Chuyển tới nội dung chính

Vô Hiệu Hóa Hàm PHP Nguy Hiểm Để Tăng Cường Bảo Mật

Giới Thiệu​

Trong thế giới phát triển web, PHP là một ngôn ngữ mạnh mẽ và phổ biến. Tuy nhiên, với sức mạnh đó là trách nhiệm bảo mật. Một số hàm PHP được thiết kế để thực hiện các tác vụ mạnh mẽ như thực thi lệnh hệ thống, truy cập file hoặc quản lý tiến trình, có thể trở thành lỗ hổng bảo mật nghiêm trọng nếu bị lạm dụng bởi kẻ tấn công. Việc vô hiệu hóa các hàm PHP nguy hiểm này là một trong những biện pháp cơ bản nhưng cực kỳ hiệu quả để tăng cường bảo mật cho máy chủ web và ứng dụng của bạn. Bằng cách hạn chế quyền truy cập vào các chức năng nhạy cảm, bạn có thể giảm thiểu đáng kể rủi ro từ các cuộc tấn công như RCE (Remote Code Execution) hoặc LFI (Local File Inclusion) khai thác các lỗ hổng trong code của ứng dụng.

📋 Thời gian: 15-20 phút | Độ khó: Cơ bản

Yêu Cầu​

Để thực hiện hướng dẫn này, bạn cần có:

  • Quyền truy cập root hoặc sudo vào máy chủ web (SSH).
  • Quyền truy cập để chỉnh sửa file cấu hình php.ini.
  • Kiến thức cơ bản về hệ điều hành Linux và lệnh terminal.
  • Hiểu biết về cấu hình máy chủ web (Apache, Nginx).

Các Bước Thực Hiện​

Bước 1: Xác định vị trí file php.ini​

File php.ini là nơi chứa tất cả các cấu hình cho PHP. Vị trí của nó có thể khác nhau tùy thuộc vào hệ điều hành và cách bạn cài đặt PHP. 💡 Mẹo: Cách nhanh nhất để tìm php.ini là tạo một file PHP đơn giản với hàm phpinfo() và truy cập nó qua trình duyệt.

<?php
phpinfo();
?>

Sau khi tạo file này (ví dụ: info.php) và truy cập qua trình duyệt, tìm dòng Loaded Configuration File để biết đường dẫn chính xác.

Hoặc, bạn có thể tìm kiếm qua terminal:

# Tìm kiếm php.ini trên hệ thống
find / -name php.ini 2>/dev/null

# Hoặc dùng lệnh php để hiển thị đường dẫn
php -i | grep "Loaded Configuration File"

Kết quả có thể trông như /etc/php/7.4/fpm/php.ini hoặc /etc/php.ini.

Bước 2: Sao lưu file php.ini​

⚠️ Cảnh báo: Trước khi thực hiện bất kỳ thay đổi nào đối với file cấu hình quan trọng, hãy luôn sao lưu nó. Điều này giúp bạn dễ dàng khôi phục lại trạng thái ban đầu nếu có lỗi xảy ra.

# Giả sử đường dẫn là /etc/php/7.4/fpm/php.ini
sudo cp /etc/php/7.4/fpm/php.ini /etc/php/7.4/fpm/php.ini.bak

Bước 3: Chỉnh sửa file php.ini để vô hiệu hóa hàm​

Mở file php.ini bằng trình soạn thảo văn bản yêu thích của bạn (ví dụ: nano hoặc vi).

# Sử dụng nano để chỉnh sửa
sudo nano /etc/php/7.4/fpm/php.ini

Tìm kiếm dòng disable_functions. Nếu không có, bạn có thể thêm nó vào cuối file hoặc trong phần [PHP] của cấu hình.

Dòng disable_functions cho phép bạn liệt kê các hàm PHP mà bạn muốn vô hiệu hóa, cách nhau bởi dấu phẩy. Dưới đây là danh sách các hàm PHP thường được coi là nguy hiểm và nên được vô hiệu hóa trong môi trường sản phẩm, trừ khi bạn thực sự hiểu rõ và có lý do chính đáng để giữ chúng:

; Danh sách các hàm PHP nguy hiểm cần vô hiệu hóa
disable_functions = exec,passthru,shell_exec,system,proc_open,proc_close,proc_terminate,proc_get_status,proc_nice,popen,pclose,symlink,link,dl,passthru,leak,apache_child_terminate,apache_setenv,define_syslog_variables,disk_free_space,disk_total_space,dl,ini_alter,ini_restore,openlog,phpinfo,posix_getpwuid,posix_kill,posix_mkfifo,posix_setpgid,posix_setsid,posix_setuid,posix_setuid,posix_uname,stream_socket_server,syslog,virtual,putenv,chown,chmod,chgrp,pcntl_exec,pcntl_fork,pcntl_signal,pcntl_waitpid,pcntl_wexitstatus,pcntl_wifexited,pcntl_wifsignaled,pcntl_wifstopped,pcntl_wstopsig,pcntl_wtermsig,socket_create_listen,socket_listen,socket_accept,socket_bind,socket_connect,socket_read,socket_write,socket_close,socket_select,socket_strerror,socket_getpeername,socket_getsockname,socket_create_pair,socket_send,socket_recv,socket_sendto,socket_recvfrom,socket_get_option,socket_set_option,socket_shutdown,mail,mb_send_mail

⚠️ Lưu ý: Danh sách trên khá toàn diện. Hãy xem xét cẩn thận các hàm bạn vô hiệu hóa, vì một số ứng dụng có thể cần một số hàm nhất định để hoạt động. Ví dụ, mail hoặc mb_send_mail là cần thiết cho các ứng dụng gửi email. Nếu ứng dụng của bạn không gửi email, hãy vô hiệu hóa chúng. Nếu có, bạn cần cân nhắc các biện pháp bảo mật khác.

