网站服务器有效防御PHP木马攻击的实用方法

首先，我们来介绍最基础的防护措施——防止PHP脚本越权访问Web目录之外的资源。许多新手开发者习惯将所有文件放置在同一个目录中，然而，一旦存在漏洞，攻击者就能利用路径遍历漏洞向上越权。如何堵住这个安全缺口？关键在于修改Apache的配置文件 httpd.conf。假设您的Web根目录为 /usr/local/apache/htdocs，则添加以下配置：

    php_admin_value open_basedir /usr/local/apache/htdocs

这样一来，任何PHP脚本尝试读取Web目录以外的文件时，都会被立即拦截。如果开启了错误显示，您将看到类似如下的警告信息：

Warning: open_basedir restriction in effect. File(...) is not within the allowed path(s)

切勿小看这一配置，它能够有效阻挡大量低级别的攻击尝试。

接下来，需要防范PHP木马自身执行恶意代码。最直接的方法是在 php.ini 中启用安全模式（safe_mode），将其值设置为 On。如果担心影响性能，也可以结合 disable_functions 指令使用。

safe_mode = On
; 或
disable_functions = exec, system, passthru, shell_exec, popen, proc_open

两者任选其一即可，当然同时启用更加稳妥。不过需要注意的是，安全模式在PHP 7中已被废弃，若您使用的是较新版本，则应重点关注 disable_functions 和 open_basedir 配置。

接下来是第三层防护——阻止PHP木马对文件或目录的读写操作。同样在 php.ini 中，找到 disable_functions，将那些可能被利用的危险文件操作函数全部禁用：

disable_functions = file_get_contents, file_put_contents, fwrite, fputs, chmod, chown, mkdir, rmdir, unlink, rename, copy, symlink, link

配置完成后，绝大多数PHP木马的写文件、修改权限、删除目录等恶意操作都将失效。不过代价也很明显：依赖文本数据库（例如某些轻量级CMS使用的平面文件存储）的程序将无法正常运行。这需要您根据实际需求进行权衡。

完成以上三步后，大部分PHP木马将难以对您的系统造成威胁。但如果您运行在Windows平台上，还有一个容易被忽略的重大隐患：Apache默认以System权限运行——这相当于为攻击者提供了一把万能钥匙，风险极高。务必为Apache降低权限。

具体方法是创建一个不属于任何用户组的低权限账户，例如命名为 apache。然后打开系统服务管理器，找到Apache服务，右键属性，进入“登录”选项卡，选择“此账户”，输入刚创建的账户名和密码，最后重启服务。完成即可。

更加精细的做法是：为每个网站目录单独设置读写用户，将Apache限制在仅能操作其必要的文件夹。目前许多虚拟主机提供商正是采用这种配置——当然，为了防范PHP木马做到如此细致，可能有些大材小用，但如果您希望彻底安心，这无疑是最稳妥的方案。