使用雲主機Xoops資料夾權限設定方法(安全)

由於早期網站大多租用虛擬主機，主機商（虛擬主機）不開放 owner 權限設定。FTP 上傳的檔案都是你自己的 user，但 Apache 執行的身分是 www-data（或 nobody）。因此 Apache 無法寫入 FTP 上傳的目錄。能讓 PHP 寫入資料的唯一方法，就是把資料夾權限設為 777（完全開放）。

但現在已經 2025 年，這個方法在現代 雲主機 = 直接開大門請人入侵、請人來挖礦。

只要輸入像下面這種命令：

curl -T shell.php http://website.com.tw/uploads/

把一句話木馬丟進去。或者：

curl -X PUT -d "<xml>亂碼" http://website.com.tw/uploads/

整個 uploads 直接被毀。

好在時代進步，多數虛擬主機資料夾，只要設成 755 就能讓 PHP 正常存取（因為 suPHP 或 CageFS）。至於雲主機或 VPS，則應該使用以下方法取代 777：

設定資料夾權限(替代777方法)

chmod -R 775 /var/www/html/uploads

chown -R www-data:www-data /var/www/html/uploads

設定檔案權限(替代777方法)

chown www-data:www-data /var/www/html/xsitemap.xml

chmod 664 /var/www/html/xsitemap.xml

這是 XOOPS 上雲後最安全 & 最正確的權限組合。
Apache 能寫、你能寫、非權限者不能寫 → 完美安全模型。

XOOPS 正確安全權限（建議清單）

目錄	權限	owner
uploads	775	www-data
xoops_data/caches	770	www-data
xoops_data/configs	770	www-data
xoops_data/data	770	www-data
xoops_data/protector	770	www-data
xoops_lib/modules/protector/configs	770	www-data

按照上述方法設定，不但 XOOPS 能正常運作，還能避免目錄遭植入木馬、被利用挖礦，這才是真正滴水不漏的防護。網站安全，人也安心。

工作心得撰寫 徐嘉裕 Neil hsu

留言

這個網誌中的熱門文章

好用的windows備份檔案dos指令XCOPY-教學撰寫:徐嘉裕Neil hsu

要快速的備份某個硬碟全部資料到備份硬碟中，雖然是可以用windows內建的備份與還原，但如果重灌windows可會有key不同而無法還原的問題，還要改一堆設定煩死了，直接用dos指令XCOPY來做檔案的複製就很快了，資料也不會丟失，好朋友可以參考看看!! 首先開啟windows所有程式->附屬應用程式->開啟命令提示字元! 然後輸入以下指令 XCOPY C:\xxx F:\xxx /s 藍字的 C:\xxx 為複製檔案來源位置例如要複製整個C槽就輸入 C:\ 綠色的 F:\xxx 為複製目的位置，例如要放到F槽的備份資料夾，就輸入 F:\ 備份紅字的 S 為複製類型參數，可以自行修改為以下的參數設定： ================================================================= /A 只複製設定成保存屬性的檔案，不要改變屬性的設定。 /M 只複製設定成保存屬性的檔案，並清除保存屬性。 /D:m-d-y 複製指定日期當天或之後變更的檔案。如果沒給日期，只複製那些來源檔案日期比目的檔案日期為新的檔案。 /EXCLUDE:file1[+file2][+file3]... 指定檔案清單字串。每個字串應在不同行。如果有字串對應到要進行複製的檔案絕對路徑的任何部分，這個檔案會被排除複製。例如，指定字串 \obj\ 或 .obj 的話，會排除所有在 obj 目錄下副檔名是.obj 的檔案複製。 /P 在建立每個目的檔案時顯示提示。 /S 複製每個目錄及其包含的子目錄，不複製空目錄。 /E 複製每個目錄及其包含的子目錄，也複製空目錄。/S 與 /E相同，能夠用來修改 /T。 /V ...

