Web应用系统安全开发课件：PHP Web开发环境的安全部署.pptx

Web应用系统安全开发

1.5PHPWeb开发环境的安全部署;

1.PHPWeb开发环境安全概述

?树立正确的网络安全观

?Windows操作系统的安全

?IIS服务器的安全

?PHP引擎的安全

?数据库的安全;

(1)更新操作系统

第1步：打开控制面板→系统→更改产品密钥或升级Windows→Windows更新→检查更新;

2.Windows操作系统的安全部署

第2步：下载并安装;

2.Windows操作系统的安全部署

第3步：安装完成，重新启动计算机，如下图所示，Windows系统更新完成。;

(2)配置审核策略及日志

第1步：依次进入“控制面板”→“管理工具”→“本地安全策略”；

第2步：展开“本地策略”→“审核策略”→“审核登录事件”→将其值改为“成功，失败”，“审核策略更改”→

将其值改为“成功，失败”；;

第3步：依次进入“控制面板”→“管理工具”→“事件查看器”→“Windows日志”→右击“安全”→“筛选当前

日志”→将“事件来源”改为“LSA(LSA)”。;

2.Windows操作系统的安全部署

(3)配置交互式登录

第1步：依次进入“控制面板”→“管理工具”→“本地安全策略”→“本地策略”→“安全选项”，在右边的窗口里面找到“交互式登陆：不显示上次登录”选项。;

2.Windows操作系统的安全部署

第2步：双击将其打开，接着将其设置为“已启用”状态，最后点击“确定”按键使其生效就可以了。;

2.Windows操作系统的安全部署

第3步：依次进入“控制面板”→“管理工具”→“本地安全策略”→“本地策略”→“安全选项”，在右边的窗口里面找到“交互式登陆：登录时不显示用户名”选项。;

2.Windows操作系统的安全部署

第4步：双击将其打开，接着将其设置为“已启用”状态，最后点击“确定”按键使其生效就可以了。;

3.IIS服务器的安全部署

(1)创建人员帐户

第1步：针对不同的维护人员来创建账户：进入“控制面板管理工具计算机管理系统工具本地用户和组”，右击“用户新用户”创建新用户。;

3.IIS服务器的安全部署

第2步：创建IIS自身操作用户IISOUser。;

3.IIS服务器的安全部署

第3步：创建IIS发布应用访问用户IISPUser。;

3.IIS服务器的安全部署

(2)添加授权规则

第1步：为所创建账号设置权限。进入“IIS管理器网站DefaultWebSite授权规则。”;

3.IIS服务器的安全部署

第2步：为IISOUser账户添加允许授权规则。;

3.IIS服务器的安全部署

第3步：为IISPUser账户添加允许授权规则。;

3.IIS服务器的安全部署

(3)配置访问权限

第1步：设置Web站点访问权限。进入“IIS管理器网站DefaultWebSite”，右击“编辑权限”。;

3.IIS服务器的安全部署

第2步：为IISOUser账户添加Web站点访问权限。在弹出的“PHP属性”窗口中，点击“共享”选项卡，再点击“共享”按钮，在下拉列表中选择指定的访问账户IISOUser，在点击“添加”，最后点击“共享”按钮。;

3.IIS服务器的安全部署

第3步：同样的方法，也可以为IISPUser账户添加Web站点访问权限。;

3.IIS服务器的安全部署

(4)设置IIS日志格式

第1步：设置IIS日志格式。进入“IIS管理器网站DefaultWebSite”，在右边的窗口里面找到“日志”图标。;

3.IIS服务器的安全部署

第2步：双击“日志”图标，在提出的窗口中找到日志文件的“格式”下拉列表，选择“IIS”,最后点击右边的“应用”保存操作。;

(1)屏蔽PHP错误提示信息

在C:\php8目录下，打开php.ini文件，修改“display_errors=On”为“display_errors=Off”。

(2)防止PHP版本号暴露

在C:\php8目录下，打开php.ini文件，修改“expose_php=On”为“expose_php=Off”。

(3)PHP中的Cookie安全

1)在C:\php8目录下，打开php.ini文件，设置

“session.cookie_httponly=1”。

2)在C:\php8目录下，打开php.ini文件，设置“session.cookie_secure=1”。;

5.MySQL数据库的安全部署

(1)升级或安装最新版本MySQL

首先，去MySQL官网上查看