drupal是目前網(wǎng)站系統(tǒng)使用較多一個(gè)開源PHP管理系統(tǒng)，架構(gòu)使用的是php環(huán)境+mysql數(shù)據(jù)庫(kù)的環(huán)境配置，drupal的代碼開發(fā)較為嚴(yán)謹(jǐn)，安全性較高，但是再安全的網(wǎng)站系統(tǒng)，也會(huì)出現(xiàn)網(wǎng)站漏洞，drupal是網(wǎng)站運(yùn)行訪問(wèn)必不可少的一個(gè)分支，為了網(wǎng)站的安全，不被攻擊者攻擊，我們要對(duì)網(wǎng)站以及服務(wù)器進(jìn)行全面的安全加固與安全設(shè)置，包括我們服務(wù)器安全設(shè)置，web安全設(shè)置，php環(huán)境安全設(shè)置，msyql數(shù)據(jù)庫(kù)安全設(shè)置，都要詳細(xì)的安全加固好，才能保障整個(gè)網(wǎng)站的安全穩(wěn)定運(yùn)行。
關(guān)于目前出現(xiàn)的drupal漏洞，我們都要對(duì)其進(jìn)行漏洞修復(fù)，以及網(wǎng)站安全加固與安全防護(hù)，對(duì)于如何修復(fù)drupal漏洞，我們應(yīng)該從最基礎(chǔ)的代碼安全入手，我們應(yīng)該從下面的幾個(gè)點(diǎn)開始：
從哪里來(lái)就應(yīng)該到哪里去，從最基礎(chǔ)的代碼入手，大多數(shù)的網(wǎng)站使用的drupal系統(tǒng)開發(fā)的，基本都會(huì)適用于下列的幾種情況，使用大多數(shù)網(wǎng)站運(yùn)營(yíng)者的一個(gè)社區(qū)開發(fā)的安全解決方案，可以對(duì)drupal系統(tǒng)進(jìn)行更好維護(hù)與升級(jí)，檢查drupal的版本為最新，完整。盡量的使用系統(tǒng)默認(rèn)的配置以及代碼，不要找第三方網(wǎng)站開發(fā)公司進(jìn)行開發(fā)與設(shè)計(jì)，默認(rèn)的一些安全屬性不要去碰，只有再不得已的情況下才開啟權(quán)限，默認(rèn)是不能開啟。網(wǎng)站的運(yùn)行權(quán)限避免使用root管理員權(quán)限，使用普通的賬號(hào)權(quán)限去運(yùn)行。定期對(duì)網(wǎng)站的系統(tǒng)進(jìn)行安全檢測(cè)與安全維護(hù)，對(duì)一些特殊的文件代碼進(jìn)行對(duì)比，經(jīng)常的安全備份代碼。對(duì)于數(shù)據(jù)庫(kù)的備份要做到每天一份，盡可能的把損失降到最低。服務(wù)器的IP可以使用CDN加速，來(lái)隱藏網(wǎng)站的真實(shí)IP，避免遭受到流量攻擊。
drupal服務(wù)器方面的安全部署，應(yīng)該從以下幾點(diǎn)開始設(shè)置，包括ssh端口的修改，使用iptables來(lái)限制端口的放行，linux系統(tǒng)都會(huì)使用root的超級(jí)管理員賬號(hào)，一些入侵者都會(huì)對(duì)服務(wù)器進(jìn)行暴力破解，用弱密碼嘗試進(jìn)行登錄服務(wù)器，對(duì)服務(wù)器的端口進(jìn)行更改，把默認(rèn)的22端口改為一些不常見的端口，還有一個(gè)就是嘗試登錄失敗的次數(shù)如果超過(guò)10次就禁止該IP登錄，需要配置linux服務(wù)器的sshd_config文件。修改root的管理員賬號(hào)密碼為12位以上，數(shù)字+大小寫字母+特殊字符組合。
1.使用iptables端口安全設(shè)置，對(duì)常用的網(wǎng)站80端口，21端口，SSH端口進(jìn)行開放。杜絕任何IP連接服務(wù)器的其他端口。像mysql數(shù)據(jù)庫(kù)的端口也要禁止掉，不要對(duì)外開放，只允許本地?cái)?shù)據(jù)庫(kù)調(diào)用。
2.網(wǎng)站文件夾的權(quán)限設(shè)置，網(wǎng)站文件權(quán)限設(shè)置為非root權(quán)限賬戶進(jìn)行允許，對(duì)于網(wǎng)站的目錄只有普通賬戶以及root賬戶才有修改權(quán)限，普通權(quán)限的賬號(hào)無(wú)法對(duì)服務(wù)器的系統(tǒng)目錄進(jìn)行修改，查看，寫入。
3.刪除一些不常用的web服務(wù)器組件與插件，盡可能的縮減到最少，這樣才是最安全的。對(duì)網(wǎng)站的訪問(wèn)方式啟用https,SSL綠色證書訪問(wèn)模式，加強(qiáng)網(wǎng)站的加密方式，用戶輸入的賬號(hào)密碼，以及注冊(cè)的資料，都會(huì)以SSL加密的方式進(jìn)行傳輸，保障用戶的數(shù)據(jù)安全。
4.drupal的代碼文件權(quán)限設(shè)置一下，將配置文件settings.php設(shè)置為只讀權(quán)限，包括模塊文件夾，以及模板文件夾，都設(shè)置為只讀，如果需要更改就開放只讀權(quán)限，對(duì)于一些drupal使用到的緩存文件夾，以及session文件都需要開發(fā)寫入權(quán)限，去掉腳本PHP執(zhí)行權(quán)限。
5.drupal的網(wǎng)站漏洞修復(fù)，檢查官網(wǎng)的補(bǔ)丁升級(jí)，以及最新版本，后臺(tái)可以更新到最新版本，以及單獨(dú)的漏洞補(bǔ)丁包到官方網(wǎng)站去下載，經(jīng)常去檢查，去查看。關(guān)于durpal數(shù)據(jù)庫(kù)的安全部署我們放到下一篇文章里去講，先讓大家消化一下，安全也不是一下子就能做好的，需要慢慢消化，積累到自己的安全經(jīng)驗(yàn)中去。
聯(lián)系客服
