对于web站点来说安全优化无非以下几点：

1､远程连接到服务器执行命令

2､网站页面被修改或被上传木马文件

临时存储目录，如 /tmp，/var/tmp和/dev/shm等，往往是恶意程序袭击的目标。黑客们在执行攻击的时候，往往将可执行程序放置于该目录之下。恶意用户一般也利用这些临时存储目录执行自己的恶意程序，从而发起对线上系统的破解和攻击。

由于/tmp目录时系统运行必备的目录，那么怎么增强该目录的安全性，尽可能减少系统潜在危险呢？

例如博客站点

1)站点目录权限设置

f644  d755  root root

对于上传目录可以设置为：

f644 d755 www www

2)使上传的文件无法运行

我们可以在挂载时添加参数：`nodev nosuid noexec`

1.挂载时为/tmp分区添加nodev/nosuid/noexec选项

编辑/etc/fstab文件

vi /etc/fstab

找到/tmp挂载目录的相关配置

例如chris hill当前系统的配置如下

UUID=9abc328b9-3d22-4224-acd6-c48d7b4d3aa4 /tmp   ext4    defaults      1 2

将nodev,nosuid,noexec选项增加到第四列defaults参数的后面

UUID=9abc328b9-3d22-4224-acd6-c48d7b4d3aa4 /tmp   ext4   defaults,nodev,nosuid,noexec   1 2

2.挂载时为/dev/shm文件系统添加nodev/nosuid/noexec选项

与第1步的/tmp类似，编辑/etc/fstab

tmpfs  /dev/shm  tmpfs  defaults,nodev,nosuid,noexec 0 0

3.有关/var/tmp设置

有些系统需要使用到/var/tmp目录。

建议设置/var/tmp和/tmp目录同步。

编辑/etc/fatab文件

/tmp /var/tmp none rw,noexec,nosuid,nodev,bind 0 0

4.无需重启系统，使配置生效

设置 /var/tmp 映射到 /tmp 目

mount -o rw,noexec,nosuid,nodev,bind /tmp/ /var/tmp/

重新挂载/tmp目录

mount -o remount,noexec,nosuid,nodev /tmp

重新挂载/dev/shm设备

mount -o remount,noexec,nosuid,nodev /dev/shm

5.查看结果

mount

mount | egrep –color -w ‘^(tmpfs|/tmp)|/tmp’

Tips

你也可以创建一个类似于/tmpfile/tmpfile.bin的文件，通过挂载该文件作为应用程序运行的临时存储空间。

例如

/tmpfile/tmpfile.bin  /tmp ext4  rw,noexec,nosuid,nodev,bind  0 0

3)只让网站上传指定类型的文件

location  /uploads  {
	if ( $request_uri !~ \.(zip|jpg)$  ) {
	 return 403; 	
	}
}

find /code/wordpress/   -type f |grep -v '/wp-content/uploads' |xargs md5sum

Linux下的木马常常是恶意者通过Web的上传目录的方式来上传木马到Linux服务器的，可根据从恶意者访问网站开始–>Linux系统–>HTTP服务–>中间件服务–>程序代码–>DB–>存储，层层设卡防护。

从用户访问角度来说

1. 开发程序代码对上传文件类型做限制，例如不能上传.php程序（JS及后端代码控制）。
2. 对上传的内容（包括文本和文件）检测，检测方式可通过程序、Web服务层（中间件层）、数据库等层面控制。
3. 控制上传目录的权限以及非站点目录的权限（Linux文件目录权限+Web服务层控制）。
4.  传上木马文件后的访问和执行控制（Web服务层+文件系统存储层）。
5. 对重要配置文件、命令和WEB配置等文件做md5指纹及备份。
6. 安装杀毒软件clamav等，定期监测查杀木马。
7.  配置服务器防火墙及入侵检测服务。
8. 监控服务器文件变更、进程变化、端口变化、重要安全日志并及时报警。

从内部管理人员角度：防止被提权

1. ***管理服务器或Web化管理服务器。
2. ssh监听内网。
3. 采用跳板机、操作审计。
4. sudo集权管理、锁定关键文件。
5. 站点目录、上传目录权限属组控制。
6. 做系统及站点文件备份指纹监控报警。
7. 动态口令认证。