首頁 > 開發者 > PHP

PHP開發不能違背的安全規則

來源：互聯網
上載者：User
創建阿里雲帳戶，並獲得超過 40 款產品的免費試用版；而企業帳戶則可以享有總值 $1200 的免費試用版。立即註冊！

作為PHP程式員，特別是新手，對於互連網的險惡總是知道的太少，對於外部的入侵有很多時候是素手無策的，他們根本不知道駭客是如何入侵的、提交入侵、上傳漏洞、sql 注入、跨指令碼攻擊等等。作為最基本的防範你需要注意你的外部提交，做好第一面安全機制處理防火牆。

 

規則 1：絕不要信任外部資料或輸入

關於Web應用程式安全性，必須認識到的第一件事是不應該信任外部資料。外部資料(outside data) 包括不是由程式員在PHP代碼中直接輸入的任何資料。在採取措施確保安全之前，來自任何其他來源(比如 GET 變數、表單 POST、資料庫、設定檔、會話變數或 cookie)的任何資料都是不可信任的。

例如，下面的資料元素可以被認為是安全的，因為它們是在PHP中設定的。



    
 
  1. 清單 1. 安全無暇的代碼  
    2. 
 
  2. $myUsername = ‘tmyer’;  
    3. 
 
  3. $arrayarrayUsers = array(‘tmyer’, ‘tom’, ‘tommy’);  
    4. 
 
  4. define(“GREETING”, ‘hello there’ . $myUsername);  
    5. 
 
  5. ?> 
    6. 



但是，下面的資料元素都是有瑕疵的。




    
 
  1. 清單 2. 不安全、有瑕疵的代碼  
    2. 
 
  2. $myUsername = $_POST['username']; //tainted!  
    3. 
 
  3. $arrayarrayUsers = array($myUsername, ‘tom’, ‘tommy’); //tainted!  
    4. 
 
  4. define(“GREETING”, ‘hello there’ . $myUsername); //tainted!  
    5. 
 
  5. ?> 
    6. 



為什麼第一個變數$myUsername 是有瑕疵的?因為它直接來自表單 POST。使用者可以在這個輸入欄位中輸入任何字串，包括用來清除檔案或運行以前上傳的檔案的惡意命令。您可能會問，“難道不能使用只接受字母 A-Z 的用戶端(Javascrīpt)表單檢驗指令碼來避免這種危險嗎?”是的，這總是一個有好處的步驟，但是正如在後面會看到的，任何人都可以將任何錶單下載到自己的機器上，修改它，然後重新提交他們需要的任何內容。


解決方案很簡單：必須對$_POST['username'] 運行清理代碼。如果不這麼做，那麼在使用$myUsername的任何其他時候(比如在數組或常量中)，就可能汙染這些對象。對使用者輸入進行清理的一個簡單方法是，使用Regex來處理它。在這個樣本中，只希望接受字母。將字串限制為特定數量的字元，或者要求所有字母都是小寫，這可能也是個好主意。




    
 
  1. 清單 3. 使使用者輸入變得安全  
    2. 
 
  2. $myUsername = cleanInput($_POST['username']); //clean!  
    3. 
 
  3. $arrayarrayUsers = array($myUsername, ‘tom’, ‘tommy’); //clean!  
    4. 
 
  4. define(“GREETING”, ‘hello there’ . $myUsername); //clean!  
    5. 
 
  5. function cleanInput($input){   $clean = strtolower($input);  
    6. 
 
  6. $clean = preg_replace(“/[^a-z]/”, “”, $clean);  
    7. 
 
  7. $clean = substr($clean,0,12);return $clean;  
    8. 
 
  8. }  
    9. 
 
  9. ?> 
    10. 



規則 2：禁用那些使安全性難以實施的PHP設定


已經知道了不能信任使用者輸入，還應該知道不應該信任機器上配置 PHP 的方式。例如，要確保禁用 register_globals。如果啟用了 register_globals，就可能做一些粗心的事情，比如使用 $variable 替換同名的 GET 或 POST 字串。通過禁用這個設定，PHP 強迫您在正確的名稱空間中引用正確的變數。要使用來自表單 POST 的變數，應該引用 $_POST['variable']。這樣就不會將這個特定變數誤會成 cookie、會話或 GET 變數。


規則 3：如果不能理解它，就不能保護它


一些開發人員使用奇怪的文法，或者將語句組織得很緊湊，形成簡短但是含義模糊的代碼。這種方式可能效率高，但是如果您不理解代碼正在做什麼，那麼就無法決定如何保護它。例如，您喜歡下面兩段代碼中的哪一段?




    
 
  1. 清單 4. 使代碼容易得到保護  
    2. 
 
  2. //obfuscated code  
    3. 
 
