主頁 > 知識庫 > 針對PHP開發(fā)安全問題的相關(guān)總結(jié)

針對PHP開發(fā)安全問題的相關(guān)總結(jié)

熱門標簽:銀川ai電話機器人 臨沂智能電銷機器人軟件 電梯外呼線路板維修視頻 浙江外呼電話系統(tǒng)軟件 芒果電銷機器人 安陽自動外呼系統(tǒng)價格是多少 十堰ai電話機器人效果怎么樣 地圖標注風(fēng)向標 上海公司外呼系統(tǒng)線路

對于互聯(lián)網(wǎng)應(yīng)用的開發(fā),作為開發(fā)者必須時刻牢記安全觀念,并在開發(fā)的代碼中體現(xiàn)。PHP腳本語言對安全問題并不太關(guān)心,特別是對大多數(shù)沒有經(jīng)驗的開發(fā)者來說。每當你做任何涉及到錢財事務(wù)等交易問題時,都要特別注意安全問題的考慮。

安全保護一般性要點

1、不相信表單

對于一般的Javascript前臺驗證,由于無法得知用戶的行為,例如關(guān)閉了瀏覽器的javascript引擎,這樣通過POST惡意數(shù)據(jù)到服務(wù)器。需要在服務(wù)器端進行驗證,對每個php腳本驗證傳遞到的數(shù)據(jù),防止XSS攻擊和SQL注入

2、不相信用戶

要假設(shè)你的網(wǎng)站接收的每一條數(shù)據(jù)都是存在惡意代碼的,存在隱藏的威脅,要對每一條數(shù)據(jù)都進行清理

3、關(guān)閉全局變量

在php.ini文件中進行以下配置:register_globals = Off

如果這個配置選項打開之后,會出現(xiàn)很大的安全隱患。例如有一個process.php的腳本文件,會將接收到的數(shù)據(jù)插入到數(shù)據(jù)庫,接收用戶輸入數(shù)據(jù)的表單可能如下:

input name="username" type="text" size="15" maxlength="64">

這樣,當提交數(shù)據(jù)到process.php之后,php會注冊一個$username變量,將這個變量數(shù)據(jù)提交到process.php,同時對于任何POST或GET請求參數(shù),都會設(shè)置這樣的變量。如果不是顯示進行初始化那么就會出現(xiàn)下面的問題:

?php
// Define $authorized = true only if user is authenticated
if (authenticated_user()) {
  $authorized = true;
}
?>

此處,假設(shè)authenticated_user函數(shù)就是判斷$authorized變量的值,如果開啟了register_globals配置,那么任何用戶都可以發(fā)送一個請求,來設(shè)置$authorized變量的值為任意值從而就能繞過這個驗證。

所有的這些提交數(shù)據(jù)都應(yīng)該通過PHP預(yù)定義內(nèi)置的全局數(shù)組來獲取,包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等,其中$_REQUEST是一個$_GET/$_POST/$_COOKIE三個數(shù)組的聯(lián)合變量,默認的順序是$_COOKIE、$_POST、$_GET。

推薦的安全配置選項

error_reporting設(shè)置為Off:不要暴露錯誤信息給用戶,開發(fā)的時候可以設(shè)置為ON
safe_mode設(shè)置為Off
register_globals設(shè)置為Off
將以下函數(shù)禁用:system、exec、passthru、shell_exec、proc_open、popen
open_basedir設(shè)置為 /tmp ,這樣可以讓session信息有存儲權(quán)限,同時設(shè)置單獨的網(wǎng)站根目錄
expose_php設(shè)置為Off
allow_url_fopen設(shè)置為Off
allow_url_include設(shè)置為Off

SQL注入攻擊

對于操作數(shù)據(jù)庫的SQL語句,需要特別注意安全性,因為用戶可能輸入特定語句使得原有的SQL語句改變了功能。類似下面的例子:

$sql = "select * from pinfo where product = '$product'";

此時如果用戶輸入的$product參數(shù)為:

39'; DROP pinfo; SELECT 'FOO 

那么最終SQL語句就變成了如下的樣子:

select product from pinfo where product = '39'; DROP pinfo; SELECT 'FOO' 

這樣就會變成三條SQL語句,會造成pinfo表被刪除,這樣會造成嚴重的后果。

這個問題可以簡單的使用PHP的內(nèi)置函數(shù)解決:

$sql = "Select * from pinfo where product = '" . mysql_real_escape_string($product) . "'";

防止SQL注入攻擊需要做好兩件事:

對輸入的參數(shù)總是進行類型驗證

對單引號、雙引號、反引號等特殊字符總是使用mysql_real_escape_string函數(shù)進行轉(zhuǎn)義

但是,這里根據(jù)開發(fā)經(jīng)驗,不要開啟php的Magic Quotes,這個特性在php6中已經(jīng)廢除,總是自己在需要的時候進行轉(zhuǎn)義。

