Nginx虚拟主机防Webshell安全检测程序

我们先来看下nginx.conf51Testing软件测试网%Uy*v U5D B|

  server51Testing软件测试网+S`![#Dbfn@[
  {
'K8m)H.I:gy0    listen       80;
)F+Qo1Xh!xV0    server_name  www.a.com;51Testing软件测试网y0LX)HA.Mg
    index index.html index.htm index.php;51Testing软件测试网vG6?7Z&zr
    root  /data/htdocs/www.a.com/;51Testing软件测试网3[];Z1NSiW

    #limit_conn   crawler  20;    
X:M2aj6x0                             51Testing软件测试网[.c7]/O6Ar8pK1F"kl
    location ~ .*\.(php|php5)?
-u-X~-f"pXi;n3l5K0    {      51Testing软件测试网duH[cx&v'A7I
      #fastcgi_pass  unix:/tmp/php-cgi.sock;
7n$E ze:r*u2F"a0      fastcgi_pass  127.0.0.1:9000; 51Testing软件测试网[F5s:i8~e.|O
      fastcgi_index index.php;
'kL*Six5M0      include fcgi.conf;
d7bn`C N0    }

}51Testing软件测试网.h3b e6j6N

  server
+EJj%Sq*`8mp+D0  {51Testing软件测试网9ZO4Y}0_h;gd
    listen       80;51Testing软件测试网9p"S^
\RO{+X
    server_name  www.b.com;
.H$`\o5rw R[0    index index.html index.htm index.php;

KzR:VD ]cJ%p0    root  /data/htdocs/www.b.com/;51Testing软件测试网v:Vh4i[z!g

    #limit_conn   crawler  20;    
mrb@uq i/E0                             51Testing软件测试网)k7XNc6~7Q
    location ~ .*\.(php|php5)?
i5P[6`J%Lp/Fo0    {      51Testing软件测试网6rs6E5f.Yg y].O/F
      #fastcgi_pass  unix:/tmp/php-cgi.sock;51Testing软件测试网n"p8Vvq%A'QrG
      fastcgi_pass  127.0.0.1:9000; 51Testing软件测试网
\
ZhC@
      fastcgi_index index.php;51Testing软件测试网_sLN;d?ZK#{c
      include fcgi.conf;
S Y:\ U0G6wljZ!t0    }51Testing软件测试网 @ I'dr+|z c_

}

nginx在80端口接受到访问请求后，会把请求转发给9000端口的php-cgi进行处理

而如果修改php.ini中open_basedir= ../../../../../ ，针对两个不同的网站，www.a.com , www.b.com都会把请求发送给9000处理，而如果先访问www.a.com那么../../../../../就会变成A网站的根目录地址，然后 这时候如果你访问www.b.com，那么open_basedir仍然是A网站的根目录，但是对于B来说，又是不允许访问的，所以就造成了，第二个站点 打开以后会出现no input files，那么有什么解决办法呢？51Testing软件测试网T oW-Q9YI~2|5y

我们可以把不同的虚拟主机发送到不同的php-cgi端口进行处理，当然响应的php-fpm配置文件中的open_basedir也不同。。我们来看看怎么配置。。

首先,nginx.conf配置如下

 server
%a @:LHA,vR#_m0  {
9wF-J.q6bp0    listen       80;
1K
D'g(i(d]#b0    server_name  www.a.com;51Testing软件测试网*\z jk dt}
    index index.html index.htm index.php;51Testing软件测试网0c_:FNP f1\2zF
    root  /data/htdocs/www.a.com/;

    #limit_conn   crawler  20;    51Testing软件测试网@[*~;s3L8F
                             51Testing软件测试网.oMHDz \Z.^6\T
    location ~ .*\.(php|php5)?51Testing软件测试网8I q|.ah!r
    {      51Testing软件测试网*n1tr\~ Cs
      #fastcgi_pass  unix:/tmp/php-cgi.sock;
eI/?2k9qTg:]0      fastcgi_pass  127.0.0.1:9000; 51Testing软件测试网9}n!E(pci
      fastcgi_index index.php;51Testing软件测试网3|W d4juo2W Ql
      include fcgi.conf;
JCvP7G3C5Ef6wUy0    }51Testing软件测试网RIIq4?/TN9c

