转 http://www.jefflei.com/post/1252.html
PHP代码安全和XSS,SQL注入等对于各类网站的安全非常中用,尤其是UGC(User Generated Content)网站,论坛和电子商务网站,常常是XSS和SQL注入的重灾区。这里简单介绍一些基本编程要点, 相对系统安全来说,php安全防范更多要求编程人员对用户输入的各种参数能更细心.
php编译过程中的安全
建议安装Suhosin补丁,必装安全补丁
php.ini安全设置
register_global = off
magic_quotes_gpc = off
display_error = off
log_error = on
# allow_url_fopen = off
expose_php = off
open_basedir =
safe_mode = on
disable_function = exec,system,passthru,shell_exec,escapeshellarg,escapeshellcmd,proc_close,proc_open,dl,popen,show_source,get_cfg_var
safe_mode_include_dir =
DB SQL预处理
mysql_real_escape_string (很多PHPer仍在依靠addslashes防止SQL注入,但是这种方式对中文编码仍然是有问题的。addslashes的问题在于黑客可以用0xbf27来代替单引号,GBK编码中0xbf27不是一个合法字符,因此
addslashes只是将0xbf5c27,成为一个有效的多字节字符,其中的0xbf5c仍会被看作是单引号,具体见这篇文章)。用mysql_real_escape_string函数也需要指定正确的字符集,否则依然可能有问题。
prepare + execute(PDO)
ZendFramework可以用DB类的quote或者quoteInto, 这两个方法是根据各种数据库实施不用方法的,不会像mysql_real_escape_string只能用于mysql
用户输入的处理
无需保留HTML标签的可以用以下方法
strip_tags, 删除string中所有html标签
htmlspecialchars,只对”<”,”>”,”;”,”’”字符进行转义
htmlentities,对所有html进行转义
必须保留HTML标签情况下可以考虑以下工具:
HTML Purifier: HTML Purifier is a standards-compliant HTML filter library written in PHP.
PHP HTML Sanitizer: Remove unsafe tags and attributes from HTML code
htmLawed: PHP code to purify & filter HTML
上传文件
用is_uploaded_file和move_uploaded_file函数,使用HTTP_POST_FILES[]数组。并通过去掉上传目录的PHP解释功能来防止用户上传php脚本。
ZF框架下可以考虑使用File_upload模块
Session,Cookie和Form的安全处理
不要依赖Cookie进行核心验证,重要信息需要加密, Form Post之前对传输数据进行哈希, 例如你发出去的form元素如下:
<pre lang="php"><input type="hidden" name="H[name]" value="<?php echo $Oname?>"/>
<input type="hidden" name="H[age]" value="<?php echo $Oage?>"/>
<?php $sign = md5('name'.$Oname.'age'.$Oage.$secret); ?>
<input type="hidden" name="hash" value="<?php echo $sign?>"" />
POST回来之后对参数进行验证
$str = "";
foreach($_POST['H'] as $key=>$value) {
$str .= $key.$value;
}
if($_POST['hash'] != md5($str.$secret)) {
echo "Hidden form data modified"; exit;
}
PHP安全检测工具(XSS和SQL Insertion)
Wapiti - Web application security auditor(Wapiti - 小巧的站点漏洞检测工具) (SQL injection/XSS攻击检查工具)
安裝/使用方法:
apt-get install libtidy-0.99-0 python-ctypes python-utidylib
python wapiti.py http://Your Website URL/ -m GET_XSS
Pixy: XSS and SQLI Scanner for PHP( Pixy - PHP 源码缺陷分析工具)
安裝: apt-get install default-jdk
Remote PHP Vulnerability Scanner(自动化 PHP页面缺陷分析, XSS检测功能较强)
PHPIDS - PHP 入侵检测系統
分享到:
相关推荐
基于MD5和Session的PHP安全防范 摘要:本文讨论了基于MD5和Session的PHP安全防范,通过对Session欺骗和攻击的手段分析,结合MD5函数,提出了一个较为有效、实用的防范措施。 MD5算法在计算机安全防范中起着重要的...
本文将探讨一些PHP安全防范的基本要点,以帮助开发者确保其代码和用户数据的安全。 首先,我们关注的是PHP编译过程中的安全。为了增强PHP的安全性,建议安装Suhosin补丁,这是一个针对PHP的安全增强补丁,提供了...