防止基本的XSS攻擊

XSS攻擊不像其他攻擊,這種攻擊在客戶端進行,最基本的XSS工具就是防止一段javascript腳本在用戶待提交的表單頁面,將用戶提交的數(shù)據(jù)和cookie偷取過來。

XSS工具比SQL注入更加難以防護,各大公司網(wǎng)站都被XSS攻擊過,雖然這種攻擊與php語言無關(guān),但可以使用php來篩選用戶數(shù)據(jù)達到保護用戶數(shù)據(jù)的目的,這里主要使用的是對用戶的數(shù)據(jù)進行過濾,一般過濾掉HTML標簽,特別是a標簽。下面是一個普通的過濾方法:

function transform_HTML($string, $length = null) {
// Helps prevent XSS attacks
  // Remove dead space.
  $string = trim($string);
  // Prevent potential Unicode codec problems.
  $string = utf8_decode($string);
  // HTMLize HTML-specific characters.
  $string = htmlentities($string, ENT_NOQUOTES);
  $string = str_replace("#", "#", $string);
  $string = str_replace("%", "%", $string);
  $length = intval($length);
  if ($length > 0) {
    $string = substr($string, 0, $length);
  }
  return $string;
} 

這個函數(shù)將HTML的特殊字符轉(zhuǎn)換為了HTML實體,瀏覽器在渲染這段文本的時候以純文本形式顯示。如strong>bold/strong>會被顯示為:

STRONG>BoldText/STRONG> 

上述函數(shù)的核心就是htmlentities函數(shù),這個函數(shù)將html特殊標簽轉(zhuǎn)換為html實體字符,這樣可以過濾大部分的XSS攻擊。

但是對于有經(jīng)驗的XSS攻擊者,有更加巧妙的辦法進行攻擊:將他們的惡意代碼使用十六進制或者utf-8編碼,而不是普通的ASCII文本,例如可以使用下面的方式進行:

a href="http://www.codetc.com/a.php?variable=%22%3e %3c%53%43%52%49%50%54%3e%44%6f%73%6f%6d%65%74%68%69%6e%67%6d%61%6c%69%63%69%6f%75%73%3c%2f%53%43%52%49%50%54%3e" rel="external nofollow" >

這樣瀏覽器渲染的結(jié)果其實是:

a  rel="external nofollow" >SCRIPT>Dosomethingmalicious/SCRIPT>

這樣就達到了攻擊的目的。為了防止這種情況,需要在transform_HTML函數(shù)的基礎(chǔ)上再將#和%轉(zhuǎn)換為他們對應(yīng)的實體符號,同時加上了$length參數(shù)來限制提交的數(shù)據(jù)的最大長度。

使用SafeHTML防止XSS攻擊

上述關(guān)于XSS攻擊的防護非常簡單,但是不包含用戶的所有標記,同時有上百種繞過過濾函數(shù)提交javascript代碼的方法,也沒有辦法能完全阻止這個情況。

目前,沒有一個單一的腳本能保證不被攻擊突破,但是總有相對來說防護程度更好的。一共有兩個安全防護的方式:白名單和黑名單。其中白名單更加簡單和有效。

一種白名單解決方案就是SafeHTML,它足夠智能能夠識別有效的HTML,然后就可以去除任何危險的標簽。這個需要基于HTMLSax包來進行解析。

安裝使用SafeHTML的方法:

  • 1、前往http://pixel-apes.com/safehtml/?page=safehtml 下載最新的SafeHTML
  • 2、將文件放入服務(wù)器的classes 目錄,這個目錄包含所有的SafeHTML和HTMLSax庫
  • 3、在自己的腳本中包含SafeHTML類文件
  • 4、建立一個SafeHTML對象
  • 5、使用parse方法進行過濾
?php
/* If you're storing the HTMLSax3.php in the /classes directory, along
  with the safehtml.php script, define XML_HTMLSAX3 as a null string. */
define(XML_HTMLSAX3, '');
// Include the class file.
require_once('classes/safehtml.php');
// Define some sample bad code.
$data = "This data would raise an alert script>alert('XSS Attack')/script>";
// Create a safehtml object.
$safehtml = new safehtml();
// Parse and sanitize the data.
$safe_data = $safehtml->parse($data);
// Display result.
echo 'The sanitized data is ' . $safe_data;
?>

SafeHTML并不能完全防止XSS攻擊,只是一個相對復(fù)雜的腳本來檢驗的方式。

使用單向HASH加密方式來保護數(shù)據(jù)

單向hash加密保證對每個用戶的密碼都是唯一的,而且不能被破譯的,只有最終用戶知道密碼,系統(tǒng)也是不知道原始密碼的。這樣的一個好處是在系統(tǒng)被攻擊后攻擊者也無法知道原始密碼數(shù)據(jù)。

