使用雲主機Xoops資料夾權限設定方法(安全)

由於早期網站大多租用虛擬主機，主機商（虛擬主機）不開放 owner 權限設定。FTP 上傳的檔案都是你自己的 user，但 Apache 執行的身分是 www-data（或 nobody）。因此 Apache 無法寫入 FTP 上傳的目錄。能讓 PHP 寫入資料的唯一方法，就是把資料夾權限設為 777（完全開放）。

但現在已經 2025 年，這個方法在現代 雲主機 = 直接開大門請人入侵、請人來挖礦。

只要輸入像下面這種命令：

curl -T shell.php http://website.com.tw/uploads/

把一句話木馬丟進去。或者：

curl -X PUT -d "<xml>亂碼" http://website.com.tw/uploads/

整個 uploads 直接被毀。

好在時代進步，多數虛擬主機資料夾，只要設成 755 就能讓 PHP 正常存取（因為 suPHP 或 CageFS）。至於雲主機或 VPS，則應該使用以下方法取代 777：

設定資料夾權限(替代777方法)

chmod -R 775 /var/www/xuploads

chown -R www-data:www-data /var/www/uploads

設定檔案權限(替代777方法)

chown www-data:www-data /var/www/html/xsitemap.xml

chmod 664 /var/www/html/xsitemap.xml

這是 XOOPS 上雲後最安全 & 最正確的權限組合。
Apache 能寫、你能寫、非權限者不能寫 → 完美安全模型。

XOOPS 正確安全權限（建議清單）

目錄	權限	owner
uploads	775	www-data
xoops_data/caches	770	www-data
xoops_data/configs	770	www-data
xoops_data/data	770	www-data
xoops_data/protector	770	www-data
xoops_lib/modules/protector/configs	770	www-data

按照上述方法設定，不但 XOOPS 能正常運作，還能避免目錄遭植入木馬、被利用挖礦，這才是真正滴水不漏的防護。網站安全，人也安心。

工作心得撰寫 徐嘉裕 Neil hsu

留言

這個網誌中的熱門文章

好用的windows備份檔案dos指令XCOPY-教學撰寫:徐嘉裕Neil hsu

要快速的備份某個硬碟全部資料到備份硬碟中，雖然是可以用windows內建的備份與還原，但如果重灌windows可會有key不同而無法還原的問題，還要改一堆設定煩死了，直接用dos指令XCOPY來做檔案的複製就很快了，資料也不會丟失，好朋友可以參考看看!! 首先開啟windows所有程式->附屬應用程式->開啟命令提示字元! 然後輸入以下指令 XCOPY C:\xxx F:\xxx /s 藍字的 C:\xxx 為複製檔案來源位置例如要複製整個C槽就輸入 C:\ 綠色的 F:\xxx 為複製目的位置，例如要放到F槽的備份資料夾，就輸入 F:\ 備份紅字的 S 為複製類型參數，可以自行修改為以下的參數設定： ================================================================= /A 只複製設定成保存屬性的檔案，不要改變屬性的設定。 /M 只複製設定成保存屬性的檔案，並清除保存屬性。 /D:m-d-y 複製指定日期當天或之後變更的檔案。如果沒給日期，只複製那些來源檔案日期比目的檔案日期為新的檔案。 /EXCLUDE:file1[+file2][+file3]... 指定檔案清單字串。每個字串應在不同行。如果有字串對應到要進行複製的檔案絕對路徑的任何部分，這個檔案會被排除複製。例如，指定字串 \obj\ 或 .obj 的話，會排除所有在 obj 目錄下副檔名是.obj 的檔案複製。 /P 在建立每個目的檔案時顯示提示。 /S 複製每個目錄及其包含的子目錄，不複製空目錄。 /E 複製每個目錄及其包含的子目錄，也複製空目錄。/S 與 /E相同，能夠用來修改 /T。 /V ...

閱讀完整內容

XAMPP自行下載PHP官方PHP8.3升級方法

目前這方法只適用於Windows安裝的Xampp，可以下PHP官網的PHP8.3包進行升級，如果是LINUX安裝的LAMPP此方法不適用，可直接跳過! 因為本地端的開發環境需要更高的PHP版本來測試模組，而XAMPP官網釋出的PHP版本只有到PHP8.2，無法滿足需求，只好自己動手DIY升級了，其實方法也很簡單，說明如下： 1、先關閉Xampp Panel的Apache跟Mysql 2、前往PHP官網，下載PHP8.3包(VS16 x64 Thread Safe) 下載連結： https://windows.php.net/download#php-8.3-ts-vs16-x64 3、吧下載回來的php包放解壓縮放到php資料夾裡面(建立一個php資料夾)，然後吧Xampp根目錄中的php檔案更名，例如改為php_8.1，再吧剛剛下載建立的php資料夾放到Xampp根目錄中c:\xampp\php 4、進入php根目錄，找到php.ini-development，複製一份後改為php.ini，用文字編輯器打開進入 5、先搜尋;extension_dir，在下面加上extension_dir = "\xampp\php\ext" 6、再搜尋;extension=curl，會有下面這一排啟用套件設定將以下套件的;註解拿掉 extension=curl extension=fileinfo extension=gd extension=gettext extension=mbstring extension=exif extension=mysqli extension=openssl extension=pdo_mysql extension=pdo_sqlite extension=zip 7、最後需要吧 C:\xampp\php裡面的 libssh2.dll 複製後貼到C:\xampp\apache\bin 覆蓋舊檔再到資料夾C:\xampp\php中輸入搜尋 libcrypto-*.dll 和 libssl-*.dll 找到兩支檔，複製後貼到C:\xampp\apache\bin 覆蓋舊檔找到php.ini中的curl.cainfo，吧註解拿掉改為 curl.cainfo = "C:\xampp\php\ext...

閱讀完整內容

jQuery取得下拉選單selected中數值與內容的方法

假設選單狀態為： <select id='selectname '> <option value='v1' data-id="d1">選單A</option> <option value='v2' data-id="d2">選單B</option> <option value='v3' data-id="d3">選單C</option> </select> 以jQuery取得選單數值與內容方法如下： 1、取得下拉選單 value 數值的方法 $selectname=$('#selectname').val(); alert($selectname); //顯示選單中 selected 狀態的value數值v1 or v2 or v3。 2、取得下拉選單中 data-id 數值的方法 $data-id= $(this).find(':selected').attr('data-id'); alert($data-id); //顯示選單中 selected 狀態的data-id數值d1 or d2 or d3。 3、取得下拉選單中文字的方法 $selecttext=$(this).find(':selected').text(); alert($selecttext); //顯示選單中 selected 狀態的文字內容，如選單A or 選單B or 選單C。教學撰寫：徐嘉裕 Neil hsu

閱讀完整內容

徐嘉裕(Neil Hsu)的工作心得網誌!

搜尋此網誌