程序師世界是廣大編程愛好者互助、分享、學習的平台,程序師世界有你更精彩!
首頁
編程語言
C語言|JAVA編程
Python編程
網頁編程
ASP編程|PHP編程
JSP編程
數據庫知識
MYSQL數據庫|SqlServer數據庫
Oracle數據庫|DB2數據庫
 程式師世界 >> 編程語言 >> 網頁編程 >> PHP編程 >> 關於PHP編程 >> 針對PHP開發安全問題的相關總結

針對PHP開發安全問題的相關總結

編輯:關於PHP編程

針對PHP開發安全問題的相關總結


php給了開發者極大的靈活性,但是這也為安全問題帶來了潛在的隱患,近期需要總結一下以往的問題,在這裡借翻譯一篇文章同時加上自己開發的一些感觸總結一下。

針對PHP開發安全問題的相關總結

簡介

當開發一個互聯網服務的時候,必須時刻牢記安全觀念,並在開發的代碼中體現。PHP腳本語言對安全問題並不關心,特別是對大多數沒有經驗的開發者來說。每當你講任何涉及到錢財事務等交易問題時,需要特別注意安全問題的考慮,例如開發一個論壇或者是一個購物車等。

安全保護一般性要點

不相信表單

對於一般的Javascript前台驗證,由於無法得知用戶的行為,例如關閉了浏覽器的javascript引擎,這樣通過POST惡意數據到服務器。需要在服務器端進行驗證,對每個php腳本驗證傳遞到的數據,防止XSS攻擊和SQL注入

不相信用戶

要假設你的網站接收的每一條數據都是存在惡意代碼的,存在隱藏的威脅,要對每一條數據都進行清理

關閉全局變量

在php.ini文件中進行以下配置:

register_globals = Off

如果這個配置選項打開之後,會出現很大的安全隱患。例如有一個process.php的腳本文件,會將接收到的數據插入到數據庫,接收用戶輸入數據的表單可能如下:

<input name="username" type="text" size="15" maxlength="64">

這樣,當提交數據到process.php之後,php會注冊一個$username變量,將這個變量數據提交到process.php,同時對於任何POST或GET請求參數,都會設置這樣的變量。如果不是顯示進行初始化那麼就會出現下面的問題:

  1. <?php 
  2. // Define $authorized = true only if user is authenticated 
  3. if (authenticated_user()) { 
  4.     $authorized = true; 
  5. ?> 

此處,假設authenticated_user函數就是判斷$authorized變量的值,如果開啟了register_globals配置,那麼任何用戶都可以發送一個請求,來設置$authorized變量的值為任意值從而就能繞過這個驗證。

所有的這些提交數據都應該通過PHP預定義內置的全局數組來獲取,包 括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等,其中$_REQUEST是一個$_GET/$_POST /$_COOKIE三個數組的聯合變量,默認的順序是$_COOKIE、$_POST、$_GET。

  • 推薦的安全配置選項

error_reporting設置為Off:不要暴露錯誤信息給用戶,開發的時候可以設置為ON

safe_mode設置為Off

register_globals設置為Off

將以下函數禁用:system、exec、passthru、shell_exec、proc_open、popen

open_basedir設置為 /tmp ,這樣可以讓session信息有存儲權限,同時設置單獨的網站根目錄

expose_php設置為Off

allow_url_fopen設置為Off

allow_url_include設置為Off

SQL注入攻擊

對於操作數據庫的SQL語句,需要特別注意安全性,因為用戶可能輸入特定語句使得原有的SQL語句改變了功能。類似下面的例子:

$sql = "select * from pinfo where product = '$product'";

此時如果用戶輸入的$product參數為:

39'; DROP pinfo; SELECT 'FOO

那麼最終SQL語句就變成了如下的樣子:

select product from pinfo where product = '39'; DROP pinfo; SELECT 'FOO'

這樣就會變成三條SQL語句,會造成pinfo表被刪除,這樣會造成嚴重的後果。

這個問題可以簡單的使用PHP的內置函數解決:

  1. $sql = 'Select * from pinfo where product = '"' 
  2.        mysql_real_escape_string($product) . '"'; 

