您好,登錄后才能下訂單哦!
本篇文章給大家分享的是有關(guān)PHP開發(fā)安全問題怎么實(shí)現(xiàn)以及PHP開發(fā)推薦的安全配置選項(xiàng)有哪些,小編覺得挺實(shí)用的,因此分享給大家學(xué)習(xí),希望大家閱讀完這篇文章后可以有所收獲,話不多說,跟著小編一起來看看吧。
當(dāng)開發(fā)一個(gè)互聯(lián)網(wǎng)服務(wù)的時(shí)候,必須時(shí)刻牢記安全觀念,并在開發(fā)的代碼中體現(xiàn)。PHP腳本語言對安全問題并不關(guān)心,特別是對大多數(shù)沒有經(jīng)驗(yàn)的開發(fā)者來說。每當(dāng)你講任何涉及到錢財(cái)事務(wù)等交易問題時(shí),需要特別注意安全問題的考慮,例如開發(fā)一個(gè)論壇或者是一個(gè)購物車等。下面億速云小編來講解下PHP開發(fā)安全問題怎么實(shí)現(xiàn)?PHP開發(fā)推薦的安全配置選項(xiàng)有哪些?
HP開發(fā)安全問題怎么實(shí)現(xiàn)
安全保護(hù)一般性要點(diǎn)
不相信表單
對于一般的Javascript前臺驗(yàn)證,由于無法得知用戶的行為,例如關(guān)閉了瀏覽器的javascript引擎,這樣通過POST惡意數(shù)據(jù)到服務(wù)器。需要在服務(wù)器端進(jìn)行驗(yàn)證,對每個(gè)php腳本驗(yàn)證傳遞到的數(shù)據(jù),防止XSS攻擊和SQL注入
不相信用戶
要假設(shè)你的網(wǎng)站接收的每一條數(shù)據(jù)都是存在惡意代碼的,存在隱藏的威脅,要對每一條數(shù)據(jù)都進(jìn)行清理
關(guān)閉全局變量
在php.ini文件中進(jìn)行以下配置:
register_globals=Off
假如這個(gè)配置選項(xiàng)打開之后,會出現(xiàn)很大的安全隱患。例如有一個(gè)process.php的腳本文件,會將接收到的數(shù)據(jù)插入到數(shù)據(jù)庫,接收用戶輸入數(shù)據(jù)的表單可能如下:
這樣,當(dāng)提交數(shù)據(jù)到process.php之后,php會注冊一個(gè)$username變量,將這個(gè)變量數(shù)據(jù)提交到process.php,同時(shí)對于任何POST或GET請求參數(shù),都會設(shè)置這樣的變量。假如不是顯示進(jìn)行初始化那么就會出現(xiàn)下面的問題:
//Define$authorized=trueonlyifuserisauthenticated
if(authenticated_user()){
$authorized=true;
}
>
此處,假設(shè)authenticated_user函數(shù)就是判斷$authorized變量的值,假如開啟了register_globals配置,那么任何用戶都可以發(fā)送一個(gè)請求,來設(shè)置$authorized變量的值為任意值從而就能繞過這個(gè)驗(yàn)證。
所有的這些提交數(shù)據(jù)都應(yīng)該通過PHP預(yù)定義內(nèi)置的全局?jǐn)?shù)組來獲取,包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等,其中$_REQUEST是一個(gè)$_GET/$_POST/$_COOKIE三個(gè)數(shù)組的聯(lián)合變量,默認(rèn)的順序是$_COOKIE、$_POST、$_GET。
PHP開發(fā)推薦的安全配置選項(xiàng)有哪些
error_reporting設(shè)置為Off:不要暴露錯(cuò)誤信息給用戶,開發(fā)的時(shí)候可以設(shè)置為ON
safe_mode設(shè)置為Off
register_globals設(shè)置為Off
將以下函數(shù)禁用:system、exec、passthru、shell_exec、proc_open、popen
open_basedir設(shè)置為/tmp,這樣可以讓session信息有存儲權(quán)限,同時(shí)設(shè)置單獨(dú)的網(wǎng)站根目錄
expose_php設(shè)置為Off
allow_url_fopen設(shè)置為Off
allow_url_include設(shè)置為Off
SQL注入攻擊
對于操作數(shù)據(jù)庫的SQL語句,需要特別注意安全性,因?yàn)橛脩艨赡茌斎胩囟ㄕZ句使得原有的SQL語句改變了功能。類似下面的例子:
$sql="select*frompinfowhereproduct='$product'";
此時(shí)假如用戶輸入的$product參數(shù)為:
39';DROPpinfo;SELECT'FOO
那么最終SQL語句就變成了如下的樣子:
selectproductfrompinfowhereproduct='39';DROPpinfo;SELECT'FOO'
這樣就會變成三條SQL語句,會造成pinfo表被刪除,這樣會造成嚴(yán)重的后果。
