PHP開發不能違背的安全規則

來源:互聯網
上載者:User

作為PHP程式員,特別是新手,對於互連網的險惡總是知道的太少,對於外部的入侵有很多時候是素手無策的,他們根本不知道駭客是如何入侵的、提交入侵、上傳漏洞、sql 注入、跨指令碼攻擊等等。作為最基本的防範你需要注意你的外部提交,做好第一面安全機制處理防火牆。

 

規則 1:絕不要信任外部資料或輸入

關於Web應用程式安全性,必須認識到的第一件事是不應該信任外部資料。外部資料(outside data) 包括不是由程式員在PHP代碼中直接輸入的任何資料。在採取措施確保安全之前,來自任何其他來源(比如 GET 變數、表單 POST、資料庫、設定檔、會話變數或 cookie)的任何資料都是不可信任的。

例如,下面的資料元素可以被認為是安全的,因為它們是在PHP中設定的。


  1. 清單 1. 安全無暇的代碼  
  2. $myUsername = ‘tmyer’;  
  3. $arrayarrayUsers = array(‘tmyer’, ‘tom’, ‘tommy’);  
  4. define(“GREETING”, ‘hello there’ . $myUsername);  
  5. ?> 

但是,下面的資料元素都是有瑕疵的。


  1. 清單 2. 不安全、有瑕疵的代碼  
  2. $myUsername = $_POST['username']; //tainted!  
  3. $arrayarrayUsers = array($myUsername, ‘tom’, ‘tommy’); //tainted!  
  4. define(“GREETING”, ‘hello there’ . $myUsername); //tainted!  
  5. ?> 

為什麼第一個變數$myUsername 是有瑕疵的?因為它直接來自表單 POST。使用者可以在這個輸入欄位中輸入任何字串,包括用來清除檔案或運行以前上傳的檔案的惡意命令。您可能會問,“難道不能使用只接受字母 A-Z 的用戶端(Javascrīpt)表單檢驗指令碼來避免這種危險嗎?”是的,這總是一個有好處的步驟,但是正如在後面會看到的,任何人都可以將任何錶單下載到自己的機器上,修改它,然後重新提交他們需要的任何內容。

解決方案很簡單:必須對$_POST['username'] 運行清理代碼。如果不這麼做,那麼在使用$myUsername的任何其他時候(比如在數組或常量中),就可能汙染這些對象。對使用者輸入進行清理的一個簡單方法是,使用Regex來處理它。在這個樣本中,只希望接受字母。將字串限制為特定數量的字元,或者要求所有字母都是小寫,這可能也是個好主意。


  1. 清單 3. 使使用者輸入變得安全  
  2. $myUsername = cleanInput($_POST['username']); //clean!  
  3. $arrayarrayUsers = array($myUsername, ‘tom’, ‘tommy’); //clean!  
  4. define(“GREETING”, ‘hello there’ . $myUsername); //clean!  
  5. function cleanInput($input){   $clean = strtolower($input);  
  6. $clean = preg_replace(“/[^a-z]/”, “”, $clean);  
  7. $clean = substr($clean,0,12);return $clean;  
  8. }  
  9. ?> 

規則 2:禁用那些使安全性難以實施的PHP設定

已經知道了不能信任使用者輸入,還應該知道不應該信任機器上配置 PHP 的方式。例如,要確保禁用 register_globals。如果啟用了 register_globals,就可能做一些粗心的事情,比如使用 $variable 替換同名的 GET 或 POST 字串。通過禁用這個設定,PHP 強迫您在正確的名稱空間中引用正確的變數。要使用來自表單 POST 的變數,應該引用 $_POST['variable']。這樣就不會將這個特定變數誤會成 cookie、會話或 GET 變數。

規則 3:如果不能理解它,就不能保護它

一些開發人員使用奇怪的文法,或者將語句組織得很緊湊,形成簡短但是含義模糊的代碼。這種方式可能效率高,但是如果您不理解代碼正在做什麼,那麼就無法決定如何保護它。例如,您喜歡下面兩段代碼中的哪一段?


  1. 清單 4. 使代碼容易得到保護  
  2. //obfuscated code  
  3. $input = (isset($_POST['username']) ? $_POST['username']:”);  
  4. //unobfuscated code  
  5. $input ='';  
  6. if (isset($_POST['username'])){  
  7. $input = $_POST['username'];  
  8. }else{  
  9. $input ='';  

在第二個比較清晰的程式碼片段中,很容易看出 $input 是有瑕疵的,需要進行清理,然後才能安全地處理。

規則 4:“縱深防禦” 是新的法寶

本教程將用樣本來說明如何保護線上表單,同時在處理表單的 PHP 代碼中採用必要的措施。同樣,即使使用 PHP regex 來確保 GET 變數完全是數位,仍然可以採取措施確保 SQL 查詢使用轉義的使用者輸入。縱深防禦不只是一種好思想,它可以確保您不會陷入嚴重的麻煩。既然已經討論了基本規則,現在就來研究第一種威脅:SQL 插入式攻擊。

