標籤:提交資料 XML lob where 解決方案 auth 方案 核心 反引號
php給了開發人員極大的靈活性,但是這也為安全問題帶來了潛在的隱患,近期需要總結一下以往的問題,在這裡借翻譯一篇文章同時加上自己開發的一些感觸總結一下。
簡介
當開發一個互連網服務的時候,必須時刻牢記安全觀念,並在開發的代碼中體現。PHP指令碼語言對安全問題並不關心,特別是對大多數沒有經驗的開發人員來說。每當你講任何涉及到錢財事務等交易問題時,需要特別注意安全問題的考慮,例如開發一個論壇或者是一個購物車等。
安全保護一般性要點
對於一般的Javascript前台驗證,由於無法得知使用者的行為,例如關閉了瀏覽器的javascript引擎,這樣通過POST惡意資料到伺服器。需要在伺服器端進行驗證,對每個php指令碼驗證傳遞到的資料,防止XSS攻擊和SQL注入
要假設你的網站接收的每一條資料都是存在惡意代碼的,存在隱藏的威脅,要對每一條資料都進行清理
在php.ini檔案中進行以下配置:
register_globals = Off
如果這個配置選項開啟之後,會出現很大的安全隱患。例如有一個process.php的指令檔,會將接收到的資料插入到資料庫,接收使用者輸入資料的表單可能如下:
<input name="username" type="text" size="15" maxlength="64">
這樣,當提交資料到process.php之後,php會註冊一個$username變數,將這個變數資料提交到process.php,同時對於任何POST或GET請求參數,都會設定這樣的變數。如果不是顯示進行初始化那麼就會出現下面的問題:
<?php
// Define $authorized = true only if user is authenticated
if (authenticated_user()) {
$authorized = true;
}
?>
此處,假設authenticated_user函數就是判斷$authorized變數的值,如果開啟了register_globals配置,那麼任何使用者都可以發送一個請求,來設定$authorized變數的值為任意值從而就能繞過這個驗證。
所有的這些提交資料都應該通過PHP預定義內建的全域數組來擷取,包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等,其中$_REQUEST是一個$_GET/$_POST/$_COOKIE三個數組的聯合變數,預設的順序是$_COOKIE、$_POST、$_GET。
error_reporting設定為Off:不要暴露錯誤資訊給使用者,開發的時候可以設定為ON
safe_mode設定為Off
register_globals設定為Off
將以下函數禁用:system、exec、passthru、shell_exec、proc_open、popen
open_basedir設定為 /tmp ,這樣可以讓session資訊有儲存許可權,同時設定單獨的網站根目錄
expose_php設定為Off
allow_url_fopen設定為Off
allow_url_include設定為Off
SQL注入攻擊
對於操作資料庫的SQL語句,需要特別注意安全性,因為使用者可能輸入特定語句使得原有的SQL語句改變了功能。類似下面的例子:
$sql = "select * from pinfo where product = ‘$product‘";
此時如果使用者輸入的$product參數為:
39‘; DROP pinfo; SELECT ‘FOO
那麼最終SQL語句就變成了如下的樣子:
select product from pinfo where product = ‘39‘; DROP pinfo; SELECT ‘FOO‘
這樣就會變成三條SQL語句,會造成pinfo表被刪除,這樣會造成嚴重的後果。
這個問題可以簡單的使用PHP的內建函數解決:
$sql = ‘Select * from pinfo where product = ‘"‘
mysql_real_escape_string($product) . ‘"‘;
防止SQL注入攻擊需要做好兩件事:
對輸入的參數總是進行類型驗證
對單引號、雙引號、反引號等特殊字元總是使用mysql_real_escape_string函數進行轉義
但是,這雷根據開發經驗,不要開啟php的Magic Quotes,這個特性在php6中已經廢除,總是自己在需要的時候進行轉義。
防止基本的XSS攻擊
XSS攻擊不像其他攻擊,這種攻擊在用戶端進行,最基本的XSS工具就是防止一段javascript指令碼在使用者待提交的表單頁面,將使用者提交的資料和cookie偷取過來。
XSS工具比SQL注入更加難以防護,各大公司網站都被XSS攻擊過,雖然這種攻擊與php語言無關,但可以使用php來篩選使用者資料達到保護使用者資料的目的,這裡主要使用的是對使用者的資料進行過濾,一般過濾掉HTML標籤,特別是a標籤。下面是一個普通的過濾方法:
function transform_HTML($string, $length = null) {
// Helps prevent XSS attacks
// Remove dead space.
$string = trim($string);
// Prevent potential Unicode codec problems.
$string = utf8_decode($string);
// HTMLize HTML-specific characters.