【PHP_MySQL Web系统安全防范】 PHP是一种广泛使用的服务器端脚本语言,尤其在构建动态网站方面。然而,PHP的灵活性和强大的功能也带来了安全风险。由于PHP自身的某些缺陷和开发者安全意识的不足,PHP网站往往容易...
php网站制作时安全防范知识 PHP代码安全和XSS,SQL注入等对于各类网站的安全非常中用,尤其是UGC(User ...这里简单介绍一些基本编程要点, 相对系统安全来说,php安全防范更多要求编程人员对用户输入的各种参数能更细心.
我们做了很多工作,当然很多高手们还是可以入侵,这我们并不感到奇怪,因为我们相信天外有天,人外有人,虽然我们现在服务器还是稳定(高手们不要来喷了),我们把我们曾经做的一些安全操作分享给大家,包括linux...
### 前端安全概览及防范:深入解析与应对策略 #### 一、XSS:潘多拉的魔盒 XSS(跨站脚本攻击,Cross-Site Scripting)是一种常见的前端安全威胁,其核心在于攻击者利用网站的安全漏洞,将恶意脚本注入到正常网页...
这里简单介绍一些基本编程要点, 相对系统安全来说,php安全防范更多要求编程人员对用户输入的各种参数能更细心.php编译过程中的安全建议安装Suhosin补丁,必装安全补丁php.ini安全设置复制代码 代码如下:register_...
浅析PHP网站安全漏洞与安全防范措施.pdf
PHP 网站攻击与安全防范 PHP 是一种服务器端 HTML 嵌入式脚本语言,具有多平台特性,可以无缝地运行在所有主流操作系统上,且支持多数的 Web 服务器和常用的数据库。然而,PHP 的安全问题也日益严重,例如全局变量...
### PHP中的代码安全和SQL Injection防范 #### 一、引言 随着互联网技术的发展与普及,网站和应用程序的安全性越来越受到人们的重视。其中,PHP作为一种广泛使用的服务器端脚本语言,其安全性尤其重要。本文将从PHP...
数字版 九阴真经网络安全防范绝招.php
PHP安全漏洞防范研究.pdf
PHP安全防范程序模型 复制代码 代码如下: /* PHP防注入跨站V1.0 在您的页面顶部添加: require(“menzhi_injection.php”); 即可实现通用防止SQL注入,以及XSS跨站漏洞。 ##################缺陷以及改进############...
本文围绕计算机网络安全漏洞及防范措施展开探讨,从漏洞的定义、分类、具体表现,到漏洞产生的原因,以及如何加强防范等多个角度进行了全面的分析。 首先,计算机网络安全漏洞是指在计算机硬件、软件、网络协议以及...
### 火灾与安全防范双重图像监控系统 #### 一、引言 随着社会的发展和技术的进步,安全防范措施越来越受到人们的重视。其中,闭路电视监控系统(CCTV)作为一项重要的安防手段,在各个领域得到了广泛的应用。特别...
### PHP中的代码安全与SQL Injection防范 #### 一、初始化变量的重要性 在PHP开发中,一个常见的安全隐患就是未正确初始化变量。例如,在登录验证时,如果没有初始化`$admin`变量,就可能导致非法用户通过简单的...
* Web应用安全防范体系的构成:包括程序代码安全性设计、数据库安全管理技术和服务器运行环境安全管理技术。 * Web应用安全防范体系的目的:确保Web应用系统在互联网上稳定可靠运行。 Web应用安全及防范体系是确保...
### PHP中的代码安全与SQL Injection防范 #### 一、引言 随着互联网技术的发展,Web应用程序的安全性变得越来越重要。其中,SQL注入攻击是最常见也是最危险的安全威胁之一。SQL注入攻击通过将恶意SQL代码插入到...
"基于PHP安全漏洞的Web攻击防范研究" 该论文通过对PHP语言的跨站脚本漏洞和文件上传漏洞的分析,总结出了Web应用程序安全漏洞的常见原因和防范措施。以下是该论文的详细知识点总结: 1. 跨站脚本攻击(XSS) 跨站...