當前位置:成語大全網 - 新華字典 - PHP如何做好最基礎的安全防範

PHP如何做好最基礎的安全防範

PHP如何做好最基礎的安全防範

 php給了開發者極大的靈活性,但是這也為安全問題帶來了潛在的隱患,PHP如何做好最基礎的安全防範呢?下面我為大家解答壹下,希望能幫到您!

 當開發壹個互聯網服務的時候,必須時刻牢記安全觀念,並在開發的代碼中體現。PHP腳本語言對安全問題並不關心,特別是對大多數沒有經驗的開發者來說。每當妳講任何涉及到錢財事務等交易問題時,需要特別註意安全問題的考慮,例如開發壹個論壇或者是壹個購物車等。

安全保護壹般性要點

 不相信表單

 對於壹般的Javascript前臺驗證,由於無法得知用戶的行為,例如關閉了瀏覽器的javascript引擎,這樣通過POST惡意數據到服務器。需要在服務器端進行驗證,對每個php腳本驗證傳遞到的數據,防止XSS攻擊和SQL註入。

  不相信用戶

 要假設妳的網站接收的每壹條數據都是存在惡意代碼的,存在隱藏的威脅,要對每壹條數據都進行清理

關閉全局變量

 在php.ini文件中進行以下配置:

 register_globals = Off

 如果這個配置選項打開之後,會出現很大的安全隱患。例如有壹個process.php的腳本文件,會將接收到的數據插入到數據庫,接收用戶輸入數據的表單可能如下:

 < input name="username" type ="text" size = "15" maxlength = "64" >

 這樣,當提交數據到process.php之後,php會註冊壹個$username變量,將這個變量數據提交到process.php,同時對於任何POST或GET請求參數,都會設置這樣的變量。如果不是顯示進行初始化那麽就會出現下面的問題:

 <?php

 // Define $authorized = true only if user is authenticated

 if

 (authenticated_user()) {

 $authorized = true;

 }

 ?>

 此處,假設authenticated_user函數就是判斷$authorized變量的值,如果開啟了register_globals配置,那麽任何用戶都可以發送壹個請求,來設置$authorized變量的值為任意值從而就能繞過這個驗證。所有的這些提交數據都應該通過PHP預定義內置的全局數組來獲取,包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等,其中$_REQUEST是壹個$_GET/$_POST/$_COOKIE三個數組的聯合變量,默認的順序是$_COOKIE、$_POST、$_GET。

 推薦的安全配置選項

 error_reporting設置為Off:不要暴露錯誤信息給用戶,開發的時候可以設置為ON

 safe_mode設置為Off

 register_globals設置為Off

 將以下函數禁用:system、exec、passthru、shell_exec、proc_open、popen

 open_basedir設置為 /tmp ,這樣可以讓session信息有存儲權限,同時設置單獨的網站根目錄expose_php設置為Offallow_url_fopen設置為Offallow_url_include設置為Off

 SQL註入攻擊

 對於操作數據庫的SQL語句,需要特別註意安全性,因為用戶可能輸入特定語句使得原有的SQL語句改變了功能。類似下面的例子:

 $sql ="select * from pinfo where product = '$product'";

 此時如果用戶輸入的$product參數為:'39'; DROP pinfo; SELECT 'FOO

 那麽最終SQL語句就變成了如下的`樣子:

 select product from pinfo where product = '39';

 DROP pinfo;

 SELECT 'FOO'

 這樣就會變成三條SQL語句,會造成pinfo表被刪除,這樣會造成嚴重的後果。這個問題可以簡單的使用PHP的內置函數解決:

 $sql = 'Select * from pinfo where product = '"' mysql_real_escape_string($product) . '"';

 防止SQL註入攻擊需要做好兩件事:對輸入的參數總是進行類型驗證對單引號、雙引號、反引號等特殊字符總是使用mysql_real_escape_string函數進行轉義但是,這裏根據開發經驗,不要開啟php的Magic Quotes,這個特性在php6中已經廢除,總是自己在需要的時候進行轉義。

  防止基本的XSS攻擊

 XSS攻擊不像其他攻擊,這種攻擊在客戶端進行,最基本的XSS工具就是防止壹段javascript腳本在用戶待提交的表單頁面,將用戶提交的數據和cookie偷取過來。XSS工具比SQL註入更加難以防護,各大公司網站都被XSS攻擊過,雖然這種攻擊與php語言無關,但可以使用php來篩選用戶數據達到保護用戶數據的目的,這裏主要使用的是對用戶的數據進行過濾,壹般過濾掉HTML標簽,特別是a標簽。下面是壹個普通的過濾方法:

 function transform_HTML( $string , $length null) { // Helps prevent XSS attacks

 // Remove dead space.

 $string = trim( $string );

 // Prevent potential Unicode codec problems.