這個(gè)問題可以簡單的使用PHP的內(nèi)置函數(shù)解決:
$sql='Select*frompinfowhereproduct='"'
mysql_real_escape_string($product).'"';
防止SQL注入攻擊需要做好兩件事:
對輸入的參數(shù)總是進(jìn)行類型驗(yàn)證
對單引號、雙引號、反引號等特殊字符總是使用mysql_real_escape_string函數(shù)進(jìn)行轉(zhuǎn)義
但是,這里根據(jù)開發(fā)經(jīng)驗(yàn),不要開啟php的MagicQuotes,這個(gè)特性在php6中已經(jīng)廢除,總是自己在需要的時(shí)候進(jìn)行轉(zhuǎn)義。
防止基本的XSS攻擊
XSS攻擊不像其他攻擊,這種攻擊在客戶端進(jìn)行,最基本的XSS工具就是防止一段javascript腳本在用戶待提交的表單頁面,將用戶提交的數(shù)據(jù)和cookie偷取過來。
XSS工具比SQL注入更加難以防護(hù),各大公司網(wǎng)站都被XSS攻擊過,雖然這種攻擊與php語言無關(guān),但可以使用php來篩選用戶數(shù)據(jù)達(dá)到保護(hù)用戶數(shù)據(jù)的目的,這里主要使用的是對用戶的數(shù)據(jù)進(jìn)行過濾,一般過濾掉HTML標(biāo)簽,特別是a標(biāo)簽。下面是一個(gè)普通的過濾方法:
functiontransform_HTML($string,$length=null){
//HelpspreventXSSattacks
//Removedeadspace.
$string=trim($string);
//PreventpotentialUnicodecodecproblems.
$string=utf8_decode($string);
//HTMLizeHTML-specificcharacters.
$string=htmlentities($string,ENT_NOQUOTES);
$string=str_replace("#","#",$string);
$string=str_replace("%","%",$string);
$length=intval($length);
if($length>0){
$string=substr($string,0,$length);
}
return$string;
}
這個(gè)函數(shù)將HTML的特殊字符轉(zhuǎn)換為了HTML實(shí)體,瀏覽器在渲染這段文本的時(shí)候以純文本形式顯示。如bold會被顯示為:
BoldText
上述函數(shù)的核心就是htmlentities函數(shù),這個(gè)函數(shù)將html特殊標(biāo)簽轉(zhuǎn)換為html實(shí)體字符,這樣可以過濾大部分的XSS攻擊。
但是對于有經(jīng)驗(yàn)的XSS攻擊者,有更加巧妙的辦法進(jìn)行攻擊:將他們的惡意代碼使用十六進(jìn)制或者utf-8編碼,而不是普通的ASCII文本,例如可以使用下面的方式進(jìn)行:
這樣瀏覽器渲染的結(jié)果其實(shí)是:
這樣就達(dá)到了攻擊的目的。為了防止這種情況,需要在transform_HTML函數(shù)的基礎(chǔ)上再將#和%轉(zhuǎn)換為他們對應(yīng)的實(shí)體符號,同時(shí)加上了$length參數(shù)來限制提交的數(shù)據(jù)的最大長度。
使用SafeHTML防止XSS攻擊
上述關(guān)于XSS攻擊的防護(hù)非常簡單,但是不包含用戶的所有標(biāo)記,同時(shí)有上百種繞過過濾函數(shù)提交javascript代碼的方法,也沒有辦法能完全阻止這個(gè)情況。
目前,沒有一個(gè)單一的腳本能保證不被攻擊突破,但是總有相對來說防護(hù)程度更好的。一共有兩個(gè)安全防護(hù)的方式:白名單和黑名單。其中白名單更加簡單和有效。
一種白名單解決方案就是SafeHTML,它足夠智能能夠識別有效的HTML,然后就可以去除任何危險(xiǎn)的標(biāo)簽。這個(gè)需要基于HTMLSax包來進(jìn)行解析。
安裝使用SafeHTML的方法:
1、前往http://pixel-apes.com/safehtml/page=safehtml下載最新的SafeHTML
2、將文件放入服務(wù)器的classes目錄,這個(gè)目錄包含所有的SafeHTML和HTMLSax庫
3、在自己的腳本中包含SafeHTML類文件
4、建立一個(gè)SafeHTML對象
5、使用parse方法進(jìn)行過濾
/*Ifyou'restoringtheHTMLSax3.phpinthe/classesdirectory,along
withthesafehtml.phpscript,defineXML_HTMLSAX3asanullstring.*/
define(XML_HTMLSAX3,'');
//Includetheclassfile.
require_once('classes/safehtml.php');
//Definesomesamplebadcode.
