`
web001
  • 浏览: 99698 次
  • 性别: Icon_minigender_1
  • 来自: 天津
社区版块
存档分类
最新评论

6个常见的 PHP 安全性攻击

    博客分类:
  • PHP
阅读更多

 

了解常见的PHP应用程序安全威胁,可以确保你的PHP应用程序不受攻击。因此,本文将列出 6个常见的 PHP 安全性攻击,欢迎大家来阅读和学习。 

1、SQL注入 

SQL注入是一种恶意攻击,用户利用在表单字段输入SQL语句的方式来影响正常的SQL执行。还有一种是通过system()或exec()命令注入的,它具有相同的SQL注入机制,但只针对shell命令。 

01 $username $_POST['username'];
02 $query "select * from auth where username = '".$username."'";
03 echo $query;
04 $db new mysqli('localhost''demo', ‘demo', ‘demodemo');
05 $result $db->query($query);
06 if ($result && $result->num_rows) {
07     echo "<br />Logged in successfully";
08 else {
09     echo "<br />Login failed";
10 }

上面的代码,在第一行没有过滤或转义用户输入的值($_POST['username'])。因此查询可能会失败,甚至会损坏数据库,这要看$username是否包含变换你的SQL语句到别的东西上。 

防止SQL注入 

选项: 

  • 使用mysql_real_escape_string()过滤数据
  • 手动检查每一数据是否为正确的数据类型
  • 使用预处理语句并绑定变量

使用准备好的预处理语句 

  • 分离数据和SQL逻辑
  • 预处理语句将自动过滤(如:转义)
  • 把它作为一个编码规范,可以帮助团队里的新人避免遇到以上问题
01 $query 'select name, district from city where countrycode=?';
02 if ($stmt $db->prepare($query) )
03 {
04     $countrycode 'hk';
05     $stmt->bind_param("s"$countrycode); 
06     $stmt->execute();
07     $stmt->bind_result($name$district);
08     while $stmt ($stmt->fetch() ){
09         echo $name.', '.$district;
10         echo '<br />';
11     }
12     $stmt->close();
13 }

2、XSS攻击 

XSS(跨站点脚本攻击)是一种攻击,由用户输入一些数据到你的网站,其中包括客户端脚本(通常JavaScript)。如果你没有过滤就输出数据到另一个web页面,这个脚本将被执行。 

接收用户提交的文本内容 

01 <?php
02 if (file_exists('comments')) {
03     $comments = get_saved_contents_from_file('comments');
04 else {
05     $comments '';
06 }
07
08 if (isset($_POST['comment'])) {
09     $comments .= '<br />' $_POST['comment'];
10     save_contents_to_file('comments'$comments);
11 }
12 >

输出内容给(另一个)用户 

1 <form action='xss.php' method='POST'>
2 Enter your comments here: <br />
3 <textarea name='comment'></textarea> <br />
4 <input type='submit' value='Post comment' />
5 </form><hr /><br />
6
7 <?php echo $comments; ?>

将会发生什么事? 

  • 烦人的弹窗
  • 刷新或重定向
  • 损坏网页或表单
  • 窃取cookie
  • AJAX(XMLHttpRequest)

防止XSS攻击 

为了防止XSS攻击,使用PHP的htmlentities()函数过滤再输出到浏览器。htmlentities()的基本用法很简单,但也有许多高级的控制,请参阅 XSS速查表。 

3、会话固定 

会话安全,假设一个PHPSESSID很难猜测。然而,PHP可以接受一个会话ID通过一个Cookie或者URL。因此,欺骗一个受害者可以使用一个特定的(或其他的)会话ID 或者钓鱼攻击。 

 

4、会议捕获和劫持 

这是与会话固定有着同样的想法,然而,它涉及窃取会话ID。如果会话ID存储在Cookie中,攻击者可以通过XSS和JavaScript窃取。如果会话ID包含在URL上,也可以通过嗅探或者从代理服务器那获得。 

防止会话捕获和劫持 


  • 更新ID
  • 如果使用会话,请确保用户使用SSL

5、跨站点请求伪造(CSRF) 

CSRF攻击,是指一个页面发出的请求,看起来就像是网站的信任用户,但不是故意的。它有许多的变体,比如下面的例子: 

1 <img src='http://www.hualai.net.cn/single_click_to_buy.php?user_id=123&item=12345'>

防止跨站点请求伪造 

一般来说,确保用户来自你的表单,并且匹配每一个你发送出去的表单。有两点一定要记住: 

  1. 对用户会话采用适当的安全措施,例如:给每一个会话更新id和用户使用SSL。
  2. 生成另一个一次性的令牌并将其嵌入表单,保存在会话中(一个会话变量),在提交时检查它。