  3. $input = (isset($_POST['username']) ? $_POST['username']:”);  
    4. 
 
  4. //unobfuscated code  
    5. 
 
  5. $input ='';  
    6. 
 
  6. if (isset($_POST['username'])){  
    7. 
 
  7. $input = $_POST['username'];  
    8. 
 
  8. }else{  
    9. 
 
  9. $input ='';  
    10. 
 
  10. } 
    11. 



在第二個比較清晰的程式碼片段中，很容易看出 $input 是有瑕疵的，需要進行清理，然後才能安全地處理。


規則 4：“縱深防禦” 是新的法寶


本教程將用樣本來說明如何保護線上表單，同時在處理表單的 PHP 代碼中採用必要的措施。同樣，即使使用 PHP regex 來確保 GET 變數完全是數位，仍然可以採取措施確保 SQL 查詢使用轉義的使用者輸入。縱深防禦不只是一種好思想，它可以確保您不會陷入嚴重的麻煩。既然已經討論了基本規則，現在就來研究第一種威脅：SQL 插入式攻擊。


◆防止SQL注入攻擊


在SQL注入攻擊中，使用者通過操縱表單或 GET 查詢字串，將資訊添加到資料庫查詢中。例如，假設有一個簡單的登入資料庫。這個資料庫中的每個記錄都有一個使用者名稱欄位和一個密碼欄位。構建一個登入表單，讓使用者能夠登入。




    
 
  1. <html> 
    2. 
 
  2. <head> 
    3. 
 
  3. <title>Login</title> 
    4. 
 
  4. </head> 
    5. 
 
  5. <body> 
    6. 
 
  6. <form action=”verify.php” method=”post”> 
    7. 
 
  7. <p><label for=’user’>Username</label> 
    8. 
 
  8. <input type=’text’ name=’user’ id=’user’/> 
    9. 
 
  9. </p> <p><label for=’pw’>Password</label> 
    10. 
 
  10. <input type=’password’ name=’pw’ id=’pw’/> 
    11. 
 
  11. </p> <p><input type=’submit’ value=’login’/></p> 
    12. 
 
  12. </form> 
    13. 
 
  13. </body> 
    14. 
 
  14. </html> 
    15. 



這個表單接受使用者輸入的使用者名稱和密碼，並將使用者輸入提交給名為verify.php的檔案。在這個檔案中，PHP處理來自登入表單的資料，如下所示：




    
 
  1. 清單 5. 不安全的 PHP 表單處理代碼  
    2. 
 
  2. <?php 
    3. 
 
  3. $okay = 0;  
    4. 
 
  4. $username = $_POST['user'];  
    5. 
 
  5. $pw = $_POST['pw'];  
    6. 
 
  6. $sql = “select count(*) as ctr from users where username=’”.$username.”‘ and password=’”. $pw.”‘ limit 1″;  
    7. 
 
  7. $result = mysql_query($sql);  
    8. 
 
  8. while ($data = mysql_fetch_object($result)){  
    9. 
 
  9. if ($data->ctr == 1){  
    10. 
 
  10. //they’re okay to enter the application!  
    11. 
 
  11. $okay = 1;  
    12. 
 
  12. }  
    13. 
 
  13. }  
    14. 
 
  14. if ($okay){  
    15. 
 
  15. $_SESSION['loginokay'] = true;  
    16. 
 
  16. header(“index.php”);  
    17. 
 
  17. }else{  
    18. 
 
  18. header(“login.php”);  
    19. 
 
  19. }  
    20. 
 
  20. ?> 
    21. 



這段代碼看起來沒問題，對嗎?世界各地成百(甚至成千)的 PHP/MySQL 網站都在使用這樣的代碼。它錯在哪裡?好，記住 “不能信任使用者輸入”。這裡沒有對來自使用者的任何資訊進行轉義，因此使應用程式容易受到攻擊。具體來說，可能會出現任何類型的SQL注入攻擊。例如，如果使用者輸入 foo 作為使用者名稱，輸入 ‘ or ’1′=’1 作為密碼，那麼實際上會將以下字串傳遞給 PHP，然後將查詢傳遞給 MySQL：




    
 
  1. <?php 
    2. 
 
  2. $sql = “select count(*) as ctr from users where username=’foo’ and password=” or ’1′=’1′ limit 1″;  
    3. 
 
  3. ?> 
    4. 



這個查詢總是返回計數值 1，因此 PHP 會允許進行訪問。通過在密碼字串的末章節附註入某些惡意 SQL，駭客就能裝扮成合法的使用者。解決這個問題的辦法是，將 PHP 的內建 mysql_real_escape_string() 函數用作任何使用者輸入的封裝器。這個函數對字串中的字元進行轉義，使字串不可能傳遞撇號等特殊字元並讓 MySQL 根據特殊字元進行操作。清單7展示了帶轉義處理的代碼。




    
 
  1. 清單7展示了帶轉義處理的代碼  
    2. 
 