防止SQL注入攻擊需要做好兩件事:

對輸入的參數總是進行類型驗證

對單引號、雙引號、反引號等特殊字符總是使用mysql_real_escape_string函數進行轉義

但是,這裡根據開發經驗,不要開啟php的Magic Quotes,這個特性在php6中已經廢除,總是自己在需要的時候進行轉義。

防止基本的XSS攻擊

XSS攻擊不像其他攻擊,這種攻擊在客戶端進行,最基本的XSS工具就是防止一段javascript腳本在用戶待提交的表單頁面,將用戶提交的數據和cookie偷取過來。

XSS工具比SQL注入更加難以防護,各大公司網站都被XSS攻擊過,雖然這種攻擊與php語言無關,但可以使用php來篩選用戶數據達到保護用戶數據的目的,這裡主要使用的是對用戶的數據進行過濾,一般過濾掉HTML標簽,特別是a標簽。下面是一個普通的過濾方法:

  1. function transform_HTML($string, $length = null) { 
  2. // Helps prevent XSS attacks 
  3.     // Remove dead space. 
  4.     $string = trim($string); 
  5.     // Prevent potential Unicode codec problems. 
  6.     $string = utf8_decode($string); 
  7.     // HTMLize HTML-specific characters. 
  8.     $string = htmlentities($string, ENT_NOQUOTES); 
  9.     $string = str_replace("#", "#", $string); 
  10.     $string = str_replace("%", "%", $string); 
  11.     $length = intval($length); 
  12.     if ($length > 0) { 
  13.         $string = substr($string, 0, $length); 
  14.     } 
  15.     return $string; 

這個函數將HTML的特殊字符轉換為了HTML實體,浏覽器在渲染這段文本的時候以純文本形式顯示。如<strong>bold</strong>會被顯示為:

&lt;STRONG&gt;BoldText&lt;/STRONG&gt;

上述函數的核心就是htmlentities函數,這個函數將html特殊標簽轉換為html實體字符,這樣可以過濾大部分的XSS攻擊。

但是對於有經驗的XSS攻擊者,有更加巧妙的辦法進行攻擊:將他們的惡意代碼使用十六進制或者utf-8編碼,而不是普通的ASCII文本,例如可以使用下面的方式進行:

<a href="http://host/a.php?variable=%22%3e %3c%53%43%52%49%50%54%3e%44%6f%73%6f%6d%65%74%68%69%6e%67%6d%61%6c%69%63%69%6f%75%73%3c%2f%53%43%52%49%50%54%3e">

這樣浏覽器渲染的結果其實是:

<a href="http://host/a.php?variable="> <SCRIPT>Dosomethingmalicious</SCRIPT>

這樣就達到了攻擊的目的。為了防止這種情況,需要在transform_HTML函數的基礎上再將#和%轉換為他們對應的實體符號,同時加上了$length參數來限制提交的數據的最大長度。

使用SafeHTML防止XSS攻擊

上述關於XSS攻擊的防護非常簡單,但是不包含用戶的所有標記,同時有上百種繞過過濾函數提交javascript代碼的方法,也沒有辦法能完全阻止這個情況。

目前,沒有一個單一的腳本能保證不被攻擊突破,但是總有相對來說防護程度更好的。一共有兩個安全防護的方式:白名單和黑名單。其中白名單更加簡單和有效。

一種白名單解決方案就是SafeHTML,它足夠智能能夠識別有效的HTML,然後就可以去除任何危險的標簽。這個需要基於HTMLSax包來進行解析。

安裝使用SafeHTML的方法:

