Запрет доступа PHP: настройки безопасности и права

Расширенные примеры и результаты

Пример 1: Блокировка PHP только для определённых расширений (кроме .php7, .phtml)

# .htaccess
<FilesMatch "\.(php|phtml|php3|php4|php5|php7|phps)$">
    Order Deny,Allow
    Deny from all
</FilesMatch>

Результат: любой запрос к файлам с указанными расширениями вернёт 403. Если нужно разрешить, например, .php7, его нужно исключить из шаблона.

Пример 2: Использование PHP-опции auto_prepend_file для блокировки

Можно определить скрипт, который будет выполняться перед каждым PHP-запросом и проверять, разрешена ли директория:

; php.ini или .user.ini
auto_prepend_file = /var/www/block.php

Содержимое block.php:

<?php
$restricted_dirs = ['/var/www/uploads', '/var/www/cache'];
$script_dir = dirname($_SERVER['SCRIPT_FILENAME']);
foreach ($restricted_dirs as $dir) {
    if (strpos($script_dir, $dir) === 0) {
        http_response_code(403);
        die('Access denied');
    }
}

Результат: при попытке выполнить скрипт из /var/www/uploads/test.php браузер получит 403 Forbidden.

Пример 3: Блокировка PHP через расширение Suhosin

Suhosin - патч для PHP с дополнительными возможностями блокировки. Пример конфигурации:

; php.ini
extension=suhosin.so
suhosin.executor.func.blacklist = "exec,system,passthru"
suhosin.executor.eval.blacklist = "include,require"
suhosin.mail.protect = 2

Результат: вызов указанных функций завершится ошибкой, даже если они не указаны в disable_functions. Также Suhosin добавляет защиту от атак типа null byte.

Пример 4: Запрет доступа к PHP через Nginx с проверкой IP

Разрешить выполнение PHP только для определённых IP-адресов администраторов:

location ~ \.php$ {
    allow 192.168.1.0/24;
    allow 10.0.0.1;
    deny all;
    include fastcgi_params;
    fastcgi_pass unix:/var/run/php/php7.4-fpm.sock;
}

Результат: PHP-скрипты выполняются только для пользователей из указанных подсетей. Остальные получают 403.

Пример 5: Блокировка PHP с помощью PHP-расширения disable_classes

Можно полностью запретить использование определённых классов (например, для отключения доступа к PDO):

; php.ini
disable_classes = "PDO,PDOStatement,ReflectionClass"

Результат: любой код, пытающийся создать экземпляр PDO, вызовет фатальную ошибку.

Пример 6: Ограничение доступа через .user.ini в подкаталогах

Создайте файл .user.ini в каталоге /var/www/private:

; /var/www/private/.user.ini
open_basedir = "/var/www/private"
disable_functions = exec, system, ini_set

Результат: все PHP-скрипты внутри private будут видеть только свою директорию и не смогут менять настройки через ini_set.

Пример 7: Комплексная блокировка через mod_rewrite в Apache

Перенаправлять все запросы к .php на статическую страницу, но разрешить только index.php:

RewriteEngine On
RewriteCond %{REQUEST_URI} \.php$
RewriteCond %{REQUEST_URI} !^/index\.php$
RewriteRule .* /forbidden.html [R=403,L]

Результат: любой запрос к любому PHP-файлу, кроме index.php, будет перенаправлен на 403.

Пример 8: Использование PHP-FPM pool с ограничениями

В конфигурации пула PHP-FPM можно установить лимиты на ресурсы и заблокировать некоторые функции через php_admin_value:

[secured]
user = www-data
group = www-data
pm = dynamic
pm.max_children = 5
php_admin_value[disable_functions] = exec,system
php_admin_value[open_basedir] = /var/www/secured

Результат: все скрипты в этом пуле работают с ограниченными правами, не могут выполнять системные команды и видят только свою директорию.

Пример 9: Блокировка через .htaccess с использованием mod_authz_core (Apache 2.4+)

<FilesMatch \.php$>
    Require all denied
</FilesMatch>

Результат: все PHP-файлы закрыты. Чтобы открыть конкретный файл, используйте <Files "file.php"> Require all granted </Files>.

Пример 10: Проверка конфигурации после изменений

Для проверки, какие директивы включены, создайте скрипт info.php с phpinfo() и временно разместите в тестовом каталоге. После тестов удалите.

<?php phpinfo(); ?>

Посмотрите раздел Configuration File (php.ini) Path и disable_functions.