中文字幕日韩精品一区二区免费_精品一区二区三区国产精品无卡在_国精品无码专区一区二区三区_国产αv三级中文在线

成都網(wǎng)站建設(shè)給你們講解下pHp開發(fā)的安全問題

2023-11-07    分類: 網(wǎng)站建設(shè)

php給了開發(fā)者極大的靈活性,但是這也為安全問題帶來了潛在的隱患,近期需要總結(jié)一下以往的問題,在這里借翻譯一篇文章同時加上自己開發(fā)的一些感觸總結(jié)一下。

簡介

當(dāng)開發(fā)一個互聯(lián)網(wǎng)服務(wù)的時候,必須時刻牢記安全觀念,并在開發(fā)的代碼中體現(xiàn)。pHp腳本語言對安全問題并不關(guān)心,特別是對大多數(shù)沒有經(jīng)驗的開發(fā)者來說。每當(dāng)你講任何涉及到錢財事務(wù)等交易問題時,需要特別注意安全問題的考慮,例如開發(fā)一個論壇或者是一個購物車等。

安全保護(hù)一般性要點

  • 不相信表單

對于一般的Javascript前臺驗證,由于無法得知用戶的行為,例如關(guān)閉了瀏覽器的javascript引擎,這樣通過pOST惡意數(shù)據(jù)到服務(wù)器。需要在服務(wù)器端進(jìn)行驗證,對每個php腳本驗證傳遞到的數(shù)據(jù),防止XSS攻擊和SQL注入

  • 不相信用戶

要假設(shè)你的網(wǎng)站接收的每一條數(shù)據(jù)都是存在惡意代碼的,存在隱藏的威脅,要對每一條數(shù)據(jù)都進(jìn)行清理

  • 關(guān)閉全局變量

在php.ini文件中進(jìn)行以下配置:

register_globals = Off

如果這個配置選項打開之后,會出現(xiàn)很大的安全隱患。例如有一個process.php的腳本文件,會將接收到的數(shù)據(jù)插入到數(shù)據(jù)庫,接收用戶輸入數(shù)據(jù)的表單可能如下:

<input name="username" type="text" size="15" maxlength="64">

這樣,當(dāng)提交數(shù)據(jù)到process.php之后,php會注冊一個$username變量,將這個變量數(shù)據(jù)提交到process.php,同時對于任何pOST或GET請求參數(shù),都會設(shè)置這樣的變量。如果不是顯示進(jìn)行初始化那么就會出現(xiàn)下面的問題:

<?php

// Define $authorized = true only if user is authenticated

if (authenticated_user()) {

$authorized = true;

}

?>

此處,假設(shè)authenticated_user函數(shù)就是判斷$authorized變量的值,如果開啟了register_globals配置,那么任何用戶都可以發(fā)送一個請求,來設(shè)置$authorized變量的值為任意值從而就能繞過這個驗證。

所有的這些提交數(shù)據(jù)都應(yīng)該通過pHp預(yù)定義內(nèi)置的全局?jǐn)?shù)組來獲取,包括$_pOST、$_GET、$_FILES、$_SERVER、$_REQUEST等,其中$_REQUEST是一個$_GET/$_pOST/$_COOKIE三個數(shù)組的聯(lián)合變量,默認(rèn)的順序是$_COOKIE、$_pOST、$_GET。

  • 推薦的安全配置選項

error_reporting設(shè)置為Off:不要暴露錯誤信息給用戶,開發(fā)的時候可以設(shè)置為ON

safe_mode設(shè)置為Off

register_globals設(shè)置為Off

將以下函數(shù)禁用:system、exec、passthru、shell_exec、proc_open、popen

open_basedir設(shè)置為 /tmp ,這樣可以讓session信息有存儲權(quán)限,同時設(shè)置單獨的網(wǎng)站根目錄

expose_php設(shè)置為Off

allow_url_fopen設(shè)置為Off

allow_url_include設(shè)置為Off

SQL注入攻擊

對于操作數(shù)據(jù)庫的SQL語句,需要特別注意安全性,因為用戶可能輸入特定語句使得原有的SQL語句改變了功能。類似下面的例子:

