文档章节

整理一些PHP开发安全问题

mickelfeng
 mickelfeng
发布于 2017/05/31 16:12
字数 1783
阅读 12
收藏 0
点赞 0
评论 0

 

php给了开发者极大的灵活性,但是这也为安全问题带来了潜在的隐患,近期需要总结一下以往的问题,在这里借翻译一篇文章同时加上自己开发的一些感触总结一下。

 简介

  当开发一个互联网服务的时候,必须时刻牢记安全观念,并在开发的代码中体现。PHP脚本语言对安全问题并不关心,特别是对大多数没有经验的开发者来说。每当你讲任何涉及到钱财事务等交易问题时,需要特别注意安全问题的考虑,例如开发一个论坛或者是一个购物车等。

 安全保护一般性要点

不相信表单

  对于一般的Javascript前台验证,由于无法得知用户的行为,例如关闭了浏览器的javascript引擎,这样通过POST恶意数据到服务器。需要在服务器端进行验证,对每个php脚本验证传递到的数据,防止XSS攻击和SQL注入


不相信用户

  要假设你的网站接收的每一条数据都是存在恶意代码的,存在隐藏的威胁,要对每一条数据都进行清理


关闭全局变量

  在php.ini文件中进行以下配置:

register_globals = Off  

  如果这个配置选项打开之后,会出现很大的安全隐患。例如有一个process.php的脚本文件,会将接收到的数据插入到数据库,接收用户输入数据的表单可能如下:
 

  1. <input name="username" type="text" size="15" maxlength="64">  


  这样,当提交数据到process.php之后,php会注册一个$username变量,将这个变量数据提交到process.php,同时对于任何POST或GET请求参数,都会设置这样的变量。如果不是显示进行初始化那么就会出现下面的问题(参考:http://www.lai18.com/content/434606.html

<?php  
// Define $authorized = true only if user is authenticated  
if (authenticated_user()) {  
    $authorized = true;  
}  
?>  


  此处,假设authenticated_user函数就是判断$authorized变量的值,如果开启了register_globals配置,那么任何用户都可以发送一个请求,来设置$authorized变量的值为任意值从而就能绕过这个验证。

  所有的这些提交数据都应该通过PHP预定义内置的全局数组来获取,包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等,其中$_REQUEST是一个$_GET/$_POST/$_COOKIE三个数组的联合变量,默认的顺序是$_COOKIE、$_POST、$_GET。


推荐的安全配置选项

  error_reporting设置为Off:不要暴露错误信息给用户,开发的时候可以设置为ON

  safe_mode设置为Off

  register_globals设置为Off

  将以下函数禁用:system、exec、passthru、shell_exec、proc_open、popen

  open_basedir设置为 /tmp ,这样可以让session信息有存储权限,同时设置单独的网站根目录

  expose_php设置为Off

  allow_url_fopen设置为Off

  allow_url_include设置为Off
 


 SQL注入攻击

  对于操作数据库的SQL语句,需要特别注意安全性,因为用户可能输入特定语句使得原有的SQL语句改变了功能。类似下面的例子: 
 

 扩展阅读

 