}51Testing软件测试网/?bV O$r7h4SxF'Z7cR

  server51Testing软件测试网4t~;F
|n9S%Vec
  {
%^ Cy%n\z
]}Yl'M0    listen       80;51Testing软件测试网 @icpI G
z*AB
    server_name  www.b.com;
*u d!peKa0    index index.html index.htm index.php;51Testing软件测试网^g6u?vTu
    root  /data/htdocs/www.b.com/;51Testing软件测试网9S#T&DuB/oV}s8X&`

    #limit_conn   crawler  20;    
4obO$e$|r0                             
4W9l[5n%g!K,?o0    location ~ .*\.(php|php5)?51Testing软件测试网FQZ bE+g1{ K}
    {      51Testing软件测试网_FV;_$[
      #fastcgi_pass  unix:/tmp/php-cgi.sock;
3P@*i] gQe Z5C0      fastcgi_pass  127.0.0.1:9001; 
z]O }l1r ^e6`0      fastcgi_index index.php;51Testing软件测试网$n3Uf s5eg|| O
      include fcgi.conf;51Testing软件测试网q)VMxJ U
    }

}

注意:www.a.com 的请求发送到9000端口 ， www.b.com 的请求发送到9001端口，依次类推51Testing软件测试网 p\4[[$_

nginx配置修改了，相对的,php-fpm.conf也要修改

每个站点建一个conf

A站点51Testing软件测试网k"g8c#|-[ V(QBw

#cp /usr/local/webserver/php/etc/php-fpm.conf /usr/local/webserver/php/etc/www.a.com.conf51Testing软件测试网arb@!u:e2Y4c:v qt

#vi /usr/local/webserver/php/etc/www.a.com.conf

找到php_defines，添加

<value name="open_basedir">/data/htdocs/www.a.com:/tmp:/var/tmp</value>51Testing软件测试网k#v l2u3w~'Q+kd^`

 51Testing软件测试网[5[9pOf0g.b9FX
d*n

B站点

#cp /usr/local/webserver/php/etc/php-fpm.conf /usr/local/webserver/php/etc/www.b.com.conf51Testing软件测试网C7h.ohj3Q P`

#vi /usr/local/webserver/php/etc/www.b.com.conf51Testing软件测试网2m0]
e@f%EZu8o

找到php_defines，添加

<value name="open_basedir">/data/htdocs/www.b.com:/tmp:/var/tmp</value>51Testing软件测试网4A[r{)z9sW5\ d.C/H h9[

 51Testing软件测试网dgGCwH8qXQ X6s}

找到listen_address,修改为

<value name="listen_address">127.0.0.1:9001 </value>   注意这里的端口号51Testing软件测试网\K9h;f1p9X

 51Testing软件测试网/B#_UR S7y M"p

最后要修改php-fpm启动脚本51Testing软件测试网'bc5D2h(X u6Q?4k+Tm

#vi /usr/local/webserver/php/sbin/php-fpm51Testing软件测试网4\wi&Sv7R+C;{&H

 51Testing软件测试网5XKAX Fo

注释掉原来的 #php_fpm_BIN --fpm php_opts，田间

php_fpm_BIN --fpm --fpm-config /usr/local/webserver/php/etc/www.a .com.conf

php_fpm_BIN --fpm --fpm-config /usr/local/webserver/php/etc/www.b .com.conf

启动服务51Testing软件测试网"lF3Y{)Q
o$y
_

#/usr/local/webserver/php/sbin/php-fpm restart51Testing软件测试网 o.z0V-[v-s N)v^o

查看端口

#netstat -tln51Testing软件测试网"G6_J8M5GvT R#vg`

开了9000 9001分别处理两个站点请求51Testing软件测试网'ke I6w z{y\%u b0Q0C

两个php-cgi主进程加载不同的conf文件，这样就完美解决了虚拟主机webshell能跨目录的问题

当然，启动之前记得conf里面的max_children，开启php-cgi子进程数，相应要减少一些，以免造成内存不足51Testing软件测试网{];\7E:q8Uf7e'kj