 $string = utf8_decode( $string );

 // HTMLize HTML-specific characters.

 $string = htmlentities( $string , ENT_NOQUOTES);

 $string = str_replace ( "#" , "#" , $string );

 $string = str_replace ( "%" , "%" , $string );

 $length = intval ( $length );

 if ( $length > 0) {

 $string = substr ( $string , 0, $length );

 }return $string ;

 }

 這個函數將HTML的特殊字符轉換為了HTML實體,瀏覽器在渲染這段文本的時候以純文本形式顯示。如bold會被顯示為: BoldText 上述函數的核心就是htmlentities函數,這個函數將html特殊標簽轉換為html實體字符,這樣可以過濾大部分的XSS攻擊。但是對於有經驗的XSS攻擊者,有更加巧妙的辦法進行攻擊:將他們的惡意代碼使用十六進制或者utf-8編碼,而不是普通的ASCII文本,例如可以使用下面的方式進行:

這樣瀏覽器渲染的結果其實是:

 < a href = "/safehtml/?page=safehtml 下載最新的SafeHTML

 2、將文件放入服務器的classes 目錄,這個目錄包含所有的SafeHTML和HTMLSax庫

 3、在自己的腳本中包含SafeHTML類文件

 4、建立壹個SafeHTML對象

 5、使用parse方法進行過濾

 <?php/* If you're storing the HTMLSax3.php in the /classes directory, along

 with the safehtml.php script, define XML_HTMLSAX3 as a null string. */define(XML_HTMLSAX3, '' );// Include the class file.require_once ( 'classes/safehtml.php' );

 // Define some sample bad code.

 $data = This data would raise an alert

 " ;// Create a safehtml object.$safehtml = new safehtml();// Parse and sanitize the data.$safe_data = $safehtml ->parse( $data );// Display result. echo 'The sanitized data is ' . $safe_data ;

 ?>

 SafeHTML並不能完全防止XSS攻擊,只是壹個相對復雜的腳本來檢驗的方式。

 使用單向HASH加密方式來保護數據

 單向hash加密保證對每個用戶的密碼都是唯壹的,而且不能被破譯的,只有最終用戶知道密碼,系統也是不知道原始密碼的。這樣的壹個好處是在系統被攻擊後攻擊者也無法知道原始密碼數據。加密和Hash是不同的兩個過程。與加密不同,Hash是無法被解密的,是單向的;同時兩個不同的字符串可能會得到同壹個hash值,並不能保證hash值的唯壹性。MD5函數處理過的hash值基本不能被破解,但是總是有可能性的,而且網上也有MD5的hash字典。

 使用mcrypt加密數據MD5 hash函數可以在可讀的表單中顯示數據,但是對於存儲用戶的信用卡信息的時候,需要進行加密處理後存儲,並且需要之後進行解密。最好的方法是使用mcrypt模塊,這個模塊包含了超過30中加密方式來保證只有加密者才能解密數據。

 <?php$data = "Stuff you want encrypted" ;

 $key = "Secret passphrase used to encrypt your data" ;

 $cipher = "MCRYPT_SERPENT_256" $mode = "MCRYPT_MODE_CBC" ;function encrypt( $data, $key , cipher , $mode ) {// Encrypt datareturn (string) base64_encode ( mcrypt_encrypt ( $cipher , substr (md5( $key ),0,mcrypt_get_key_size( $cipher , $mode )), $data , $mode , substr (md5( $key ),0,mcrypt_get_block_size( $cipher , $mode )) ) );

 }function decrypt( $data , $key ,$cipher , $mode ) {// Decrypt data

 return (string) mcrypt_decrypt ( $cipher , substr (md5( $key ),0,mcrypt_get_key_size( $cipher , $mode )), base64_decode ( $data ), $mode , substr (md5( $key ),0,mcrypt_get_block_size( $cipher , $mode )) );

 }?>

 mcrypt函數需要以下信息:

 1、待加密數據

 2、用來加密和解密數據的key

 3、用戶選擇的加密數據的特定算法(cipher:

 如 MCRYPT_TWOFISH192

 ,MCRYPT_SERPENT_256, MCRYPT_RC2

 , MCRYPT_DES

 , and MCRYPT_LOKI97

 )

 4、用來加密的模式

 5、加密的種子,用來起始加密過程的數據,是壹個額外的二進制數據用來初始化加密算法

 6、加密key和種子的長度,使用mcrypt_get_key_size函數和mcrypt_get_block_size函數可以獲取如果數據和key都被盜取,那麽攻擊者可以遍歷ciphers尋找開行的方式即可,因此我們需要將加密的key進行MD5壹次後保證安全性。同時由於mcrypt函數返回的加密數據是壹個二進制數據,這樣保存到數據庫字段中會引起其他錯誤,使用了base64encode將這些數據轉換為了十六進制數方便保存。

;