Web应用系统安全开发课件：PHP Web开发环境的安全部署

Web应用系统安全开发1

.

5

P

H

P

We

b

开发环境的安全部署1.

PHP

Web开发环境安全概述➢树立正确的网络安全观➢Windows操作系统的安全➢IIS服务器的安全➢PHP引擎的安全➢数据库的安全(1)更新操作系统第1步：打开控制面板→系统→更改产品密钥或升级Windows→Windows更新→检查更新2.

Windows操作系统的安全部署2.

Windows操作系统的安全部署第2步：下载并安装2.

Windows操作系统的安全部署第3步：安装完成，重新启动计算机，如下图所示，Windows系统更新完成。(2)配置审核策略及日志第1步：依次进入“控制面板”→“管理工具”→“本地安全策略”；第2步：展开“本地策略”→“审核策略”→“审核登录事件”→将其值改为“成功，失败”，“审核策略更改”→将其值改为“成功，失败”；2.

Windows操作系统的安全部署第3步：依次进入“控制面板”→“管理工具”→“事件查看器”→“Windows日志”→右击“安全”→“筛选当前日志”→将“事件来源”改为“LSA(LSA)”。2.

Windows操作系统的安全部署2.

Windows操作系统的安全部署(3)配置交互式登录第1步：依次进入“控制面板”→“管理工具”→“本地安全策略”→“本地策略”→“安全选项”，在右边的窗口里面找到“交互式登陆：不显示上次登录”选项。2.

Windows操作系统的安全部署第2步：双击将其打开，接着将其设置为“已启用”状态，最后点击“确定”按键使其生效就可以了。2.

Windows操作系统的安全部署第3步：依次进入“控制面板”→“管理工具”→“本地安全策略”→“本地策略”→“安全选项”，在右边的窗口里面找到“交互式登陆：登录时不显示用户名”选项。2.

Windows操作系统的安全部署第4步：双击将其打开，接着将其设置为“已启用”状态，最后点击“确定”按键使其生效就可以了。3.

IIS服务器的安全部署(1)创建人员帐户第1步：针对不同的维护人员来创建账户：进入“控制面板管理工具计算机管理系统工具本地用户和组”，右击“用户新用户”创建新用户。3.

IIS服务器的安全部署第2步：创建IIS自身操作用户IISOUser。3.

IIS服务器的安全部署第3步：创建IIS发布应用访问用户IISPUser。3.

IIS服务器的安全部署(2)添加授权规则第1步：为所创建账号设置权限。进入“IIS管理器网站DefaultWebSite授权规则。”3.

IIS服务器的安全部署第2步：为IISOUser账户添加允许授权规则。3.

IIS服务器的安全部署第3步：为IISPUser账户添加允许授权规则。3.

IIS服务器的安全部署(3)配置访问权限第1步：设置Web站点访问权限。进入“IIS管理器网站Default

Web

Site”，右击“编辑权限”。3.

IIS服务器的安全部署第2步：为IISOUser账户添加Web站点访问权限。在弹出的“PHP属性”窗口中，点击“共享”选项卡，再点击“共享”按钮，在下拉列表中选择指定的访问账户IISOUser，在点击“添加”，最后点击“共享”按钮。3.

IIS服务器的安全部署第3步：同样的方法，也可以为IISPUser账户添加Web站点访问权限。3.

IIS服务器的安全部署(4)设置IIS日志格式第1步：设置IIS日志格式。进入“IIS管理器网站DefaultWebSite”，在右边的窗口里面找到“日志”图标。3.

IIS服务器的安全部署第2步：双击“日志”图标，在提出的窗口中找到日志文件的“格式”下拉列表，选择“IIS”,最后点击右边的“应用”保存操作。(1)屏蔽PHP错误提示信息在C:\php8目录下，打开php.ini文件，修改“display_errors=On”为“display_errors=Off”。(2)防止PHP版本号暴露在C:\php8目录下，打开php.ini文件，修改“expose_php=On”为“expose_php=Off”。(3)PHP中的Cookie安全1)在C:\php8目录下，打开php.ini文件，设置“session.cookie_httponly=1”。2)在C:\php8目录下，打开php.ini文件，设置“session.cookie_secure=1”。4.

PHP引擎的安全部署5.

MySQL数据库的安全部署(1)升级或安装最新版本MySQL首先，去MySQL官网上查看当前的最新版本：/downloads/mysql/，如图所示。然后，查看自己计算机上当前MySQL数据库的版本号，可以在Windows程序中查看，也可以通过命令提示符(mysql–u用户名–p密码)查看。如果不是最新版本，那么安装最新版本。5.

MySQL数据库的安全部署(2)删除默认的数据库用户第1步：启动MySQL服务器C:\>netstartmysql80第2步：连接MySQL服务器C:\>mysql–u

root-p第3步：删除不用的用户帐户mysql>DELETEFROMuserWHERENOT(host=“localhost”and

user=“root”);(3)删除示例数据库首先，通过命令