$data="Thisdatawouldraiseanalert";
//Createasafehtmlobject.
$safehtml=newsafehtml();
//Parseandsanitizethedata.
$safe_data=$safehtml->parse($data);
//Displayresult.
echo'Thesanitizeddatais
'.$safe_data;
>
SafeHTML并不能完全防止XSS攻擊,只是一個(gè)相對復(fù)雜的腳本來檢驗(yàn)的方式。
使用單向HASH加密方式來保護(hù)數(shù)據(jù)
單向hash加密保證對每個(gè)用戶的密碼都是唯一的,而且不能被破譯的,只有最終用戶知道密碼,系統(tǒng)也是不知道原始密碼的。這樣的一個(gè)好處是在系統(tǒng)被攻擊后攻擊者也無法知道原始密碼數(shù)據(jù)。
加密和Hash是不同的兩個(gè)過程。與加密不同,Hash是無法被解密的,是單向的;同時(shí)兩個(gè)不同的字符串可能會得到同一個(gè)hash值,并不能保證hash值的唯一性。
MD5函數(shù)處理過的hash值基本不能被破解,但是總是有可能性的,而且網(wǎng)上也有MD5的hash字典。
使用mcrypt加密數(shù)據(jù)
MD5hash函數(shù)可以在可讀的表單中顯示數(shù)據(jù),但是對于存儲用戶的信用卡信息的時(shí)候,需要進(jìn)行加密處理后存儲,并且需要之后進(jìn)行解密。
最好的方法是使用mcrypt模塊,這個(gè)模塊包含了超過30中加密方式來保證只有加密者才能解密數(shù)據(jù)。
$data="Stuffyouwantencrypted";
$key="Secretpassphraseusedtoencryptyourdata";
$cipher="MCRYPT_SERPENT_256";
$mode="MCRYPT_MODE_CBC";
functionencrypt($data,$key,$cipher,$mode){
//Encryptdata
return(string)
base64_encode
(
mcrypt_encrypt
(
$cipher,
substr(md5($key),0,mcrypt_get_key_size($cipher,$mode)),
$data,
$mode,
substr(md5($key),0,mcrypt_get_block_size($cipher,$mode))
)
);
}
functiondecrypt($data,$key,$cipher,$mode){
//Decryptdata
return(string)
mcrypt_decrypt
(
$cipher,
substr(md5($key),0,mcrypt_get_key_size($cipher,$mode)),
base64_decode($data),
$mode,
substr(md5($key),0,mcrypt_get_block_size($cipher,$mode))
);
}
>
mcrypt函數(shù)需要以下信息:
1、待加密數(shù)據(jù)
2、用來加密和解密數(shù)據(jù)的key
3、用戶選擇的加密數(shù)據(jù)的特定算法(cipher:如MCRYPT_TWOFISH192,MCRYPT_SERPENT_256,MCRYPT_RC2,MCRYPT_DES,andMCRYPT_LOKI97)
4、用來加密的模式
5、加密的種子,用來起始加密過程的數(shù)據(jù),是一個(gè)額外的二進(jìn)制數(shù)據(jù)用來初始化加密算法
6、加密key和種子的長度,使用mcrypt_get_key_size函數(shù)和mcrypt_get_block_size函數(shù)可以獲取
假如數(shù)據(jù)和key都被盜取,那么攻擊者可以遍歷ciphers尋找開行的方式即可,因此我們需要將加密的key進(jìn)行MD5一次后保證安全性。同時(shí)由于mcrypt函數(shù)返回的加密數(shù)據(jù)是一個(gè)二進(jìn)制數(shù)據(jù),這樣保存到數(shù)據(jù)庫字段中會引起其他錯(cuò)誤,使用了base64encode將這些數(shù)據(jù)轉(zhuǎn)換為了十六進(jìn)制數(shù)方便保存。
以上就是PHP開發(fā)安全問題怎么實(shí)現(xiàn)以及PHP開發(fā)推薦的安全配置選項(xiàng)有哪些,小編相信有部分知識點(diǎn)可能是我們?nèi)粘9ぷ鲿姷交蛴玫降?。希望你能通過這篇文章學(xué)到更多知識。更多詳情敬請關(guān)注億速云行業(yè)資訊頻道。
免責(zé)聲明:本站發(fā)布的內(nèi)容(圖片、視頻和文字)以原創(chuàng)、轉(zhuǎn)載和分享為主,文章觀點(diǎn)不代表本網(wǎng)站立場,如果涉及侵權(quán)請聯(lián)系站長郵箱:is@yisu.com進(jìn)行舉報(bào),并提供相關(guān)證據(jù),一經(jīng)查實(shí),將立刻刪除涉嫌侵權(quán)內(nèi)容。