
10、禁止Discuz根目录下./uc_server/data ./uc_client/data/目录解析php,并且php文件不能被下载; 

11、禁止Discuz根目录下的conf目录及目录中的文件被外网访问;禁止访问Discuz论坛目录下的.bak备份文件; 
12、禁止Discuz根目录下./api/uc.php文件外网访问; 
13、删除/uc_server/control/app.php; 
14、安装好论坛后,需删除install目录; 
安装好Discuz后,需对Discuz配置文件中的部分配置项进行修改,对论坛进行安全加固,加固点如下:
1. 设置founder = '1' 
2. 设置forcesecques = '1' 
3. 设置checkip = 1 
4. 设置runquery = '0' 
5. 设置dbimport = 0 
6. 设置urlxssdefend = 1 
7. 设置attackevasive = '0' 
PHP配置相关:  
1. 配置open_basedir项为网站目录;
2. 禁用危险函数disable_functions disable_functions=
dl,eval,assert,exec,popen,system,passthru,shell_exec,escapeshellarg,escapeshellcmd,proc_close,proc_open
(部分Discuz!版本正常运行需要eval,assert两个函数,如果有问题,上述禁用函数可以去掉这两个) ;
3. 关闭全局变量register_globals;
4. 开启magic_quotes_gpc ;
5. 安全模式safe_mode ;
6. 关闭错误消息提示display_errors ;

7. 禁止访问远程文件allow_url_fopen,allow_url_include;



本文转自 boy461205160 51CTO博客,原文链接:http://blog.51cto.com/461205160/1732888

相关文章
|
5月前
|
前端开发 PHP
Magento 和 WordPress 的区别
Magento 和 WordPress 的区别
46 1
|
PHP
thinkphp获取当前的环境信息
thinkphp获取当前的环境信息
71 0
|
PHP
thinkphp获取当前服务器系统环境
thinkphp获取当前服务器系统环境
111 0
|
数据库
Discuz如何开发关注功能(1)
Discuz如何开发关注功能
249 0
Discuz如何开发关注功能(1)
|
数据库
Discuz如何开发关注功能(2)
Discuz如何开发关注功能
107 0
Discuz如何开发关注功能(2)
|
PHP
如何使用沙箱测试手机网站(php版)
说明: 本帖是利用支付宝沙箱测试手机网站支付接口,demo中会配置个人的沙箱账号信息,方便大家测试。  测试环境:Apache2.4.23 +php 5.6.25 测试流程 1.下载php官方demo:点击下载 注意:运行环境要求 (php5.
473 0
|
PHP
如何使用沙箱测试电脑网站(php版)
说明:   本帖是利用支付宝沙箱测试电脑网站支付接口,demo中会配置个人的沙箱账号信息,方便大家测试。   测试环境:Apache2.4.23 +php 5.6.25  测试流程   1.下载php官方demo:下载地址 注意:运行环境要求   2.
731 0
|
Apache 安全 搜索推荐
Magento开发的特点有哪些?
这个现代化的,模块化的架构降低了复杂性和维护网站的成本。他的升级也很简单,因为他是开源的,这意味着你可以将创新性的功能整合进去。通过magento电商平台来实现每季更高的销售和更高的效率。
1671 0
|
数据安全/隐私保护
Magento开发有哪些功能呢?
电子商务系统的数据是企业的商业机密。 Magento支持SSL加密传输前台和后台数据并且支持后台权限的分级控制,确保您的数据万无一失。
1677 0
|
应用服务中间件 Apache nginx
LNMP环境中WordPress程序伪静态解决方案
LNMP环境是目前我们国内站长使用的Linux VPS配置环境中使用较多的。作为新手我们很可能会看到老左类似的"LNMP安装教程"然后依葫芦画瓢的去安装VPS。我们是否有发现环境中我们较为常用的wordpress伪静态不生效,内页出现404错误页面。
2092 0