確保安全使用LAMP開源開發工具的四步曲
圖-LAMP
確保安全使用LAMP開源開發工具的四步曲
任何暴露在互聯網上的服務器需要對安全問題特別注意，對于動態Web服務器來說，由于其復雜性這一點顯得更加突出。間接破壞的風險是非常高的。今天很多有組織的計算機犯罪一般利用計算機系統的漏洞，惡意軟件正是欺騙、欺詐和盜竊等破壞行為的入口之一。它們一般不會攻入你的系統來傷害它們，而是悄悄的盜竊數據并把它們發送到全球范圍內的僵尸網絡中。
一、PHP安全問題嚴重
PHP超文本標記語言是導致LAMP不安全的主犯。相對很多主流編程語言，它還比較年輕，它誕生于1997年，依然在向前發展中。PHP所存在的問題主要是三方面：與生俱來的設計缺陷、缺乏經驗的程序員和從不打補丁或升級PHP的缺乏維護網站。
當你了解了PHP底層的東西后，你會發現它不是一個非常嚴謹的語言，其中充滿了混亂和矛盾。命名約定、語法和大小寫敏感全不一致。它的內置功能中有許多是多余的，實現著非常相似但不完全相同的任務，而且它在文檔化方面又做的相當差，因此很多人不確定哪一個功能是實現什么操作。如果不了解其令人痛苦的詳細信息，很容易導致程序員在編程中犯錯。
PHP看似非常容易學習。從一方面來講它的確如此;你可以在幾個小時以內就學會如何搭建起一個動態網站。但是要真正理解它的不安全因素潛伏的地方以及如何處理它們，可能要花費你數年的時間。其中最常見的安全漏洞之一就是未經驗證的輸入問題——所有的用戶輸入應該是不被信任的，但是PHP在這方面沒有多少工具來幫助實現這個操作，因此你不得不編寫自己的驗證程序。
當你通過使用Apache的mod_php來將PHP作為一個模塊運行的時候，PHP會繼承Apache進程的所有信任。因此，所有可以被Apache讀寫的事情同樣也可以被PHP讀寫，這意味著一個成功的PHP漏洞會直接被引入到Apache和所有相關的程序中。在一個只有少數用戶的簡單站點上使用mod_php是沒有問題的，但是在一個具有多個用戶的共享系統中，它就是帶來破壞的導火索，因為所有的腳本運行在相同的Apache用戶下。一個可行的選擇是在suEXEC或CGIWrap下運行PHP。這些情況同樣適用于諸如Perl、Python和Ruby等腳本語言。
現在還有眾多網站依然運行在PHP3和PHP4之上，而且有更多的從來沒有應用一個補丁修復或安全更新。PHP5在2004年發布，而PHP3則要回溯到1998年。是的，這是一種非常愚蠢和危險的事情，但是，更新到新PHP版本幾乎意味著要進行大量的代碼重寫工作。更有趣的是Apache、PHP和MySQL的版本兼容問題，你必須選擇同時選擇正確的可以互相兼容的版本，否則它們沒法一起配合使用。有一些方法可以實現輕松的全新安裝，諸如XAMMP和Ubuntu的LAMP安裝包。但是有趣的是，當你嘗試更新你的系統的時候，它們不能保持同步。
在我個人觀點看來，你最好使用Perl、Python或Ruby語言，雖然在前端編程所花費的時間似乎要多一些，但是卻會省去了很多安全和維護之憂。
#p#
二、加固MySQL安全
MySQL是當前最為流行的開源數據庫之一，我們可以通過一些基本步驟來加固MySQL數據庫的安全性。
1、MySQL數據庫只允許被同主機上的PHP使用;
2、禁止對數據庫的匿名訪問;
3、MySQL數據庫應該在被改變了默認根目錄下的環境運行，在一個虛根(chroot)環境下的特殊組和用戶下運行MySQL;
4、創建一個強壯的系統管理員密碼，不會被別人輕易猜到，并定期修改密碼;
5、刪除你不需要的所有服務，諸如示例數據庫和表，以及任何測試的數據庫和表。
以上只是簡單的幾條安全建議，著名的安全公司Security Focus具有一個非常優秀的MySQL數據庫安全指南(http://www.securityfocus.com/infocus/1726)。該篇文章是一個系列文章中的一部分，同樣還包括加強Apache和PHP安全性的鏈接。另外，MySQL參考手冊(http://dev.mysql.com/doc/index.html)中也有關于安全的很好的章節。另外，安全公司Security Focus強烈推薦使用chroot安全環境。
#p#
三、加固Apache服務器
客觀來說，Apache Web服務器已經是一個非常安全的產品，但是即使一個好的工具也只有會合理的用它，才能發揮它的最大作用。以下是一些可以參考的建議。
1、隱藏Apache的版本號和其他敏感信息;
2、確保Apache以其自身的用戶賬號和組運行;
3、關閉目錄瀏覽;
4、禁止Apache遵循符號鏈接;
5、關閉任何不必要的模塊;
6、所有敏感的會話，諸如用戶登錄或任何用戶輸入等，都需要通過OpenSSL來進行保護。
關于加固Apache安全性的最好文章之一是：http://httpd.apache.org/docs/2.0/misc/security_tips.html。
#p#
四、通過SELinux或AppArmor來加固整體安全
SELinux全稱是Security Enhanced Linux，由美國國家安全部領導開發的GPL項目，它擁有一個靈活而強制性的訪問控制結構，旨在提高Linux系統的安全性，提供強健的安全保證，可防御未知攻擊。
在Fedora Linux中有一個非常好的預置SELinux策略，其中包括一個Apache策略，還有一個圖形化的管理工具system-config-selinux。我不是說它使用起來非常簡單，但是通過使用它比你完全手動設置要容易的多。
在Novell的企業版SUSE Linux中包含一個叫AppArmor的工具，也很值得關注。使用它，你可以為通用操作系統和應用軟件預定義的策略，包括Apache Web服務器、Postfix郵件服務器、Sendmail郵件服務器、OpenSSH、squid、ntpd、nscd等，據說它比使用SELinux更加簡單，關于兩者誰更好一直存在爭論。
#p#
總結
盡管你運行的是一個具有很好安全性的Linux或Unix操作系統，你也不能對安全問題大意。無論在哪兒總會有潛在的威脅，尤其是現在有組織的計算機犯罪已經發現了互聯網的力量。基本安全常識應該堅持應用，另外你還需要相應的技巧和經驗。搭建一個簡單的測試實驗室是非常容易且無需多少投資的，而且有很多觸手可及的文檔或幫助來輔助你實現這一點。Linux安全的未來在于像SELinux和AppArmor之類的工具，而不是我們已經熟悉的針對已經發現的威脅再作響應的方法(亡羊補牢式的防護)，像SELinux和AppArmor之類的工具可以幫助你防護未知的安全威脅。
通過文章的分析，我們能從四點中找出LAMP的安全問題并解決它，希望本文對你們有用！
【編輯推薦】
- Linux將繼續留在LAMP中
- 當開源LAMP遭遇WindowsAMP
- Java有能力抵擋LAMP的進攻嗎
- 解讀WAMP和LAMP:從對立到融合
- 搭建lamp系統環境部署及調整
- 史上最全的LAMP環境的搭建
- 我的LAMP筆記