◆防止SQL注入攻擊

在SQL注入攻擊中,使用者通過操縱表單或 GET 查詢字串,將資訊添加到資料庫查詢中。例如,假設有一個簡單的登入資料庫。這個資料庫中的每個記錄都有一個使用者名稱欄位和一個密碼欄位。構建一個登入表單,讓使用者能夠登入。


  1. <html> 
  2. <head> 
  3. <title>Login</title> 
  4. </head> 
  5. <body> 
  6. <form action=”verify.php” method=”post”> 
  7. <p><label for=’user’>Username</label> 
  8. <input type=’text’ name=’user’ id=’user’/> 
  9. </p> <p><label for=’pw’>Password</label> 
  10. <input type=’password’ name=’pw’ id=’pw’/> 
  11. </p> <p><input type=’submit’ value=’login’/></p> 
  12. </form> 
  13. </body> 
  14. </html> 

這個表單接受使用者輸入的使用者名稱和密碼,並將使用者輸入提交給名為verify.php的檔案。在這個檔案中,PHP處理來自登入表單的資料,如下所示:


  1. 清單 5. 不安全的 PHP 表單處理代碼  
  2. <?php 
  3. $okay = 0;  
  4. $username = $_POST['user'];  
  5. $pw = $_POST['pw'];  
  6. $sql = “select count(*) as ctr from users where username=’”.$username.”‘ and password=’”. $pw.”‘ limit 1″;  
  7. $result = mysql_query($sql);  
  8. while ($data = mysql_fetch_object($result)){  
  9. if ($data->ctr == 1){  
  10. //they’re okay to enter the application!  
  11. $okay = 1;  
  12. }  
  13. }  
  14. if ($okay){  
  15. $_SESSION['loginokay'] = true;  
  16. header(“index.php”);  
  17. }else{  
  18. header(“login.php”);  
  19. }  
  20. ?> 

這段代碼看起來沒問題,對嗎?世界各地成百(甚至成千)的 PHP/MySQL 網站都在使用這樣的代碼。它錯在哪裡?好,記住 “不能信任使用者輸入”。這裡沒有對來自使用者的任何資訊進行轉義,因此使應用程式容易受到攻擊。具體來說,可能會出現任何類型的SQL注入攻擊。例如,如果使用者輸入 foo 作為使用者名稱,輸入 ‘ or ’1′=’1 作為密碼,那麼實際上會將以下字串傳遞給 PHP,然後將查詢傳遞給 MySQL:


  1. <?php 
  2. $sql = “select count(*) as ctr from users where username=’foo’ and password=” or ’1′=’1′ limit 1″;  
  3. ?> 

這個查詢總是返回計數值 1,因此 PHP 會允許進行訪問。通過在密碼字串的末章節附註入某些惡意 SQL,駭客就能裝扮成合法的使用者。解決這個問題的辦法是,將 PHP 的內建 mysql_real_escape_string() 函數用作任何使用者輸入的封裝器。這個函數對字串中的字元進行轉義,使字串不可能傳遞撇號等特殊字元並讓 MySQL 根據特殊字元進行操作。清單7展示了帶轉義處理的代碼。


  1. 清單7展示了帶轉義處理的代碼  
  2. <?php    
  3. $okay = 0;    
  4. $username = $_POST['user'];    
  5. $pw = $_POST['pw'];    
  6. $sql = "select count(*) as ctr from users where username='".mysql_real_escape_string($username)."' and password='". mysql_real_escape_string($pw)."' limit 1";     
  7. $result = mysql_query($sql);    
  8. while ($data = mysql_fetch_object($result)){        
  9.        if ($data->ctr == 1){          //they're okay to enter the application!            
  10.        $okay = 1;         
  11.        }    
  12.       }    
  13.        if ($okay){        
  14.            $_SESSION['loginokay'] = true;        
  15.            header("index.php");    
  16.            }  
  17.         else{        
  18.         header("login.php");    
  19.       }    
  20. ?> 

使用 mysql_real_escape_string() 作為使用者輸入的封裝器,就可以避免使用者輸入中的任何惡意 SQL 注入。如果使用者嘗試通過 SQL 注入傳遞畸形的密碼,那麼會將以下查詢傳遞給資料庫:


  1. select count(*) as ctr from users where username=’foo’ and password=’\’ or \’1\’=\’1′ limit 1″ 
  2.  


相關文章

Cloud Intelligence Leading the Digital Future

Alibaba Cloud ACtivate Online Conference, Nov. 20th & 21st, 2019 (UTC+08)

Register Now >

Starter Package

SSD Cloud server and data transfer for only $2.50 a month

Get Started >

Alibaba Cloud Free Trial

Learn and experience the power of Alibaba Cloud with a free trial worth $300-1200 USD

Learn more >

聯繫我們

該頁面正文內容均來源於網絡整理,並不代表阿里雲官方的觀點,該頁面所提到的產品和服務也與阿里云無關,如果該頁面內容對您造成了困擾,歡迎寫郵件給我們,收到郵件我們將在5個工作日內處理。

如果您發現本社區中有涉嫌抄襲的內容,歡迎發送郵件至: info-contact@alibabacloud.com 進行舉報並提供相關證據,工作人員會在 5 個工作天內聯絡您,一經查實,本站將立刻刪除涉嫌侵權內容。