`

PHP安全防范

    博客分类:
  • php5
阅读更多

http://www.jefflei.com/post/1252.html

PHP代码安全和XSS,SQL注入等对于各类网站的安全非常中用,尤其是UGC(User Generated Content)网站,论坛和电子商务网站,常常是XSS和SQL注入的重灾区。这里简单介绍一些基本编程要点, 相对系统安全来说,php安全防范更多要求编程人员对用户输入的各种参数能更细心.

php编译过程中的安全

建议安装Suhosin补丁,必装安全补丁

php.ini安全设置

register_global = off
magic_quotes_gpc = off
display_error = off
log_error = on
# allow_url_fopen = off
expose_php = off
open_basedir =
safe_mode = on
disable_function = exec,system,passthru,shell_exec,escapeshellarg,escapeshellcmd,proc_close,proc_open,dl,popen,show_source,get_cfg_var
safe_mode_include_dir =

DB SQL预处理

mysql_real_escape_string (很多PHPer仍在依靠addslashes防止SQL注入,但是这种方式对中文编码仍然是有问题的。addslashes的问题在于黑客可以用0xbf27来代替单引号,GBK编码中0xbf27不是一个合法字符,因此addslashes只是将0xbf5c27,成为一个有效的多字节字符,其中的0xbf5c仍会被看作是单引号,具体见这篇文章)。用mysql_real_escape_string函数也需要指定正确的字符集,否则依然可能有问题。
prepare + execute(PDO)
ZendFramework可以用DB类的quote或者quoteInto, 这两个方法是根据各种数据库实施不用方法的,不会像mysql_real_escape_string只能用于mysql

用户输入的处理

无需保留HTML标签的可以用以下方法

strip_tags, 删除string中所有html标签
htmlspecialchars,只对”<”,”>”,”;”,”’”字符进行转义
htmlentities,对所有html进行转义

必须保留HTML标签情况下可以考虑以下工具:
HTML Purifier: HTML Purifier is a standards-compliant HTML filter library written in PHP.
PHP HTML Sanitizer: Remove unsafe tags and attributes from HTML code
htmLawedPHP code to purify & filter HTML

上传文件

用is_uploaded_file和move_uploaded_file函数,使用HTTP_POST_FILES[]数组。并通过去掉上传目录的PHP解释功能来防止用户上传php脚本。
ZF框架下可以考虑使用File_upload模块

Session,Cookie和Form的安全处理

不要依赖Cookie进行核心验证,重要信息需要加密, Form Post之前对传输数据进行哈希, 例如你发出去的form元素如下:

<pre lang="php">&lt;input type="hidden" name="H[name]" value="&lt;?php echo $Oname?&gt;"/&gt;
&lt;input type="hidden" name="H[age]" value="&lt;?php echo $Oage?&gt;"/&gt;
&lt;?php $sign = md5('name'.$Oname.'age'.$Oage.$secret); ?&gt;
&lt;input type="hidden" name="hash" value="&lt;?php echo $sign?&gt;"" /&gt;

POST回来之后对参数进行验证

$str = "";
foreach($_POST['H'] as $key=&gt;$value) {
  $str .= $key.$value;
}
if($_POST['hash'] != md5($str.$secret)) {
  echo "Hidden form data modified"; exit;
}

PHP安全检测工具(XSS和SQL Insertion)

Wapiti - Web application security auditor(Wapiti - 小巧的站点漏洞检测工具) (SQL injection/XSS攻击检查工具)
安裝/使用方法:
apt-get install libtidy-0.99-0 python-ctypes python-utidylib
python wapiti.py http://Your Website URL/ -m GET_XSS

Pixy: XSS and SQLI Scanner for PHPPixy - PHP 源码缺陷分析工具)
安裝: apt-get install default-jdk
Remote PHP Vulnerability Scanner(自动化 PHP页面缺陷分析, XSS检测功能较强)
PHPIDS - PHP 入侵检测系統

分享到:
评论

相关推荐

    基于MD5和Session的PHP安全防范.pdf

    基于MD5和Session的PHP安全防范 摘要:本文讨论了基于MD5和Session的PHP安全防范,通过对Session欺骗和攻击的手段分析,结合MD5函数,提出了一个较为有效、实用的防范措施。 MD5算法在计算机安全防范中起着重要的...

    PHP安全防范技巧分享

    本文将探讨一些PHP安全防范的基本要点,以帮助开发者确保其代码和用户数据的安全。 首先,我们关注的是PHP编译过程中的安全。为了增强PHP的安全性,建议安装Suhosin补丁,这是一个针对PHP的安全增强补丁,提供了...