Sau khi chỉnh sửa, lưu file và thoát khỏi trình soạn thảo.

Bước 4: Khởi động lại Web Server​

Để các thay đổi trong php.ini có hiệu lực, bạn cần khởi động lại dịch vụ PHP-FPM (nếu bạn sử dụng Nginx hoặc Apache với FPM) và/hoặc dịch vụ Web Server (Apache/Nginx).

# Khởi động lại PHP-FPM (ví dụ cho PHP 7.4)
sudo systemctl restart php7.4-fpm

# Khởi động lại Apache
sudo systemctl restart apache2

# Hoặc khởi động lại Nginx
sudo systemctl restart nginx

Chọn lệnh phù hợp với cấu hình máy chủ của bạn.

Bước 5: Kiểm tra việc vô hiệu hóa​

Để xác minh rằng các hàm đã được vô hiệu hóa thành công, bạn có thể sử dụng file phpinfo() đã tạo ở Bước 1. Truy cập lại file đó và tìm kiếm disable_functions. Bạn sẽ thấy danh sách các hàm đã bị vô hiệu hóa.

✅ Xác minh bằng script: Bạn cũng có thể tạo một script PHP nhỏ để kiểm tra từng hàm:

<?php
$dangerous_functions = [
    'exec', 'passthru', 'shell_exec', 'system', 'proc_open', 'popen', 'mail'
];

echo "<h2>Kiểm tra các hàm nguy hiểm:</h2>";
foreach ($dangerous_functions as $func) {
    if (function_exists($func)) {
        echo "⚠️ Hàm <b>" . $func . "</b> vẫn khả dụng!<br>";
    } else {
        echo "✅ Hàm <b>" . $func . "</b> đã bị vô hiệu hóa.<br>";
    }
}
?>

Lưu script này (ví dụ: check_functions.php) và truy cập nó qua trình duyệt. Bạn sẽ thấy trạng thái của từng hàm.

Troubleshooting​

  • Website bị lỗi hoặc không hoạt động sau khi chỉnh sửa:
    • Nguyên nhân: Có thể bạn đã vô hiệu hóa một hàm mà ứng dụng của bạn đang sử dụng, hoặc có lỗi cú pháp trong file php.ini.
    • Cách xử lý: Kiểm tra log lỗi của PHP và web server (ví dụ: /var/log/apache2/error.log hoặc /var/log/nginx/error.log, /var/log/php-fpm/error.log). Nếu là lỗi cú pháp, hãy khôi phục file php.ini từ bản sao lưu (sudo cp /etc/php/7.4/fpm/php.ini.bak /etc/php/7.4/fpm/php.ini) và khởi động lại dịch vụ. Sau đó, vô hiệu hóa từng hàm một hoặc theo nhóm nhỏ, kiểm tra sau mỗi lần thay đổi để xác định hàm gây ra lỗi.
  • Hàm vẫn hoạt động mặc dù đã chỉnh sửa php.ini:
    • Nguyên nhân: Bạn có thể đã chỉnh sửa sai file php.ini (ví dụ: có nhiều phiên bản PHP hoặc SAPI khác nhau), hoặc dịch vụ PHP/web server chưa được khởi động lại.
    • Cách xử lý: Đảm bảo bạn đã chỉnh sửa đúng file php.ini mà PHP đang sử dụng (kiểm tra lại bằng phpinfo()). Sau đó, chắc chắn rằng bạn đã khởi động lại đúng dịch vụ PHP-FPM và/hoặc web server.
  • Không tìm thấy dòng disable_functions:
    • Cách xử lý: Nếu dòng này không tồn tại, bạn có thể thêm nó vào bất cứ đâu trong phần [PHP] của file php.ini.

Kết Luận​

Việc vô hiệu hóa các hàm PHP nguy hiểm là một bước quan trọng và cần thiết để củng cố bảo mật cho môi trường máy chủ web của bạn. Bằng cách thực hiện các bước trên, bạn đã giảm thiểu đáng kể bề mặt tấn công mà kẻ xấu có thể khai thác. Đây không phải là giải pháp bảo mật duy nhất nhưng là một lớp phòng thủ cơ bản và hiệu quả.

💡 Best practices:

  • Kết hợp biện pháp này với các cấu hình bảo mật khác như open_basedir để hạn chế truy cập file của script PHP chỉ trong một thư mục cụ thể.
  • Luôn cập nhật PHP và các thư viện liên quan lên phiên bản mới nhất để vá các lỗ hổng đã biết.
  • Thường xuyên kiểm tra log lỗi và log truy cập để phát hiện các hoạt động đáng ngờ.
  • Chỉ cài đặt các extension PHP cần thiết.

Bằng cách áp dụng những thực hành tốt nhất này, bạn sẽ xây dựng một môi trường web an toàn và đáng tin cậy hơn.

Xem thêm: