马上注册,结交更多好友,享用更多功能,让你轻松玩转社区。
您需要 登录 才可以下载或查看,没有帐号?注册
x
8 C' p' T# y, u) A
" _9 h5 ~4 c0 k) V; Mhttps://security.tencent.com/index.php/blog/msg/17
. l4 @4 v) L* ]3 \# h4 ] _% \
" A, J( P& m6 y7 }$ y( r, X& e% J" ~+ _* M4 [
前言
, ]5 T+ a _3 P* C; w Discuz是康盛公司推出的一套通用社区论坛软件系统,用户可以在不需要任何编程基础上,通过简单的设置和安装,在互联网上搭建起具有完善功能、高负载、高定制的论坛。Discuz是一个经过完善设计,适用于各种服务器环境的高效论坛系统解决方案。
7 t. \1 Y$ }$ z) ^1 l 由于Discuz的安装和管理极其方便,许多企业管理员并未对他的安全风险有相应的了解;Discuz作为开源软件,历史上被发现若干安全漏洞,极容易导致服务器被入侵。
/ j) |# y" Y2 g( u/ `- H& ` 出于工作需要,笔者经常会接触到公司的各类Discuz论坛,对Discuz的安全问题十分关注,这里给大家分享一些关于discuz论坛防护的方案,希望能给广大企业用户提供帮助。
- z0 z) G3 n2 D0 m# N, D3 @ Discuz论坛管理大致分为服务器安全加固、网站安全加固、日常管理三个方面的内容,以下是详细的实施方案可供参考。 2 }0 U V5 ^! L h9 @' R/ N
服务器安全加固
8 \: }& `! I9 Z! U' b! _& W! [确保网站安全首先要保证服务器各项组件的安全,如discuz服务器的一般组件有Apache、php、mysql等,确保这些第三方软件安全有如下一些原则: , K7 Y2 y6 I* ~- ~) L
1、权限最小化 ( @) E' ~$ F$ ]" Y; V+ m
a) Webserver及数据库服务均以非root权限启动; 8 z5 K1 p0 C( r+ x+ p5 P* f$ A
b) 文件属主与webserver进程属主不同(一般设置文件的属主为root) ' y# P. P) {" \! m# [/ z& G9 t) P6 H
c) 确保discuz网站的目录和文件权限最小化。 目录权限除必须为777的目录外,其他目录权限须设置为755文件权限除必须为777的文件外,其他文件权限须设置为644d) 数据库与webserver不在同一台机器上
) S6 e/ H; S" L) u. B$ K: J: he) 可写的目录没有执行脚本权限,可执行脚本权限的目录不可写。 常见可写目录为:./config、./data、./uc_client/data/、./uc_server/data/常见不可解析php的目录为:./data/、diy、template、attachment、./install/images、forumdata、images在apache中配置不允许执行php权限如下:<Directory "/discuz/data/"> php_flag engine off <Files ~ ".php"> Order allow,deny Deny from all </Files></Directory>f) 控制脚本仅允许访问网站文件 在php.ini中配置open_basedir项为网站目录
! E2 ~+ H# i1 N2、默认选项需要加固 , H. m7 r/ _8 K4 T
a) 删除默认webserver页面3 _6 ]) e) S7 F7 [3 o
如apache需要删除icons和manual两个目录b) 禁用php危险函数 在php.ini配置:disable_functions=exec,popen,system,passthru,shell_exec,escapeshellarg,escapeshellcmd,proc_close,proc_open
8 |( j+ U2 |4 L1 _; h2 f3、敏感信息不显示 a) 关闭webserver的目录浏览功能
& g# z% U3 M9 v- I, H( MApache配置文件中的目录配置项的“Indexes”删除或者改为“-Indexes”b) 关闭php的错误消息显示
4 h' b5 C1 Q& J' q5 X$ Q Php配置:display_errors = Off
" W, e D* k' \7 P8 T( L1 g, J% D4、开启日志记录 a) 开启webserver的日志记录功能; `" _0 j1 x* e
CustomLog /www/logs/access_log common8 s' q$ }$ ^1 I6 S9 q; E
b) 开启php的错误日志记录功能0 \; \& j) l" t" @
log_errors = Onerror_log = D:/usr/local/apache2/logs/php_error.log注意:该文件必须允许apache用户的和组具有写的权限) R/ U% g. K7 X& g9 x0 t% J. ^
5、实施ip策略 $ f7 k2 Q' ~& f, _; R
a) 数据库仅开放在内网 0 H" v _3 C. M, v: y2 V0 T2 G9 l* r
b) 不允许任意ip连接数据库
' P1 D: v# F1 c( r$ M+ tc) Iptables禁止所有的非法连接
