centos下php-fpm如何进行安全加固

在CentOS系统下，对PHP-FPM进行安全加固是非常重要的，以下是一些常见的安全加固措施：

1. 更新系统和软件

确保你的CentOS系统和PHP-FPM都是最新版本，以修复已知的安全漏洞。

sudo yum update -y
sudo yum install epel-release -y
sudo yum install php-fpm php-mysqlnd php-gd php-mbstring php-xml php-pear php-bcmath -y

2. 配置PHP-FPM

编辑PHP-FPM的配置文件 /etc/php-fpm.d/www.conf 或 /etc/php-fpm.conf，进行以下配置：

2.1 用户和组

确保PHP-FPM以非特权用户和组运行，通常使用 www-data 或 apache。

user = www-data
group = www-data

2.2 监听模式

使用Unix socket而不是TCP/IP，以提高安全性。

listen = /run/php-fpm/www.sock
listen.owner = www-data
listen.group = www-data
listen.mode = 0660

2.3 进程管理

限制PHP-FPM进程的数量和行为。

pm = dynamic
pm.max_children = 50
pm.start_servers = 5
pm.min_spare_servers = 5
pm.max_spare_servers = 35

2.4 安全选项

启用一些安全选项，如 request_terminate_timeout 和 security.limit_extensions。

request_terminate_timeout = 30s
security.limit_extensions = .php .php3 .php4 .php5 .php6 .phtml

3. 配置防火墙

使用 firewalld 或 iptables 配置防火墙，限制对PHP-FPM端口的访问。

使用firewalld

sudo firewall-cmd --permanent --zone=public --add-service=http
sudo firewall-cmd --permanent --zone=public --add-service=https
sudo firewall-cmd --reload

使用iptables

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 9000 -j ACCEPT
sudo iptables-save

4. 禁用不必要的PHP模块

编辑 /etc/php.d/ 目录下的配置文件，禁用不必要的PHP模块。

sudo nano /etc/php.d/10-opcache.ini
zend_extension=opcache.so
opcache.enable=1
opcache.memory_consumption=128
opcache.interned_strings_buffer=8
opcache.max_accelerated_files=4000
opcache.revalidate_freq=60

5. 使用HTTPS

确保你的网站使用HTTPS，可以通过配置SSL证书来实现。

安装Certbot

sudo yum install certbot python2-certbot-apache -y

获取SSL证书

sudo certbot --apache -d yourdomain.com -d www.yourdomain.com

6. 定期备份

定期备份你的PHP-FPM配置文件和网站文件，以防止数据丢失。

sudo tar -czvf /backup/php-fpm-config.tar.gz /etc/php-fpm.d/www.conf
sudo tar -czvf /backup/website-files.tar.gz /var/www/html

7. 监控和日志

启用详细的日志记录，并设置监控系统来检测异常行为。

error_log = /var/log/php-fpm/error.log
access.log = /var/log/php-fpm/access.log

使用工具如 fail2ban 来防止暴力破解攻击。

sudo yum install fail2ban -y
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

通过以上步骤，你可以显著提高CentOS系统下PHP-FPM的安全性。记得定期检查和更新你的安全配置，以应对新的威胁。