  2. <?php    
    3. 
 
  3. $okay = 0;    
    4. 
 
  4. $username = $_POST['user'];    
    5. 
 
  5. $pw = $_POST['pw'];    
    6. 
 
  6. $sql = "select count(*) as ctr from users where username='".mysql_real_escape_string($username)."' and password='". mysql_real_escape_string($pw)."' limit 1";     
    7. 
 
  7. $result = mysql_query($sql);    
    8. 
 
  8. while ($data = mysql_fetch_object($result)){        
    9. 
 
  9.        if ($data->ctr == 1){          //they're okay to enter the application!            
    10. 
 
  10.        $okay = 1;         
    11. 
 
  11.        }    
    12. 
 
  12.       }    
    13. 
 
  13.        if ($okay){        
    14. 
 
  14.            $_SESSION['loginokay'] = true;        
    15. 
 
  15.            header("index.php");    
    16. 
 
  16.            }  
    17. 
 
  17.         else{        
    18. 
 
  18.         header("login.php");    
    19. 
 
  19.       }    
    20. 
 
  20. ?> 
    21. 



使用 mysql_real_escape_string() 作為使用者輸入的封裝器，就可以避免使用者輸入中的任何惡意 SQL 注入。如果使用者嘗試通過 SQL 注入傳遞畸形的密碼，那麼會將以下查詢傳遞給資料庫：




    
 
  1. select count(*) as ctr from users where username=’foo’ and password=’\’ or \’1\’=\’1′ limit 1″ 
    2. 
 
  2.  
    3. 

 




                

                    
本文章原先以中文撰寫並發佈於 aliyun.com，亦設英文版本，僅作資訊用途。本網站不對文章的準確性，完整性或可靠性或其任何翻譯作出任何明示或暗示的陳述或保證。如對該文章有任何疑慮或投訴，請傳送電郵至 info-contact@alibabacloud.com 並提供相關疑慮或投訴的詳細說明。職員會於 5 個工作天內與您聯絡，一經驗證之後，即會刪除該侵權內容。

                

            


                            
相關關鍵詞：
                    

                                                    php php php
                                                    php php
                                                    php id php
                                                    php include php file
                                                    php index php id
                                                    php ini php
                                                    php install php
                                            

                

                                                                            

                    相關文章
                    

                                                    

                                
                                    監控伺服器swap並重啟php的Shell指令碼_linux shell                                
                                
                            

                                                    

                                
                                    PHP(5)“最長公用首碼”演算法問題                                
                                
                            

                                                    

                                
                                    30個很棒的PHP開源CMS內容管理系統                                
                                
                            

                                                    

                                
                                    php調用dll經驗小結                                
                                
                            

                                                    

                                
                                    PHP匯入匯出Excel方法                                
                                
                            

                                                    

                                
                                    PHP 擷取當前url的函數及參數                                
                                
                            

                                            

                

                    

        

            

                

                                        

                        

                    

                

                

    

                    
聯繫我們

            
該頁面正文內容均來源於網絡整理，並不代表阿里雲官方的觀點，該頁面所提到的產品和服務也與阿里云無關，如果該頁面內容對您造成了困擾，歡迎寫郵件給我們，收到郵件我們將在5個工作日內處理。

            

                如果您發現本社區中有涉嫌抄襲的內容，歡迎發送郵件至：
                info-contact@alibabacloud.com
                進行舉報並提供相關證據，工作人員會在 5 個工作天內聯絡您，一經查實，本站將立刻刪除涉嫌侵權內容。
            

            



                

            

            
熱門內容

            
        

    


                                

                    










  
      
  
            
                
                
            
  
      
  








                

            

        

    

    


    


  

    

      

        

          

            

              
A Free Trial That Lets You Build Big!

              
 Start building with 50+ products and up to 12 months usage for Elastic Compute Service 

              

                Get Started for Free
              

            

          

          

            

              
    
                
  • 
                  
    Sales Support
    
                  
    
                    1 on 1 presale consultation
                  
    
                  
    
                    Chat
                    Contact Sales
                  
    
                
    • 
                
  • 
                  
    After-Sales Support
    
                  
    
                    24/7 Technical Support
                    6 Free Tickets per Quarter
                    Faster Response
                  
    
                  
    
                    Open a Ticket
                  
    
                
    • 
                
  • 
                  
    
                  
     Alibaba Cloud offers highly flexible support services tailored to meet your exact needs. 
    
                  
    
                    Learn More
                  
    
                
    •