有没办法禁止 PHP 列出 Linux 根目录？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

V2EX 提问指南

这是一个创建于 3924 天前的主题，其中的信息可能已经有所发展或是发生改变。

Ubuntu Server 的根目录，系统安装完后大部分文件与目录权限为：drwxr-xr-x
因为是任何人可读，导致 PHP 可以列出根目录并下载任何人可读的文件
有没有可能限制PHP禁止读取根目录？

12 条回复 • 1970-01-01 08:00:00 +08:00

lichao

2014-02-10 09:51:03 +08:00

这个应该去设置 Apache 什么的，跟 PHP 似乎没关系

yangqi

2014-02-10 09:56:25 +08:00

php禁止读取根目录了那还怎么执行目录下的php文件?

andybest

2014-02-10 09:56:29 +08:00

@lichao 我的意思是，我自建一个用户用于run php，然后禁止这个php列出根目录的权限

andybest

2014-02-10 09:57:13 +08:00

@yangqi 有道理。。。我想能否禁止列出比如 /etc/ 这样比较敏感的目录？

lichao

2014-02-10 10:01:53 +08:00

@andybest 哦，我理解错了

yangqi

2014-02-10 10:14:32 +08:00

@andybest 默认php应该是运行在www-data之类的用户下面吧,这样的话应该是只能读取apache的www目录下的文件的

andybest

2014-02-10 10:21:17 +08:00

@yangqi 不是的，只要权限为：drwxr-xr-x 的PHP都可以读取，最简单的验证方法是下一个php文件管理器，在里面改变目录为/后看看

yangqi

2014-02-10 10:27:43 +08:00

@andybest 好吧...不过这个要求很怪, 你是对你自己写的代码没有信心,没有安全感么?

andybest

2014-02-10 10:35:43 +08:00

@yangqi 是对一些 PHP 程序不信任，做最坏的假设比如他就是个文件管理器（木马），让它运行在我服务器上仍然可以将其权限限制在其目录中，不会造成很大影响

sarices

2014-02-10 10:38:27 +08:00

open_basedir

andybest

2014-02-10 11:08:42 +08:00

@sarices 非常感谢，原来 PHP 已经有解决我这个问题的方案了，给你 32 个赞：）

wzzyj8

2014-02-10 11:21:13 +08:00

open_basedir不够完全，单用这一个设置完全可以被绕过，网上绕过open_basedir的方法有很多。顺手应该禁用掉一些函数，比如：
http://blog.robotshell.org/2013/php-disable-functions/
http://www.cnblogs.com/chengmo/archive/2010/07/08/1773859.html

如果是apache虚拟主机的话最好是用上suExec/suPHP之类的来进行隔离。

如果是Nginx的话，可以参考这里：
http://www.howtoforge.com/php-fpm-nginx-security-in-shared-hosting-environments-debian-ubuntu