eval() ：将字符串作为PHP代码来进行评估。攻击者常常利用该函数来隐藏其在服务器本身上面的代码和工具。你可以配置PHP，禁用eval()。
sea-surf攻击（跨站请求伪造，CSRF）：这种攻击迫使最终用户针对目前已验证其身份的Web应用程序执行有害的操作。如果是平常的用户，得逞的CSRF攻击会危及最终用户的数据和操作。但如果被盯上的最终用户使用管理员帐户，这会危及整个Web应用程序。
第2个设置项：查找内置的PHP模块
想查看一组编译进去的PHP模块，请输入以下命令：
# php -m
我建议你使用模块数量减少的PHP，以增强性能和安全。比如说，你可以通过删除（移除）配置文件或者更名（或移动）一个名为/etc/php.d/sqlite3.ini的文件来禁用sqlite3模块，操作如下：
#rm/etc/php.d/sqlite3.ini
或者
#mv/etc/php.d/sqlite3.ini /etc/php.d/sqlite3.disable
其他编译进去的模块只能通过重新安装精简配置的PHP来移除。可以从php.net下载php源代码，然后按以下方法编译它，支持GD、fastcgi和mysql：
./configure --with-libdir=lib64 --with-gd --with-mysql --prefix=/usr --exec-prefix=/usr --bindir=/usr/bin --sbindir=/usr/sbin --sysconfdir=/etc --datadir=/usr/share --includedir=/usr/include --libexecdir=/usr/libexec --localstatedir=/var --sharedstatedir=/usr/com --mandir=/usr/share/man--infodir=/usr/share/info--cache-file=../config.cache --with-config-file-path=/etc --with-config-file-scan-dir=/etc/php.d --enable-fastcgi --enable-force-cgi-redirect
参阅如何编译php，并重新安装到类似Unix的操作系统上（http://www.php.net/manual/en/install.unix.php），以了解更多信息。
第3个设置项：限制PHP信息泄露
要限制PHP信息泄露，就要禁用expose_php。编辑/etc/php.d/secutity.ini，执行以下指令：
expose_php=Off
启用后，expose_php向外界报告PHP安装在服务器上，这包括HTTP头里面的PHP版本（如X-Powered-By： PHP/5.3.3）。PHP标识的全局唯一标识符（GUID，见示例http://www.php.net/?=PHPE9568F34-D428-11d2-A769-00AA001ACF42）也显示出来，因而将它们添加到支持PHP的网站的URL后面，就会显示相应标识。expose_php启用后，你可以使用以下命令，查看PHP版本：
$curl-I //www.jb51.net
示例输出：
HTTP/1.1 200 OK
X-Powered-By: PHP/5.3.3
Content-type: text/html; charset=UTF-8
Vary:accept-Encoding, Cookie
X-Vary-Options: Accept-Encoding;list-contains=gzip,Cookie;string-contains=wikiToken;string-contains=wikiLoggedOut;string-contains=wiki_session
last-Modified: Thu, 03 Nov 2011 22:32:55 GMT
...
内容版权声明：除非注明，否则皆为本站原创文章。