Win2000 Apache PHP MySQL 安装及安全手册

新客网 XKER.COM 2006-09-08 来源： 收藏本文

三.my.ini文件泄露口令
我们看到my.ini最后，有这两句
user=root
password=root
如果，你安装完成时，使用了mysql所提供的快速设置功能，(较新的版本)你的帐号和口令将被写到my.ini文件中。
这也是mysql写到启动组里的winmysqladmin.exe工具，运行时需要读取的。它提供的mysql服务
的一些监视功能。这样winmysqladmin.exe才能获得mysql服务的状态信息。
其实，这个也不算漏洞,我们看看my.ini默认的权限，它可以被user组用户读取。
从而导致口令被泄露
解决方法：
从新设定my.ini文件的权限.
从新设定帐号及口令
不使用快速设置
四.服务默认被绑定全部的网络接口上
服务被绑定到了所有的网络接口上，比如，你只需要一个运行在内网的mysql服务，但是你的机器有
外网的接口，mysql也会被绑定上，从而带来一些不必要的麻烦和威胁。
在my.ini里的这句
#bind-address=192.168.0.1
它默认被注销掉了
应该打开它
如果，只是本地使用，更改为
bind-address=127.0.0.1
如果是其它情况，应该选者一个合适的网络接口
五.默认安装路径下的mysql目录权限
mysql默认的安装路径为c:\\mysql，基本上都难得改，要改的话也是麻烦，还要去改my.ini。
但，这样就有个问题
通常c:\\的权限是everyone组-所有的权限。这是默认的，由于继承性，导致mysql下的data目录
也是everyone组-所有的权限。导致被随意访问、读取、删除，可能泄露和破坏数据。
更改mysql目录到一个合适，安全的访问权限。
over...
-----------------------------------------------------------------------------------------
这里面有个小小的语法错误,请自己找出来：）

setup~
3个配置文档
httpd.conf---apache
php.ini-----php
my.ini------mysql
1.http.conf
由于ms版本的apache不像*nix下有
user,group这两条指令，所以你别指望它能像iis一样，把服务器应答影射到了iusr_name账号上
*nix下为nobody，所以你的apache是以system权限来运作的,它不太适合用于架设提供个人主页服务器
httpd.conf很多参数，基本不用修改就可以工作了
以下是要修改的地方
删除htdocs目录下的所有文件.删除cgi-bin下的所有文件，它们是用于测试用的，不应该被保留.
BindAddress * --需要绑定的地址 *只所有地址
DirectoryIndex index.html index.htm --默认首页的名字
AccessFileName .htaccess --控制文件名字,建议关掉或改名字,而且以\".\"开始的文件名在windows下是不允许的
ServerSignature on --出错信息,建议off.这样就不会显示你apache的版本号了
-----------------------------------------------
Alias /manual/ \"D:/Apache/htdocs/manual/\"
<Directory \"D:/Apache/htdocs/manual\">
Options Indexes FollowSymlinks MultiViews
AllowOverride None 清除
Order allow,deny
Allow from all
</Directory>
-----------------------------------------------
AddHandler cgi-script .cgi .pl --如果需要支持cgi，就需要打开，否者注释掉

LoadModule php4_module d:/php/sapi/php4apache.dll
AddModule mod_php4.c
AddType application/x-httpd-php .php --加入对php脚本的支持
2.php.inf

engine = On --打开php支持，如果不让php工作可以engine = Off
safe_mode = Off --安全模式,应该打开它safe_mode = On
safe_mode_exec_dir = --设定安全模式下可以执行程序的目录
disable_functions = 要关闭的函数,用\",\"分隔建议关闭phpinfo,get_cfg_var
expose_php = On 建议expose_php = Off,这样在header里就不会有php的版本号
display_errors =On 建议 display_errors =Off,这样所有错误信息，都将关闭
register_globals = Off 自动全局变量,一般都要打开register_globals = On,但会引发很多

• ·MySQL之表结构修改
• ·用Apache与MySQL整合实现基本身份认证
• ·Linux中Mysql安装备份与密码恢复
• ·安全的配置和应用MySQL数据库
• ·带你轻松接触一个检测MySQL状态的脚本
• ·正确认识MySQL对服务器端光标的限制
• ·利用MySQL加密函数保护Web网站的敏感数据
• ·怎样修改MySQL中遗失的“ROOT“用户密码
• ·MySQL中值得我们注意的几个“SQL“语句
• ·MySQL数据库中的重要数据应当如何保护
• ·带你深入了解MySQL语句优化的基本原则
• ·利用“c3p0“配置数据库连接的实例脚本
• ·详细讲解MySQL数据库对文件操作的封装
• ·细化解析：怎样修改 MySQL数据库中的密码
• ·解析：怎样在MySQL中获得更好的搜索结果
• ·怎样正确的解决 MySQL 中文模糊检索问题