加密和Hash是不同的兩個過程。與加密不同,Hash是無法被解密的,是單向的;同時兩個不同的字符串可能會得到同一個hash值,并不能保證hash值的唯一性。

MD5函數(shù)處理過的hash值基本不能被破解,但是總是有可能性的,而且網(wǎng)上也有MD5的hash字典。

使用mcrypt加密數(shù)據(jù)

MD5 hash函數(shù)可以在可讀的表單中顯示數(shù)據(jù),但是對于存儲用戶的信用卡信息的時候,需要進行加密處理后存儲,并且需要之后進行解密。

最好的方法是使用mcrypt模塊,這個模塊包含了超過30中加密方式來保證只有加密者才能解密數(shù)據(jù)。

?php
$data = "Stuff you want encrypted";
$key = "Secret passphrase used to encrypt your data";
$cipher = "MCRYPT_SERPENT_256";
$mode = "MCRYPT_MODE_CBC";
function encrypt($data, $key, $cipher, $mode) {
// Encrypt data
return (string)
      base64_encode
        (
        mcrypt_encrypt
          (
          $cipher,
          substr(md5($key),0,mcrypt_get_key_size($cipher, $mode)),
          $data,
          $mode,
          substr(md5($key),0,mcrypt_get_block_size($cipher, $mode))
          )
        );
}
function decrypt($data, $key, $cipher, $mode) {
// Decrypt data
  return (string)
      mcrypt_decrypt
        (
        $cipher,
        substr(md5($key),0,mcrypt_get_key_size($cipher, $mode)),
        base64_decode($data),
        $mode,
        substr(md5($key),0,mcrypt_get_block_size($cipher, $mode))
        );
}
?>

mcrypt函數(shù)需要以下信息:

  • 1、待加密數(shù)據(jù)
  • 2、用來加密和解密數(shù)據(jù)的key
  • 3、用戶選擇的加密數(shù)據(jù)的特定算法(cipher:如 MCRYPT_TWOFISH192,MCRYPT_SERPENT_256, MCRYPT_RC2, MCRYPT_DES, and MCRYPT_LOKI97)
  • 4、用來加密的模式
  • 5、加密的種子,用來起始加密過程的數(shù)據(jù),是一個額外的二進制數(shù)據(jù)用來初始化加密算法
  • 6、加密key和種子的長度,使用mcrypt_get_key_size函數(shù)和mcrypt_get_block_size函數(shù)可以獲取

如果數(shù)據(jù)和key都被盜取,那么攻擊者可以遍歷ciphers尋找開行的方式即可,因此我們需要將加密的key進行MD5一次后保證安全性。同時由于mcrypt函數(shù)返回的加密數(shù)據(jù)是一個二進制數(shù)據(jù),這樣保存到數(shù)據(jù)庫字段中會引起其他錯誤,使用了base64encode將這些數(shù)據(jù)轉(zhuǎn)換為了十六進制數(shù)方便保存。

總結(jié)

以上就是這篇文章的全部內(nèi)容了,希望本文的內(nèi)容對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,謝謝大家對腳本之家的支持。如果你想了解更多相關(guān)內(nèi)容請查看下面相關(guān)鏈接

您可能感興趣的文章:
  • PHP安全配置優(yōu)化詳解
  • PHP網(wǎng)站常見安全漏洞,及相應(yīng)防范措施總結(jié)
  • 6個常見的 PHP 安全性攻擊實例和阻止方法
  • PHP安全之register_globals的on和off的區(qū)別
  • PHP開發(fā)api接口安全驗證操作實例詳解
  • Linux下PHP+Apache的26個必知的安全設(shè)置
  • php解決安全問題的方法實例
  • 實例分析10個PHP常見安全問題
  • 深入理解PHP中mt_rand()隨機數(shù)的安全
  • PHP網(wǎng)頁安全認證的實例詳解
  • php常見的網(wǎng)絡(luò)攻擊及防御方法

標簽:常州 遂寧 荊門 寧夏 武威 遵義 徐州 吐魯番

巨人網(wǎng)絡(luò)通訊聲明:本文標題《針對PHP開發(fā)安全問題的相關(guān)總結(jié)》,本文關(guān)鍵詞  針對,PHP,開發(fā),安全,問,題的,;如發(fā)現(xiàn)本文內(nèi)容存在版權(quán)問題,煩請?zhí)峁┫嚓P(guān)信息告之我們,我們將及時溝通與處理。本站內(nèi)容系統(tǒng)采集于網(wǎng)絡(luò),涉及言論、版權(quán)與本站無關(guān)。
  • 相關(guān)文章
  • 下面列出與本文章《針對PHP開發(fā)安全問題的相關(guān)總結(jié)》相關(guān)的同類信息!
  • 本頁收集關(guān)于針對PHP開發(fā)安全問題的相關(guān)總結(jié)的相關(guān)信息資訊供網(wǎng)民參考!
  • 推薦文章