7 W% f8 i4 ?' l3 xd) 管理目录仅允许内网访问 # p; m6 Q6 I" {5 Q; l/ K7 a
网站安全加固
0 ?) P* D5 Z+ A1 e服务器足够安全只是网站安全的前提,确保网站安全大致有如下措施:
* E6 u: B3 m2 i3 b# I1、账户安全
6 J H s( I- s- t$ N; K* s& Va) 用户密码需要加密存储* r2 p$ Y% v3 H
b) 用户密码需要采用密文的形式在网络上传输 5 y6 y5 Y8 a1 o4 U) S, k& R4 b8 F
2、后台管理 4 B% i- c8 q# d5 W4 V+ P- @) t
a) 后台管理界面需要使用双因子确保管理员的合法性。常见的因子如(ip策略、token、用户密码)等。 ; S/ D2 y: `0 v, V- v
3、业务配置 ! c. Z* k0 p5 I; U! u. w: V
a) 针对discuz业务特性,在安装的时候会删除不必要的插件 api目录(外部接口)里的以下功能如果不使用可以删除Db目录 ---> UCenter数据库备份接口google---google引擎使用Javascript目录 ---> 数据和广告的js调用Trade目录 ---> 在线支付接口Manyou目录 ---> 漫游和云平台使用Discuz! X1.5关闭个人空间方式:修改文件 source/module/home/home_space.php,搜索如下代码:$do=(!empty($_GET['do'])&&in_array($_GET['do'], $dos))?$_GET['do']:'index';下面添加如下代码: if(in_array($do, array('home', 'doing', 'blog', 'album', 'share', 'wall'))) {showmessage('抱歉,家园功能尚未开启', 'forum.php');}Discuz! X2关闭个人空间方式:后台->全局->站点功能->功能模块(是否开启家园功能,点否即可关闭)c) 检查crossdomain.xml文件,限制到特定的域名或者将此文件删除。 6 s- h6 I8 G& l4 b& {. ?
d) 遵循Discuz常见安全配置 1、forumfounders= '1'论坛创始人UID,建议只有一个创始人。2、论坛防御级别配置attackevasive = 0 (由于会影响用户,这里默认是0,如果遭到 攻击,可以自行尝试1,2,4,8的配置)论坛防御级别,可防止大量的非正常请求造成的拒绝服务攻击。3、urlxssdefend = 1论坛访问页面防御开关。4、admincp['forcesecques'] = 1管理人员必须设置安全提问才能进入系统设置,0=否,1=是【安全】。5、admincp['checkip'] = 1后台管理操作是否验证管理员的 IP,1=是【安全】,0=否。6、admincp['tpledit'] = 0 (这项针对discuz! 7.2的安全配置)是否允许在线编辑论坛模板 1=是 0=否【安全】。7、admincp['runquery'] = 0是否允许后台运行SQL语句1=是,0=否【安全】。8、admincp['dbimport'] = 0是否允许后台恢复论坛数据 1=是 0=否【安全】。详细说明请参考:http://faq.comsenz.com/viewnews-924: S D$ c) O: c5 d( P
3 p0 b" ?* _" F g( O5 \: @+ n1 a) [日常管理 * L/ C+ ^+ q& V! W7 d
1、 所有的第三方软件均需要使用最新版本,确保安全。
, @; o5 `# k4 J0 b+ M2、 关注所用到的第三方软件的安全信息,及时更新补丁或升级。如dz论坛容易出现nginx的解析漏洞 在PHP的配置文件php.ini中配置cgi.fix_pathinfo = 0,防止nginx文件解析漏洞3、 关注官方发布的安全信息。' \3 J: k0 Q+ ?9 r
http://www.discuz.net/forum-10-1.html " O3 h/ a0 O$ i$ k5 c
4、 dz论坛统一管理。统一化的管理可以高效的对discuz论坛进行更新、维护,避免出现各个管理员对安全信息掌握不一致的问题。 # [0 h5 N6 O2 p/ J
5、 增加dz的网站风险检测系统,24扫描dz站点,及时掌握dz的安全状况 / k$ @3 y3 b8 u/ q, ~- N0 b
6、 增加漏洞收集渠道,更好的掌握自身产品的安全漏洞。 1 ^; v) ?& D; |0 W
作为普通网站的管理人员,通常需要遵循服务器安全加固中的1,2,3,4四点、网站安全加固的1,2两点、及日常管理的1,2,3三点用于确保网站的安全性。
; f7 x' h) L U$ |2 ? 中小型企业若使用到discuz论坛可以参考网站安全加固的业务配置选项,更好的防御discuz论坛。
$ }8 Z/ U8 o& T- o/ n& D" C" F 对于人力不足或在短期内迫切需要提升网站安全性的管理人员来说,推荐使用安全宝(http://anquanbao.com/)或加速乐(http://www.jiasule.com/)的一键安全防护功能。 & ?8 Y9 k# Z4 C% z0 N) c& w
! p0 ^& w x- \% n0 k
& M+ B T0 G2 N2 p
转载请保留当前帖子的链接:https://www.beimeilife.com/thread-41672-1-1.html 谢谢 |