    基于PHP_MySQL的Web系统安全防范及全站静态化.pdf

    【PHP_MySQL Web系统安全防范】 PHP是一种广泛使用的服务器端脚本语言,尤其在构建动态网站方面。然而,PHP的灵活性和强大的功能也带来了安全风险。由于PHP自身的某些缺陷和开发者安全意识的不足,PHP网站往往容易...

    php网站制作时安全防范知识

    php网站制作时安全防范知识 PHP代码安全和XSS,SQL注入等对于各类网站的安全非常中用,尤其是UGC(User ...这里简单介绍一些基本编程要点, 相对系统安全来说,php安全防范更多要求编程人员对用户输入的各种参数能更细心.

    PHP Liunx 服务安全防范方案

    我们做了很多工作,当然很多高手们还是可以入侵,这我们并不感到奇怪,因为我们相信天外有天,人外有人,虽然我们现在服务器还是稳定(高手们不要来喷了),我们把我们曾经做的一些安全操作分享给大家,包括linux...

    前端安全概览及防范

    ### 前端安全概览及防范:深入解析与应对策略 #### 一、XSS:潘多拉的魔盒 XSS(跨站脚本攻击,Cross-Site Scripting)是一种常见的前端安全威胁,其核心在于攻击者利用网站的安全漏洞,将恶意脚本注入到正常网页...

    基于PHP开发中的安全防范知识详解

    这里简单介绍一些基本编程要点, 相对系统安全来说,php安全防范更多要求编程人员对用户输入的各种参数能更细心.php编译过程中的安全建议安装Suhosin补丁,必装安全补丁php.ini安全设置复制代码 代码如下:register_...

    浅析PHP网站安全漏洞与安全防范措施.pdf

    浅析PHP网站安全漏洞与安全防范措施.pdf

    PHP网站的攻击与安全防范.pdf

    PHP 网站攻击与安全防范 PHP 是一种服务器端 HTML 嵌入式脚本语言,具有多平台特性,可以无缝地运行在所有主流操作系统上,且支持多数的 Web 服务器和常用的数据库。然而,PHP 的安全问题也日益严重,例如全局变量...

    PHP中的代码安全和SQL Injection防范

    ### PHP中的代码安全和SQL Injection防范 #### 一、引言 随着互联网技术的发展与普及,网站和应用程序的安全性越来越受到人们的重视。其中,PHP作为一种广泛使用的服务器端脚本语言,其安全性尤其重要。本文将从PHP...

    数字版九阴真经网络安全防范绝招.php

    数字版 九阴真经网络安全防范绝招.php

    PHP安全漏洞防范研究.pdf

    PHP安全漏洞防范研究.pdf

    php 应用程序安全防范技术研究

    PHP安全防范程序模型 复制代码 代码如下: /* PHP防注入跨站V1.0 在您的页面顶部添加: require(“menzhi_injection.php”); 即可实现通用防止SQL注入,以及XSS跨站漏洞。 ##################缺陷以及改进############...

    浅谈计算机网络安全漏洞及防范.pdf

    本文围绕计算机网络安全漏洞及防范措施展开探讨,从漏洞的定义、分类、具体表现,到漏洞产生的原因,以及如何加强防范等多个角度进行了全面的分析。 首先,计算机网络安全漏洞是指在计算机硬件、软件、网络协议以及...

    火灾与安全防范双重图像监控系统

    ### 火灾与安全防范双重图像监控系统 #### 一、引言 随着社会的发展和技术的进步,安全防范措施越来越受到人们的重视。其中,闭路电视监控系统(CCTV)作为一项重要的安防手段,在各个领域得到了广泛的应用。特别...

    PHP中的代码安全和SQL Injection防范1

    ### PHP中的代码安全与SQL Injection防范 #### 一、初始化变量的重要性 在PHP开发中,一个常见的安全隐患就是未正确初始化变量。例如,在登录验证时,如果没有初始化`$admin`变量,就可能导致非法用户通过简单的...

    Web应用安全及防范体系研究 (1).pdf

    * Web应用安全防范体系的构成:包括程序代码安全性设计、数据库安全管理技术和服务器运行环境安全管理技术。 * Web应用安全防范体系的目的:确保Web应用系统在互联网上稳定可靠运行。 Web应用安全及防范体系是确保...

    PHP安全配置 如何将PHP配置的更安全

    以下是一些重要的PHP安全配置步骤: 1. **启用安全模式**:安全模式是PHP的一个内置功能,它可以限制某些潜在危险的函数,如`system()`,并控制文件操作。开启安全模式的配置是:`safe_mode = on`。但需要注意的是...

    PHP中的代码安全和SQL Injection防范2

    ### PHP中的代码安全与SQL Injection防范 #### 一、引言 随着互联网技术的发展,Web应用程序的安全性变得越来越重要。其中,SQL注入攻击是最常见也是最危险的安全威胁之一。SQL注入攻击通过将恶意SQL代码插入到...

Global site tag (gtag.js) - Google Analytics