《PHP安全编程系列》系列技术文章整理收藏

PHP安全编程系列收藏夹收藏了有关PHP安全编程方面的知识,对PHP安全编程提供学习参考 

1discuz的php防止sql注入函数

2php防止xss攻击的方法

3PHP安全编程:对输出要进行转义

4PHP安全编程:过滤用户输入

5PHP安全编程:可用性与数据跟踪

6PHP安全编程:不要让不相关的人看到报错信息

7PHP安全编程:register_globals的安全性

8PHP安全编程:网站安全设计的一些原则

9PHP安全编程:关于表单欺骗提交

10PHP安全编程:HTTP请求欺骗

11PHP安全编程:不要暴露数据库访问权限

12PHP安全编程:跨站请求伪造CSRF的防御

13PHP安全编程:表单与数据安全

14PHP安全编程:从URL的语义进行攻击

15PHP安全编程:文件上传攻击的防御

16PHP安全编程:跨站脚本攻击的防御

17PHP安全编程:session固定获取合法会话

18PHP安全编程:防止SQL注入

19PHP安全编程:cookie暴露导致session被劫持

20PHP安全编程:防止源代码的暴露

21PHP安全编程:留心后门URL

22PHP安全编程:session劫持的防御

23PHP安全编程:暴力破解攻击

24PHP安全编程:密码嗅探与重播攻击

25PHP安全编程:记住登录状态的安全做法

26PHP安全编程:shell命令注入

27PHP安全编程:打开远程文件的风险

28PHP安全编程:文件目录猜测漏洞

29PHP安全编程:阻止文件名被操纵

30PHP安全编程:文件包含的代码注入攻击

31PHP安全编程:更优的会话数据安全

32PHP安全编程:共享主机的源码安全

33PHP安全编程:会话数据注入

34PHP安全编程:主机文件目录浏览

35PHP安全编程:PHP的安全模式

36php安全之直接用$获取值而不$_GET 字符转义

37php防止漏洞策略,创建高性能web

38什么XSS攻击?PHP防止XSS攻击函数

39解析php防止form重复提交的方法

40php安全之狗尾续貂

41PHP防止跨域提交表单

42php防止SQL注入详解及防范

43php防止sql注入代码实例

44php防止sql注入示例分析和几种常见攻击正则表达式

45PHP安全之防止你的源代码或重要配置信息暴露在外

46PHP防止post重复提交数据的简单例子

47php防止伪造的数据从URL提交方法

48PHP防止表单重复提交的几种常用方法汇总

49php防止伪造数据从地址栏URL提交的方法

50php防止站外远程提交表单的方法

51php防止sql注入之过滤分页参数实例

52PHP安全之以Apache模式安装时可能遇到的攻击及解决办法

53PHP安全之文件系统安全及防范措施

54PHP安全之文件系统安全——Null字符问题

55PHP安全之数据库安全——SQL注入及预防措施

56PHP安全之简介和总则

57PHP安全之以CGI 模式安装时可能遇到的攻击及解决办法

58PHP安全之用户提交的数据

59PHP安全之数据库安全——设计、连接和加密

60PHP安全之魔术引号——什么是魔术引号以及如何使用

61PHP安全之隐藏PHP脚本扩展名

62PHP安全之使用 Register Globals

63PHP安全之错误报告

64php防止恶意刷新与刷票的方法

65php防止网站被刷新的方法汇总

66PHP网站常见安全漏洞,及相应防范措施总结

本文转载自:http://blog.csdn.net/hello_katty/article/details/46770325

共有 人打赏支持
mickelfeng

mickelfeng

粉丝 227
博文 2553
码字总数 551789
作品 0
成都
高级程序员

暂无文章

shell中的函数、shell中的数组、告警系统需求分析

shell中的函数 格式: 格式: function f_name() { command } 函数必须要放在最前面 示例1(用来打印参数) 示例2(用于定义加法) 示例3(用于显示IP) shell中的数组 shell中的数组1 定义数...

Zhouliang6
今天
2
0
用 Scikit-Learn 和 Pandas 学习线性回归

      对于想深入了解线性回归的童鞋,这里给出一个完整的例子,详细学完这个例子,对用scikit-learn来运行线性回归,评估模型不会有什么问题了。 1. 获取数据,定义问题     没有...

wangxuwei
今天
1
0
MAC安装MAVEN

一:下载maven压缩包(Zip或tar可选),解压压缩包 二:打开终端输入:vim ~/.bash_profile(如果找不到该文件新建一个:touch ./bash_profile) 三:输入i 四:输入maven环境变量配置 MAVEN_HO...

WALK_MAN
今天
0
0
33.iptables备份与恢复 firewalld的9个zone以及操作 service的操作

10.19 iptables规则备份和恢复 10.20 firewalld的9个zone 10.21 firewalld关于zone的操作 10.22 firewalld关于service的操作 10.19 iptables规则备份和恢复: ~1. 保存和备份iptables规则 ~2...

王鑫linux
今天
2
0
大数据教程(2.11):keeperalived+nginx高可用集群搭建教程

上一章节博主为大家介绍了目前大型互联网项目的系统架构体系,相信大家应该注意到其中很重要的一块知识nginx技术,在本节博主将为大家分享nginx的相关技术以及配置过程。 一、nginx相关概念 ...

em_aaron
今天
1
0
Apache Directory Studio连接Weblogic内置LDAP

OBIEE默认使用Weblogic内置LDAP管理用户及组。 要整理已存在的用户及组,此前办法是导出安全数据,文本编辑器打开认证文件,使用正则表达式获取用户及组的信息。 后来想到直接用Apache Dire...

wffger
今天
2
0
HFS

FS,它是一种上传文件的软件。 专为个人用户所设计的 HTTP 档案系统 - Http File Server,如果您觉得架设 FTP Server 太麻烦,那么这个软件可以提供您更方便的档案传输系统,下载后无须安装,...

garkey
今天
1
0
Java IO类库之BufferedInputStream

一、BufferedInputStream介绍 /** * A <code>BufferedInputStream</code> adds * functionality to another input stream-namely, * the ability to buffer the input and to * sup......

老韭菜
今天
0
0
STM 32 窗口看门狗

http://bbs.elecfans.com/jishu_805708_1_1.html https://blog.csdn.net/a1985831055/article/details/77404131...

whoisliang
昨天
1
0
Dubbo解析(六)-服务调用

当dubbo消费方和提供方都发布和引用完成后,第四步就是消费方调用提供方。 还是以dubbo的DemoService举例 -- 提供方<dubbo:application name="demo-provider"/><dubbo:registry address="z...

青离
昨天
2
0

没有更多内容

加载失败,请刷新页面

加载更多

下一页

返回顶部
顶部