程序師世界是廣大編程愛好者互助、分享、學習的平台,程序師世界有你更精彩!
首頁
編程語言
C語言|JAVA編程
Python編程
網頁編程
ASP編程|PHP編程
JSP編程
數據庫知識
MYSQL數據庫|SqlServer數據庫
Oracle數據庫|DB2數據庫
 程式師世界 >> 編程語言 >> 網頁編程 >> PHP編程 >> PHP綜合 >> PHP程序員必知安全法則

PHP程序員必知安全法則

編輯:PHP綜合

PHP程序員必知安全法則,特別是新手,對於互聯網的險惡總是知道的太少,對於外部的入侵有很多時候是素手無策的,他們根本不知道黑客是如何入侵的、提交入侵、上傳漏洞、sql 注入、跨腳本攻擊等等。作為最基本的防范你需要注意你的外部提交,做好第一面安全機制處理防火牆。

  規則 1:絕不要信任外部數據或輸入

  關於Web應用程序安全性,必須認識到的第一件事是不應該信任外部數據。外部數據(outside data) 包括不是由程序員在PHP代碼中直接輸入的任何數據。在采取措施確保安全之前,來自任何其他來源(比如 GET 變量、表單 POST數據庫、配置文件、會話變量或CookIE)的任何數據都是不可信任的。

  例如,下面的數據元素可以被認為是安全的,因為它們是在PHP中設置的。

  1. 清單 1. 安全無暇的代碼  
  2. $myUsername = ‘tmyer’;  
  3. $arrayarrayUsers = array(‘tmyer’, ‘tom’, ‘tommy’);  
  4. define(“GREETING”, ‘Hello there’ . $myUsername);  
  5. ?> 

  但是,下面的數據元素都是有瑕疵的。

  1. 清單 2. 不安全、有瑕疵的代碼  
  2. $myUsername = $_POST['username']; //tainted!  
  3. $arrayarrayUsers = array($myUsername, ‘siyuantlw’, ‘tommy’); //tainted!  
  4. define(“GREETING”, ‘hello there’ . $myUsername); //tainted!  
  5. ?> 

  為什麼第一個變量$myUsername 是有瑕疵的?因為它直接來自表單 POST。用戶可以在這個輸入域中輸入任何字符串,包括用來清除文件或運行以前上傳的文件的惡意命令。您可能會問,“難道不能使用只接受字母 A-Z 的客戶端(Javascrīpt)表單檢驗腳本來避免這種危險嗎?”是的,這總是一個有好處的步驟,但是正如在後面會看到的,任何人都可以將任何表單下載到自己的機器上,修改它,然後重新提交他們需要的任何內容。

  解決方案很簡單:必須對$_POST['username'] 運行清理代碼。如果不這麼做,那麼在使用$myUsername的任何其他時候(比如在數組或常量中),就可能污染這些對象。對用戶輸入進行清理的一個簡單方法是,使用正則表達式來處理它。在這個示例中,只希望接受字母。將字符串限制為特定數量的字符,或者要求所有字母都是小寫的,這可能也是個好主意。

  1. 清單 3. 使用戶輸入變得安全  
  2. $myUsername = cleanInput($_POST['username']); //clean!  
  3. $arrayarrayUsers = array($myUsername, ‘tom’, ‘tommy’); //clean!  
  4. define(“GREETING”, ‘hello there’ . $myUsername); //clean!  
  5. function cleanInput($input){   $clean = strtolower($input);  
  6. $clean = preg_replace(“/[^a-z]/”, “”, $clean);  
  7. $clean = substr($clean,0,12);return $clean;  
  8. }  
  9. ?> 

  規則 2:禁用那些使安全性難以實施的PHP設置

  已經知道了不能信任用戶輸入,還應該知道不應該信任機器上配置 PHP 的方式。例如,要確保禁用 register_globals。如果啟用了 register_globals,就可能做一些粗心的事情,比如使用 $variable 替換同名的 GET 或 POST 字符串。通過禁用這個設置,PHP 強迫您在正確的名稱空間中引用正確的變量。要使用來自表單 POST 的變量,應該引用 $_POST['variable']。這樣就不會將這個特定變量誤會成 cookIE、會話或 GET 變量。

  規則 3:如果不能理解它,就不能保護它

  一些開發人員使用奇怪的語法,或者將語句組織得很緊湊,形成簡短但是含義模糊的代碼。這種方式可能效率高,但是如果您不理解代碼正在做什麼,那麼就無法決定如何保護它。例如,您喜歡下面兩段代碼中的哪一段?