1、前往http://pixel-apes.com/safehtml/?page=safehtml 下載最新的SafeHTML

2、將文件放入服務器的classes 目錄,這個目錄包含所有的SafeHTML和HTMLSax庫

3、在自己的腳本中包含SafeHTML類文件

4、建立一個SafeHTML對象

5、使用parse方法進行過濾

  1. <?php 
  2. /* If you're storing the HTMLSax3.php in the /classes directory, along 
  3.    with the safehtml.php script, define XML_HTMLSAX3 as a null string. */ 
  4. define(XML_HTMLSAX3, ''); 
  5. // Include the class file. 
  6. require_once('classes/safehtml.php'); 
  7. // Define some sample bad code. 
  8. $data = "This data would raise an alert <script>alert('XSS Attack')</script>"; 
  9. // Create a safehtml object. 
  10. $safehtml = new safehtml(); 
  11. // Parse and sanitize the data. 
  12. $safe_data = $safehtml->parse($data); 
  13. // Display result. 
  14. echo 'The sanitized data is <br />' . $safe_data; 
  15. ?> 

SafeHTML並不能完全防止XSS攻擊,只是一個相對復雜的腳本來檢驗的方式。

使用單向HASH加密方式來保護數據

單向hash加密保證對每個用戶的密碼都是唯一的,而且不能被破譯的,只有最終用戶知道密碼,系統也是不知道原始密碼的。這樣的一個好處是在系統被攻擊後攻擊者也無法知道原始密碼數據。

加密和Hash是不同的兩個過程。與加密不同,Hash是無法被解密的,是單向的;同時兩個不同的字符串可能會得到同一個hash值,並不能保證hash值的唯一性。

MD5函數處理過的hash值基本不能被破解,但是總是有可能性的,而且網上也有MD5的hash字典。

使用mcrypt加密數據

MD5 hash函數可以在可讀的表單中顯示數據,但是對於存儲用戶的信用卡信息的時候,需要進行加密處理後存儲,並且需要之後進行解密。

最好的方法是使用mcrypt模塊,這個模塊包含了超過30中加密方式來保證只有加密者才能解密數據。

  1. <?php 
  2. $data = "Stuff you want encrypted"; 
  3. $key = "Secret passphrase used to encrypt your data"; 
  4. $cipher = "MCRYPT_SERPENT_256"; 
  5. $mode = "MCRYPT_MODE_CBC"; 
  6. function encrypt($data, $key, $cipher, $mode) { 
  7. // Encrypt data 
  8. return (string) 
  9.             base64_encode 
  10.                 ( 
  11.                 mcrypt_encrypt 
  12.                     ( 
  13.                     $cipher, 
  14.                     substr(md5($key),0,mcrypt_get_key_size($cipher, $mode)), 
  15.                     $data, 
  16.                     $mode, 
  17.                     substr(md5($key),0,mcrypt_get_block_size($cipher, $mode)) 
  18.                     ) 
  19.                 ); 
  20. function decrypt($data, $key, $cipher, $mode) { 
  21. // Decrypt data 
  22.     return (string) 
  23.             mcrypt_decrypt 
  24.                 ( 
  25.                 $cipher, 
  26.                 substr(md5($key),0,mcrypt_get_key_size($cipher, $mode)), 
  27.                 base64_decode($data), 
  28.                 $mode, 
  29.                 substr(md5($key),0,mcrypt_get_block_size($cipher, $mode)) 
  30.                 ); 
  31. ?> 

mcrypt函數需要以下信息:

1、待加密數據

2、用來加密和解密數據的key

3、用戶選擇的加密數據的特定算法cipher:如 MCRYPT_TWOFISH192,MCRYPT_SERPENT_256, MCRYPT_RC2, MCRYPT_DES, and MCRYPT_LOKI97

4、用來加密的模式

5、加密的種子,用來起始加密過程的數據,是一個額外的二進制數據用來初始化加密算法

6、加密key和種子的長度,使用mcrypt_get_key_size函數和mcrypt_get_block_size函數可以獲取

如果數據和key都被盜取,那麼攻擊者可以遍歷ciphers尋找開行的方式即可,因此我們需要將加密的key進行MD5一次後保證安全性。同時由 於mcrypt函數返回的加密數據是一個二進制數據,這樣保存到數據庫字段中會引起其他錯誤,使用了base64encode將這些數據轉換為了十六進制 數方便保存。

參考文獻:http://www.codeproject.com/Articles/363897/PHP-Security



  1. 上一頁:
  2. 下一頁:
Copyright © 程式師世界 All Rights Reserved