概述Web編程的安全極其防護措施（主要針對PHP,PERL）[]

一，危險性產生的原因

1, Web程式上手容易，簡單培訓就可以寫，寫出來的程式自然水平參差不齊。

2，好多人沒有安全意識，你和他談“SQL 注入”，根本不知道是什麼概念。

3，好多HTTP Scaner的出現，一下子就會自動掃描大批的網站。

4，相信使用者的輸入，比如又一個name的inputbox，就單純的以為使用者只是會輸入login.

二，File System Problem

1, ../的問題，比如 /usr/local/../../etc/passwd 就是 /etc/passwd, 如果輕信使用者的輸入，hacker就可以看到它不應該看到的檔案。

比如: open( "/var/conf/$usr" )

$usr="james"; open( "/var/conf/james" );

but $usr="../../etc/passwd", open就成了 open("/var/conf/../../etc/passwd" ) 問題就出來了。

2，OS處理null的問題，有的OS碰到null就結束，有的則不同。看下面的例子。

open( "/var/conf/{$usr}.ini" )

看起來這個不會出現上面的問題了，我們換的輸入。

$usr="james", OK,什麼問題也沒有。

$usr="../../etc/passwd", OK, open("/var/conf/../../etc/passwd.ini")，OK,也沒有問題。

$usr="../../etc/passwd\0", 問題就有可能出來了，看看open("/var/conf/../../etc/passwd\0.ini");

3, PHP中的fopen()的問題

比如，你用fopen("$usr/config.ini" )來開啟一個使用者設定檔，根據這個檔案分配許可權。

$usr = "james"; fopen( "james/config.ini" ) OK,不錯。

但是， $usr= "http://www.hacker.org", fopen後是什麼? fopen(http://www.hacker.org/config.ini),嘿嘿。

4， Perl中的具名管道.

open(IN, "$usr/config.ini" )

$usr=">james", open就成了 open(IN, ">james/config.ini" ), 看明白了吧。

三, Sql 注入

比如這個Sql 語句，SELECT * FROM Users WHERE user='$uid' AND passwd='$password'

看起來$uid=name, $password=passowrd,一切很好。

如果$uid=james'-- $password=1 (Sql Server中的注釋，Mysql 中用# )看看成什麼了。

SELECT *FROM Users WHERE user='james'-- AND password='1' 到這裡估計都明白了，1=1就自己湊吧。

如何Administrator用sa等許可權高的使用者，直接就執行 xp_cmdshell, 然後調用net裡面的命令直接就可以給系統添加使用者了。這個攻擊性太高，就不說了。這裡只是說有這個東西，具體的用"SQL注入"自己google吧。

四，程式執行

假設你向用nslookup來看一個www.yahoo.com,程式這樣

$host=www.yahoo.com;

system("nslookup $host" ),這樣不錯。但是 $host=www.yahoo.com;cat /etc/passwd，明白的一眼就看出來了吧。

Perl裡面的 system, exec, ``, open, PHP裡面的fopen, popon 都有這個問題。

五, HTTP協議和Client本身的弱點。

1，比如你搞了一個永不到期的COOKIE,別人就可以輕而易舉用這個cookie來通過一些東西了。

2，輕信HTTP Header裡面的任何東西，都是致命的。以前看到有人問，如何避免站內提交，答案是REFERER,其不知稍微有的Socket編程的人，自己構造一個HEADER送到你的FORM裡面是輕而易舉事情。

3，構造HTTP Form， 連checkbox, radio也不要相信，給這寫東西賦值太簡單了。

4,Client亂加Javascript,我記得部落格園就有過誰新改標題，導致部落格園首頁不顯示的問題。

5，HTTP明文傳輸，很多時候密碼會被攔截，所以向Yahoo那樣，把密碼在用戶端加密一下，然後再傳會好一些。

六，解決方案

1，基本原則，不要相信如何輸入的東西，所有輸入的東西都check一下。怎麼check，不說了。

2，找Scaner自己scan一下你寫的程式，看看那些已經存在的問題你有沒有。