Discuz 教程：论坛安全加固

针对 discuz 的安全加固如下：

1 、在 nginx 入口上对 data|images|config|static|source|template 这几个可以上传的目录里的 php 文件禁止访问 。 （更安全一点就是列出放行的，其他全部禁止。）

按照以上的配置，即使出现上传漏洞，上传到了上面配置的几个目录 php 文件，也会报 403 出错无法执行。更安全的做法是，放行部分，其余全部禁止，例如：

不过上面只是一个示例，根目录下的 php 文件，我此处并未列全。而且还有一个问题就是，每次有新的版本发布，如果目录结构变列或者根目录新增 php 文件，都要相应的修改 nginx 的安全配置。

2 、优化 nginx 和 php-fpm 程序运行用户。例如，该用户为 www，让 www 用户没有家目录，没有 shell，无法登陆。 nginx 和 php-fpm 程序是通过 root 内部调用切换到 www 用户。类似于 mysql 的启动。具体增加语句如下：

useradd www -d /dev/null -s /sbin/nologin

如果感觉还不够安全，可以再利用 chroot 和 sudo 等程序，限制 www 用户所能访问的目录和可以调用的命令。

3 、目录权限控制。除了 discuz 下的 data 目录有写的权限，取消所有其他目录的写权限。

该步，我看到网上有列出执行的 shell 命令为：

不过按这样的 shell 语句执行是有警告的，具体所报内容如下：

find: warning: you have specified the -maxdepth option after a
non-option argument -type, but options are not positional (-maxdepth
affects tests specified before it as well as those specified after it).
Please specify options before other arguments.

规范的写法是：

注：上面的' -maxdepth 4 ' 也是可以取消的。

对目录设置完成后，还要对文件配置权限：

find . -type f -exec chmod 444  {} ;

#设置论坛目录的文件只可读，然后设置那些需要写的文件，一般只有 data 下的文件是可以的。

find data -type f -exec chmod 755 {} ;

#设置 data 文件为 755

4 、禁止 php 相关函数的调用及跨站。在 php.ini 文件中开启以下两项

以上主要是对系统层面的调用函数全部禁止 。

5 、将该 KVM 机进行隔离。和其他主机无法连接。

该步骤配置是有条件的，在有 KVM 环境的条件，可以将各个应用之间利用 KVM 进行隔离。 web 访问模式为 物理机 iptables nat ——KVM 虚拟机 或 web 入口——物理机 iptables nat ——KVM 虚拟机 。

6 、数据库控制。

在 mysql 新建用户时，一是适当分配给用户所需的权限，二是要在创建用户时最好能限定来源 IP 。例如：