  1. 清單 4. 使代碼容易得到保護  
  2. //obfuscated code  
  3. $input = (isset($_POST['username']) ? $_POST['username']:”);  
  4. //unobfuscated code  
  5. $input = ”;  
  6. if (isset($_POST['username'])){  
  7. $input = $_POST['username'];  
  8. }else{  
  9. $input = ”;  

  在第二個比較清晰的代碼段中,很容易看出 $input 是有瑕疵的,需要進行清理,然後才能安全地處理。

  規則 4:“縱深防御” 是新的法寶

  本教程將用示例來說明如何保護在線表單,同時在處理表單的 PHP 代碼中采用必要的措施。同樣,即使使用 PHP regex 來確保 GET 變量完全是數字的,仍然可以采取措施確保 SQL 查詢使用轉義的用戶輸入。縱深防御不只是一種好思想,它可以確保您不會陷入嚴重的麻煩。既然已經討論了基本規則,現在就來研究第一種威脅:SQL 注入攻擊。

  ◆防止SQL注入攻擊

  在SQL注入攻擊中,用戶通過操縱表單或 GET 查詢字符串,將信息添加到數據庫查詢中。例如,假設有一個簡單的登錄數據庫。這個數據庫中的每個記錄都有一個用戶名字段和一個密碼字段。構建一個登錄表單,讓用戶能夠登錄。

  1. <Html
  2. <head> 
  3. <title>Login</title> 
  4. </head> 
  5. <body> 
  6. <form action=”verify.PHP” method=”post”> 
  7. <p><label for=’user’>Username</label> 
  8. <input type=’text’ name=’user’ id=’user’/> 
  9. </p> <p><label for=’pw’>PassWord</label> 
  10. <input type=’passWord’ name=’pw’ id=’pw’/> 
  11. </p> <p><input type=’submit’ value=’login’/></p> 
  12. </form> 
  13. </body> 
  14. </Html

  這個表單接受用戶輸入的用戶名和密碼,並將用戶輸入提交給名為verify.php的文件。在這個文件中,PHP處理來自登錄表單的數據,如下所示:

  1. 清單 5. 不安全的 PHP 表單處理代碼  
  2. <?PHP 
  3. $okay = 0;  
  4. $username = $_POST['user'];  
  5. $pw = $_POST['pw'];  
  6. $sql = “select count(*) as ctr from users where username=’
    ”.$username.”‘ and passWord=’”. $pw.”‘ limit 1″;  
  7. $result = MySQL_query($sql);  
  8. while ($data = MySQL_fetch_object($result)){  
  9. if ($data->ctr == 1){  
  10. //they’re okay to enter The application!  
  11. $okay = 1;  
  12. }  
  13. }  
  14. if ($okay){  
  15. $_SESSION['loginokay'] = true;  
  16. header(“index.PHP”);  
  17. }else{  
  18. header(“login.PHP”);  
  19. }  
  20. ?> 

  這段代碼看起來沒問題,對嗎?世界各地成百(甚至成千)的 PHP/MySQL 站點都在使用這樣的代碼。它錯在哪裡?好,記住 “不能信任用戶輸入”。這裡沒有對來自用戶的任何信息進行轉義,因此使應用程序容易受到攻擊。具體來說,可能會出現任何類型的SQL注入攻擊。例如,如果用戶輸入 foo 作為用戶名,輸入 ‘ or ’1′=’1 作為密碼,那麼實際上會將以下字符串傳遞給 PHP,然後將查詢傳遞給 MySQL:

  1. <?PHP 
  2. $sql = “select count(*) as ctr from users where username=
    ’foo’ and passWord=” or ’1′=’1′ limit 1″;  
  3. ?> 

  這個查詢總是返回計數值 1,因此 PHP 會允許進行訪問。通過在密碼字符串的末尾注入某些惡意 SQL,黑客就能裝扮成合法的用戶。解決這個問題的辦法是,將 PHP 的內置 mysql_real_escape_string() 函數用作任何用戶輸入的包裝器。這個函數對字符串中的字符進行轉義,使字符串不可能傳遞撇號等特殊字符並讓 MySQL 根據特殊字符進行操作。清單7展示了帶轉義處理的代碼。

  1. 清單7展示了帶轉義處理的代碼  
  2. <?PHP    
  3. $okay = 0;    
  4. $username = $_POST['user'];    
  5. $pw = $_POST['pw'];    
  6. $sql = "select count(*) as ctr from users where username='".MySQL_real_
    _string($username)."' and passWord='". MySQL_real_escape_string($pw)."'
     limit 1";     
  7. $result = MySQL_query($sql);    
  8. while ($data = MySQL_fetch_object($result)){        
  9.        if ($data->ctr == 1){          //they're okay to enter the 
    application!            
  10.        $okay = 1;         
  11.        }    
  12.       }    
  13.        if ($okay){        
  14.            $_SESSION['loginokay'] = true;        
  15.            header("index.PHP");    
  16.            }  
  17.         else{        
  18.         header("login.PHP");    
  19.       }    
  20. ?> 

  使用 MySQL_real_escape_string() 作為用戶輸入的包裝器,就可以避免用戶輸入中的任何惡意 SQL 注入。如果用戶嘗試通過 SQL 注入傳遞畸形的密碼,那麼會將以下查詢傳遞給數據庫:

  1. select count(*) as ctr from users where username=’foo’ and passWord=
    ’\’ or \’1\’=\’1′ limit 1″
  1. 上一頁:
  2. 下一頁:
Copyright © 程式師世界 All Rights Reserved