مقدمه

PHP یکی از پرکاربردترین زبان‌های برنامه‌نویسی سمت سرور است و بخش بزرگی از وب‌سایت‌ها، از جمله وردپرس، لاراول و بسیاری از CMSها از آن استفاده می‌کنند. به همین دلیل، PHP یکی از اهداف اصلی مهاجمان نیز محسوب می‌شود.

تنظیمات پیش‌فرض PHP برای همه سناریوها مناسب نیستند و بهتر است پس از نصب، مجموعه‌ای از تنظیمات امنیتی روی آن اعمال شود. این فرآیند که با عنوان PHP Hardening شناخته می‌شود، باعث کاهش سطح حمله و افزایش امنیت برنامه‌های تحت وب خواهد شد.

در این مقاله مهم‌ترین تنظیمات امنیتی PHP را بررسی می‌کنیم.

بررسی نسخه PHP

ابتدا نسخه نصب‌شده را بررسی کنید:

php -v

برای مشاهده ماژول‌های نصب‌شده:

php -m

همیشه از نسخه‌ای استفاده کنید که همچنان پشتیبانی امنیتی دریافت می‌کند.

پیدا کردن فایل php.ini

محل فایل تنظیمات:

php --ini

یا:

php -i | grep php.ini

مخفی کردن نسخه PHP

در فایل php.ini مقدار زیر را تغییر دهید:

expose_php = Off

با این کار هدر X-Powered-By ارسال نخواهد شد.

غیرفعال کردن نمایش خطاها

در محیط Production نباید خطاهای PHP به کاربران نمایش داده شوند.

display_errors = Off
display_startup_errors = Off
log_errors = On

ثبت خطاها در لاگ

error_log = /var/log/php_errors.log

در صورت استفاده از PHP-FPM ممکن است مسیر لاگ متفاوت باشد.

محدود کردن دسترسی فایل‌ها

برای جلوگیری از دسترسی PHP به کل سیستم:

open_basedir = /var/www/:/tmp/

در این حالت PHP فقط به مسیرهای مشخص‌شده دسترسی خواهد داشت.

غیرفعال کردن اجرای توابع خطرناک

در بسیاری از وب‌سایت‌ها این توابع نیازی نیستند.

disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec

در صورت نیاز نرم‌افزار، قبل از غیرفعال کردن این توابع سازگاری برنامه را بررسی کنید.

غیرفعال کردن allow_url_fopen

اگر برنامه به آن نیاز ندارد:

allow_url_fopen = Off

غیرفعال کردن allow_url_include

allow_url_include = Off

محدود کردن Upload

file_uploads = On

upload_max_filesize = 20M

post_max_size = 20M

مقادیر را متناسب با نیاز وب‌سایت تنظیم کنید.

محدود کردن مصرف حافظه

memory_limit = 256M

محدود کردن زمان اجرای اسکریپت

max_execution_time = 30

محدود کردن زمان دریافت داده

max_input_time = 60

محدود کردن تعداد متغیرهای ورودی

max_input_vars = 1000

این گزینه می‌تواند از برخی حملات مبتنی بر ارسال تعداد زیاد پارامتر جلوگیری کند.

مدیریت Session

session.cookie_httponly = On

session.cookie_secure = On

session.use_strict_mode = On

اگر وب‌سایت از HTTPS استفاده می‌کند، فعال بودن session.cookie_secure توصیه می‌شود.

محدود کردن دسترسی به فایل‌های موقت

sys_temp_dir = /tmp

غیرفعال کردن اجرای PHP در پوشه Upload

اگر کاربران فایل آپلود می‌کنند، اجازه اجرای فایل PHP در آن مسیر را ندهید.

در Nginx:

location ~* ^/uploads/.*\.php$ {
    deny all;
}

در Apache:

<Directory "/var/www/html/uploads">
    php_admin_flag engine off
</Directory>

استفاده از PHP-FPM

در صورت امکان، از PHP-FPM استفاده کنید و هر وب‌سایت را با Pool جداگانه اجرا کنید تا ایزوله‌سازی و مدیریت منابع بهتر انجام شود.

بررسی تنظیمات

php -i

یا:

php -i | less

راه‌اندازی مجدد سرویس

PHP-FPM:

sudo systemctl restart php8.3-fpm

نسخه سرویس را متناسب با نسخه PHP خود تغییر دهید.

تست امنیت

پس از اعمال تنظیمات، موارد زیر را بررسی کنید:

• نسخه PHP نمایش داده نمی‌شود.
• خطاها برای کاربران نمایش داده نمی‌شوند.
• لاگ‌ها ثبت می‌شوند.
• توابع خطرناک غیرفعال شده‌اند.
• Upload مطابق نیاز محدود شده است.
• Sessionها با تنظیمات امن ایجاد می‌شوند.

بهترین روش‌ها

• PHP را همواره بروزرسانی کنید.
• فقط Extensionهای موردنیاز را نصب کنید.
• از نسخه‌های پشتیبانی‌شده استفاده کنید.
• فایل‌های آپلودی را خارج از Document Root نگهداری کنید.
• دسترسی فایل‌ها و پوشه‌ها را به‌درستی تنظیم کنید.
• از WAF مانند ModSecurity یا Imunify360 استفاده کنید.
• لاگ‌های PHP را به‌صورت منظم بررسی کنید.

اشتباهات رایج

• فعال بودن display_errors
• فعال بودن expose_php
• استفاده از نسخه منسوخ PHP
• فعال بودن توابع خطرناک بدون نیاز
• اجرای فایل‌های PHP از پوشه Upload
• نصب Extensionهای غیرضروری
• عدم بررسی لاگ‌های PHP

چک‌لیست

پس از Hardening، موارد زیر را بررسی کنید:

• PHP بروزرسانی شده است.
• نسخه PHP مخفی شده است.
• خطاها فقط در لاگ ثبت می‌شوند.
• توابع خطرناک غیرفعال شده‌اند.
• Sessionها با تنظیمات امن مدیریت می‌شوند.
• محدودیت‌های Upload و Memory اعمال شده‌اند.
• اجرای PHP در مسیرهای Upload غیرفعال شده است.

جمع‌بندی

Hardening PHP یکی از مهم‌ترین اقدامات برای افزایش امنیت وب‌سایت‌های مبتنی بر PHP است. با اعمال تنظیماتی مانند مخفی کردن نسخه PHP، غیرفعال کردن نمایش خطاها، محدود کردن دسترسی به فایل‌ها، غیرفعال کردن توابع خطرناک و استفاده از تنظیمات امن برای Sessionها، می‌توان بسیاری از حملات رایج را خنثی یا اثر آن‌ها را به‌طور قابل توجهی کاهش داد.

برای دستیابی به امنیت بیشتر، این تنظیمات را در کنار Hardening وب‌سرور، بروزرسانی منظم PHP، استفاده از WAF و پایش مداوم لاگ‌ها اجرا کنید.