$sql = "select * from pinfo where product = '$product'";

此時如果用戶輸入的$product參數(shù)為:

39'; DROp pinfo; SELECT 'FOO

那么最終SQL語句就變成了如下的樣子:

select product from pinfo where product = '39'; DROp pinfo; SELECT 'FOO'

這樣就會變成三條SQL語句,會造成pinfo表被刪除,這樣會造成嚴(yán)重的后果。

這個問題可以簡單的使用pHp的內(nèi)置函數(shù)解決:

$sql = 'Select * from pinfo where product = '"'

mysql_real_escape_string($product) . '"';

防止SQL注入攻擊需要做好兩件事:

對輸入的參數(shù)總是進(jìn)行類型驗證

對單引號、雙引號、反引號等特殊字符總是使用mysql_real_escape_string函數(shù)進(jìn)行轉(zhuǎn)義

但是,這里根據(jù)開發(fā)經(jīng)驗,不要開啟php的Magic Quotes,這個特性在php6中已經(jīng)廢除,總是自己在需要的時候進(jìn)行轉(zhuǎn)義。

防止基本的XSS攻擊

XSS攻擊不像其他攻擊,這種攻擊在客戶端進(jìn)行,最基本的XSS工具就是防止一段javascript腳本在用戶待提交的表單頁面,將用戶提交的數(shù)據(jù)和cookie偷取過來。

XSS工具比SQL注入更加難以防護(hù),各大公司網(wǎng)站都被XSS攻擊過,雖然這種攻擊與php語言無關(guān),但可以使用php來篩選用戶數(shù)據(jù)達(dá)到保護(hù)用戶數(shù)據(jù)的目的,這里主要使用的是對用戶的數(shù)據(jù)進(jìn)行過濾,一般過濾掉HTML標(biāo)簽,特別是a標(biāo)簽。下面是一個普通的過濾方法:

function transform_HTML($string, $length = null) {

// Helps prevent XSS attacks

// Remove dead space.

$string = trim($string);

// prevent potential Unicode codec problems.

$string = utf8_decode($string);

// HTMLize HTML-specific characters.

$string = htmlentities($string, ENT_NOQUOTES);

$string = str_replace("#", "#", $string);

$string = str_replace("%", "%", $string);

$length = intval($length);

if ($length > 0) {

$string = substr($string, 0, $length);

}

return $string;

}

這個函數(shù)將HTML的特殊字符轉(zhuǎn)換為了HTML實體,瀏覽器在渲染這段文本的時候以純文本形式顯示。如<strong>bold</strong>會被顯示為:

&lt;strong&gt;boldText&lt;/strong&gt;

上述函數(shù)的核心就是htmlentities函數(shù),這個函數(shù)將html特殊標(biāo)簽轉(zhuǎn)換為html實體字符,這樣可以過濾大部分的XSS攻擊。

但是對于有經(jīng)驗的XSS攻擊者,有更加巧妙的辦法進(jìn)行攻擊:將他們的惡意代碼使用十六進(jìn)制或者utf-8編碼,而不是普通的ASCII文本,例如可以使用下面的方式進(jìn)行:

<a href="http://host/a.php?variable=%22%3e %3c%53%43%52%49%50%54%3e%44%6f%73%6f%6d%65%74%68%69%6e%67%6d%61%6c%69%63%69%6f%75%73%3c%2f%53%43%52%49%50%54%3e">

這樣瀏覽器渲染的結(jié)果其實是:

<a href="http://host/a.php?variable="> <SCRIpT>Dosomethingmalicious</SCRIpT>

這樣就達(dá)到了攻擊的目的。為了防止這種情況,需要在transform_HTML函數(shù)的基礎(chǔ)上再將#和%轉(zhuǎn)換為他們對應(yīng)的實體符號,同時加上了$length參數(shù)來限制提交的數(shù)據(jù)的大長度。

使用SafeHTML防止XSS攻擊

上述關(guān)于XSS攻擊的防護(hù)非常簡單,但是不包含用戶的所有標(biāo)記,同時有上百種繞過過濾函數(shù)提交javascript代碼的方法,也沒有辦法能完全阻止這個情況。

目前,沒有一個單一的腳本能保證不被攻擊突破,但是總有相對來說防護(hù)程度更好的。一共有兩個安全防護(hù)的方式:白名單和黑名單。其中白名單更加簡單和有效。

一種白名單解決方案就是SafeHTML,它足夠智能能夠識別有效的HTML,然后就可以去除任何危險的標(biāo)簽。這個需要基于HTMLSax包來進(jìn)行解析。

安裝使用SafeHTML的方法:

1、前往http://pixel-apes.com/safehtml/?page=safehtml 下載最新的SafeHTML

2、將文件放入服務(wù)器的classes 目錄,這個目錄包含所有的SafeHTML和HTMLSax庫

3、在自己的腳本中包含SafeHTML類文件

4、建立一個SafeHTML對象

5、使用parse方法進(jìn)行過濾

<?php

/* If you're storing the HTMLSax3.php in the /classes directory, along

with the safehtml.php script, define XML_HTMLSAX3 as a null string. */

define(XML_HTMLSAX3, '');

// Include the class file.

require_once('classes/safehtml.php');

// Define some sample bad code.

$data = "This data would raise an alert <script>alert('XSS Attack')</script>";

// Create a safehtml object.

$safehtml = new safehtml();

// parse and sanitize the data.

$safe_data = $safehtml->parse($data);

// Display result.

echo 'The sanitized data is <br />' . $safe_data;

?>

SafeHTML并不能完全防止XSS攻擊,只是一個相對復(fù)雜的腳本來檢驗的方式。

使用單向HASH加密方式來保護(hù)數(shù)據(jù)

單向hash加密保證對每個用戶的密碼都是唯一的,而且不能被破譯的,只有最終用戶知道密碼,系統(tǒng)也是不知道原始密碼的。這樣的一個好處是在系統(tǒng)被攻擊后攻擊者也無法知道原始密碼數(shù)據(jù)。

成都網(wǎng)站建設(shè)給你們講解下pHp開發(fā)的安全問題
標(biāo)題URL:http://m.rwnh.cn/news30/292880.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián),為您提供移動網(wǎng)站建設(shè)、自適應(yīng)網(wǎng)站標(biāo)簽優(yōu)化、外貿(mào)建站、全網(wǎng)營銷推廣企業(yè)網(wǎng)站制作

廣告

聲明:本網(wǎng)站發(fā)布的內(nèi)容(圖片、視頻和文字)以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主,如果涉及侵權(quán)請盡快告知,我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場,如需處理請聯(lián)系客服。電話:028-86922220;郵箱:631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載,或轉(zhuǎn)載時需注明來源: 創(chuàng)新互聯(lián)

外貿(mào)網(wǎng)站建設(shè)
耒阳市| 白沙| 石泉县| 德钦县| 海安县| 曲沃县| 鸡西市| 石阡县| 牟定县| 石首市| 威信县| 四会市| 沙洋县| 尉犁县| 共和县| 颍上县| 自贡市| 横峰县| 海晏县| 麻江县| 普格县| 苍梧县| 白玉县| 醴陵市| 旺苍县| 宜黄县| 镇宁| 兴安县| 会东县| 镇宁| 瓦房店市| 太仆寺旗| 防城港市| 峨眉山市| 洞头县| 舞钢市| 大厂| 邯郸市| 长沙县| 公安县| 阳江市|