閱讀完整內容

XAMPP自行下載PHP官方PHP8.3升級方法

目前這方法只適用於Windows安裝的Xampp，可以下PHP官網的PHP8.3包進行升級，如果是LINUX安裝的LAMPP此方法不適用，可直接跳過! 因為本地端的開發環境需要更高的PHP版本來測試模組，而XAMPP官網釋出的PHP版本只有到PHP8.2，無法滿足需求，只好自己動手DIY升級了，其實方法也很簡單，說明如下： 1、先關閉Xampp Panel的Apache跟Mysql 2、前往PHP官網，下載PHP8.3包(VS16 x64 Thread Safe) 下載連結： https://windows.php.net/download#php-8.3-ts-vs16-x64 3、吧下載回來的php包放解壓縮放到php資料夾裡面(建立一個php資料夾)，然後吧Xampp根目錄中的php檔案更名，例如改為php_8.1，再吧剛剛下載建立的php資料夾放到Xampp根目錄中c:\xampp\php 4、進入php根目錄，找到php.ini-development，複製一份後改為php.ini，用文字編輯器打開進入 5、先搜尋;extension_dir，在下面加上extension_dir = "\xampp\php\ext" 6、再搜尋;extension=curl，會有下面這一排啟用套件設定將以下套件的;註解拿掉 extension=curl extension=fileinfo extension=gd extension=gettext extension=mbstring extension=exif extension=mysqli extension=openssl extension=pdo_mysql extension=pdo_sqlite extension=zip 7、最後需要吧 C:\xampp\php裡面的 libssh2.dll 複製後貼到C:\xampp\apache\bin 覆蓋舊檔再到資料夾C:\xampp\php中輸入搜尋 libcrypto-*.dll 和 libssl-*.dll 找到兩支檔，複製後貼到C:\xampp\apache\bin 覆蓋舊檔找到php.ini中的curl.cainfo，吧註解拿掉改為 curl.cainfo = "C:\xampp\php\ext...

閱讀完整內容

Ubuntu22.04分拆安裝(Apache / PHP / MySQL/ phpMyAdmin)的方法

為了應對越來越頻繁的資安通報，解決方案就是用PPA各別安裝Apache / PHP / MySQL/ phpMyAdmin套件，這樣如果遇到資安通報可立即升級修補漏洞，確保系統安全，晚上也好睡覺，以下是分拆安裝(Apache / PHP / MySQL/ phpMyAdmin)的安裝方法步驟說明：備註說明：如果是學校雲主機未啟用 IPv6，建議於先停用 IPv6，不然安裝流程會卡死【Ubuntu 永久停用 IPv6（全系統 IPv4 優先）】建立設定檔 sudo tee /etc/sysctl.d/99-disable-ipv6.conf <<EOF net.ipv6.conf.all.disable_ipv6 = 1 net.ipv6.conf.default.disable_ipv6 = 1 net.ipv6.conf.lo.disable_ipv6 = 1 EOF 套用設定 sudo sysctl -p /etc/sysctl.d/99-disable-ipv6.conf 驗證 cat /proc/sys/net/ipv6/conf/all/disable_ipv6 如果回 1 ，表示 IPv6 已完全關閉。這樣就能吧 IPv6關閉避免影響套件下載與安裝流程步驟1. 安裝Apache/PHP 為了取得Apache官網最新版本及PHP最新版本，這裡使用 Ondřej Surý 的 PPA套件 ※輸入以下指令下載PPA套件 sudo apt update sudo apt install -y software-properties-common sudo add-apt-repository -y ppa:ondrej/apache2 sudo add-apt-repository -y ppa:ondrej/php 備註：如發生add-apt-repository timeout 110無法安裝PPA，請參考這篇解決方案! ※安裝 Apache 2.4.XX最新版（包含 OpenSSL） sudo apt install -y apache2 apache2-utils ssl-cert openssl ※確認 Apache 版本及是否安裝 apache2 -v 應該會顯示： S...

閱讀完整內容

徐嘉裕(Neil Hsu)的工作心得網誌!

搜尋此網誌