php安全配置之expose_php=Off|on详解

烈火大地 · 发表于 2019-8-2 20:54:36

默认情况下在php.ini文件中的expose_php = On，即开启的意思，那么这个expose_php到底有什么作用呢，简单的说就是否显示php的版本号。在开发环境中或测试环境中设置为expose_php=on一点问题也没有，在正式的网站服务器上，通常建议将其设置为expose_php=off，原因是这样可以防止攻击者针对特定php版本漏洞进行网站攻击，在网站的前台查看一个网站使用的php版本还是非常简单的，将其设置为off之后则前端网页上就不会显示php版本了。

我们经常会在一个http头里发现这样的信息：

X-Powered-By:PHP/5.2.11

PHP的版本号暴露无疑，攻击者很容易捕获到此信息，要想解决此问题我们只要如下配置

;;;;;;;;;;;;;;;;;
; Miscellaneous ;
;;;;;;;;;;;;;;;;;
; Decides whether PHP may expose the fact thatit is installed on the server
; (e.g. by adding its signature to the Webserver header). It is no security
; threat in any way, but it makes it possibleto determine whether you use PHP
; on your server or not.
; http://php.net/expose-php
expose_php = On

复制代码

该配置项默认为On，需要修改为Off即：

expose_php = Off

复制代码

这样才是正确的设置。

[服务器] php安全配置之expose_php=Off|on详解

相关帖子