$string = htmlentities($string, ENT_NOQUOTES);
$string = str_replace("#", "#", $string);
$string = str_replace("%", "%", $string);
$length = intval($length);
if ($length > 0) {
$string = substr($string, 0, $length);
}
return $string;
}
這個函數將HTML的特殊字元轉換為了HTML實體,瀏覽器在渲染這段文本的時候以純文字形式顯示。如<strong>bold</strong>會被顯示為:
<STRONG>BoldText</STRONG>
上述函數的核心就是htmlentities函數,這個函數將html特殊標籤轉換為html實體字元,這樣可以過濾大部分的XSS攻擊。
但是對於有經驗的XSS攻擊者,有更加巧妙的辦法進行攻擊:將他們的惡意代碼使用十六進位或者utf-8編碼,而不是普通的ASCII文本,例如可以使用下面的方式進行:
<a href="http://host/a.php?variable=%22%3e %3c%53%43%52%49%50%54%3e%44%6f%73%6f%6d%65%74%68%69%6e%67%6d%61%6c%69%63%69%6f%75%73%3c%2f%53%43%52%49%50%54%3e">
這樣瀏覽器渲染的結果其實是:
<a href="http://host/a.php?variable="> <SCRIPT>Dosomethingmalicious</SCRIPT>
這樣就達到了攻擊的目的。為了防止這種情況,需要在transform_HTML函數的基礎上再將#和%轉換為他們對應的實體符號,同時加上了$length參數來限制提交的資料的最大長度。
使用SafeHTML防止XSS攻擊
上述關於XSS攻擊的防護非常簡單,但是不包含使用者的所有標記,同時有上百種繞過過濾函數提交javascript代碼的方法,也沒有辦法能完全阻止這個情況。
目前,沒有一個單一的指令碼能保證不被攻擊突破,但是總有相對來說防護程度更好的。一共有兩個安全防護的方式:白名單和黑名單。其中白名單更加簡單和有效。
一種白名單解決方案就是SafeHTML,它足夠智能能夠識別有效HTML,然後就可以去除任何危險的標籤。這個需要基於HTMLSax包來進行解析。
安裝使用SafeHTML的方法:
1、前往http://pixel-apes.com/safehtml/?page=safehtml 下載最新的SafeHTML
2、將檔案放入伺服器的classes 目錄,這個目錄包含所有的SafeHTML和HTMLSax庫
3、在自己的指令碼中包含SafeHTML類檔案
4、建立一個SafeHTML對象
5、使用parse方法進行過濾
<?php
/* If you‘re storing the HTMLSax3.php in the /classes directory, along
with the safehtml.php script, define XML_HTMLSAX3 as a null string. */
define(XML_HTMLSAX3, ‘‘);
// Include the class file.
require_once(‘classes/safehtml.php‘);
// Define some sample bad code.
$data = "This data would raise an alert <script>alert(‘XSS Attack‘)</script>";
// Create a safehtml object.
$safehtml = new safehtml();
// Parse and sanitize the data.
$safe_data = $safehtml->parse($data);
// Display result.
echo ‘The sanitized data is <br />‘ . $safe_data;
?>
SafeHTML並不能完全防止XSS攻擊,只是一個相對複雜的指令碼來檢驗的方式。
使用單向HASH加密方式來保護資料
單向hash加密保證對每個使用者的密碼都是唯一的,而且不能被破譯的,只有終端使用者知道密碼,系統也是不知道原始密碼的。這樣的一個好處是在系統被攻擊後攻擊者也無法知道原始密碼資料。
加密和Hash是不同的兩個過程。與加密不同,Hash是無法被解密的,是單向的;同時兩個不同的字串可能會得到同一個hash值,並不能保證hash值的唯一性。
MD5函數處理過的hash值基本不能被破解,但是總是有可能性的,而且網上也有MD5的hash字典。
使用mcrypt加密資料
MD5 hash函數可以在可讀的表單中顯示資料,但是對於儲存使用者的信用卡資訊的時候,需要進行加密處理後儲存,並且需要之後進行解密。
最好的方法是使用mcrypt模組,這個模組包含了超過30中加密方式來保證只有加密者才能解密資料。
<?php
$data = "Stuff you want encrypted";
$key = "Secret passphrase used to encrypt your data";
$cipher = "MCRYPT_SERPENT_256";
$mode = "MCRYPT_MODE_CBC";
function encrypt($data, $key, $cipher, $mode) {
// Encrypt data
return (string)
base64_encode
(
mcrypt_encrypt
(
$cipher,
substr(md5($key),0,mcrypt_get_key_size($cipher, $mode)),
$data,
$mode,
substr(md5($key),0,mcrypt_get_block_size($cipher, $mode))
)
);
}
function decrypt($data, $key, $cipher, $mode) {
// Decrypt data
return (string)
mcrypt_decrypt
(
$cipher,
substr(md5($key),0,mcrypt_get_key_size($cipher, $mode)),
base64_decode($data),
$mode,
substr(md5($key),0,mcrypt_get_block_size($cipher, $mode))
);
}
?>
mcrypt函數需要以下資訊:
1、待加密資料
2、用來加密和解密資料的key
3、使用者選擇的加密資料的特定演算法(cipher:如 MCRYPT_TWOFISH192,MCRYPT_SERPENT_256, MCRYPT_RC2, MCRYPT_DES, and MCRYPT_LOKI97)
4、用來加密的模式
5、加密的種子,用來起始加密過程的資料,是一個額外的位元據用來初始化密碼編譯演算法
6、加密key和種子的長度,使用mcrypt_get_key_size函數和mcrypt_get_block_size函數可以擷取
如果資料和key都被盜取,那麼攻擊者可以遍曆ciphers尋找開行的方式即可,因此我們需要將加密的key進行MD5一次後保證安全性。同時由於mcrypt函數返回的加密資料是一個位元據,這樣儲存到資料庫欄位中會引起其他錯誤,使用了base64encode將這些資料轉換為了十六進位數方便儲存。
PHP開發安全問題