6、代码注入 

代码注入是利用计算机漏洞通过处理无效数据造成的。问题出在,当你不小心执行任意代码,通常通过文件包含。写得很糟糕的代码可以允许一个远程文件包含并执行。如许多PHP函数,如require可以包含URL或文件名,例如: 

01 <form>Choose theme:
02     <select name = theme>
03         <option value = blue>Blue</option>
04         <option value = green>Green</option>
05         <option value = red>Red</option>
06     </select>
07     <input type = submit>
08 </form>
09 <?php
10     if($theme) {
11         require($theme.'.txt');
12     }
13 ?>

在上面的例子中,通过传递用户输入的一个文件名或文件名的一部分,来包含以"http://"开头的文件。 

防止代码注入 

  • 过滤用户输入
  • 在php.ini中设置禁用allow_url_fopen和allow_url_include。这将禁用require/include/fopen的远程文件。  

其他的一般原则 

1. 不要依赖服务器配置来保护你的应用,特别是当你的web服务器/ PHP是由你的ISP管理,或者当你的网站可能迁移/部署到别处,未来再从别处迁移/部署在到其他地方。请在网站代码中嵌入带有安全意识的检查/逻辑(HTML、JavaScript、PHP,等等)。   
2. 设计服务器端的安全脚本: 
—例如,使用单行执行 - 单点身份验证和数据清理   
—例如,在所有的安全敏感页面嵌入一个PHP函数/文件,用来处理所有登录/安全性逻辑检查 
3. 确保你的代码更新,并打上最新补丁。

 

分享到:
评论

相关推荐

    2023年全国大学生英语竞赛样题(C类)样题答案及听力原文.pdf

    2023年全国大学生英语竞赛样题(C类)样题答案及听力原文

    出纳考核表.xls

    出纳考核表

    基于多种天气因素的光伏电站太阳能辐射量预测系统-采用人工神经网络与离线优化算法,MATLAB代码:考虑多种天气条件下光伏电站太阳能辐射量预测 关键词:辐射量预测 光伏预测 多种天气因素 参考文档:

    基于多种天气因素的光伏电站太阳能辐射量预测系统——采用人工神经网络与离线优化算法,MATLAB代码:考虑多种天气条件下光伏电站太阳能辐射量预测 关键词:辐射量预测 光伏预测 多种天气因素 参考文档:《Solar Radiation Prediction and Energy Allocation for Energy Harvesting Base Stations》 仿真平台:MATLAB+CPLEX 平台 优势:代码具有一定的深度和创新性,注释清晰,非烂大街的代码,非常精品 主要内容:代码主要做的是如何利用预测光伏电站太阳能辐射量的问题,利用人工神经网络对对其内太阳辐射量进行预测,并对无云天气以及多云天气进行了分别讨论,与线性模型相比该模型具有更好的性能,除此之外,代码还研究了太阳能的分配问题,采用离线优化算法和四种在线启发式算法分别进行分配策略的优化,并利用太阳辐射数据评估了算法的性能。 该代码适合新手学习以及在此基础上进行拓展,代码质量非常高,出图效果极佳 ,核心关键词: 1. 光伏电站太阳能辐射量预测 2. 多种天气因素 3. 人工神经网络 4. 预测模型 5. 线性

    数据结构实验实习指导书(c语言)

    数据结构实验实习指导书(c语言)

    游戏 生存小游戏.exe

    "lyh不会打代码"生存小有戏改版

    站群系统/泛目录站群源码/泛站群cms系统【小说泛目录站群源码】

    站群系统/泛目录站群源码/泛站群cms系统【小说泛目录站群源码】 效果截图和演示https://www.lxsjfx.cn/3181.html 绿茶小说站群2.x-秒收隔天速出权重-小说流量稳定收割机-精品轻量级PHP站群系统站群系统,小说行业专用引流精品站群,绿茶小说站群为独立站群系统(无需依托CMS),独立的整篇小说优化内容库(拒绝句子拼凑),模板自适应PC端和移动端,流量一起做! 1、绿茶小说站群为独立站群系统(无需依托CMS) 2、对域名要求不高,百元域名均可操作 3、独立的首页、列表页、小说阅读页 4、独立的整篇小说优化内容库(拒绝句子拼凑) 5、可自定页面后缀(html、shtml、xml…..) 6、拒绝全站404跳转到内容页 7、还有强大的网站XML地图功能,便于链接提交 8、模板自适应PC端和移动端,流量一起做! 站群系统/泛目录站群源码/泛站群cms系统【小说泛目录站群源码】

    IQC检验员(来料检验员)绩效考核表.xls

    IQC检验员(来料检验员)绩效考核表

    2024年全球AI应用趋势年度报告

    2024年全球AI应用趋势年度报告

    安全生产绩效考核表.doc

    安全生产绩效考核表

    04-【标准制度】公司 KPI 绩效考核流程.docx

    04-【标准制度】公司 KPI 绩效考核流程

    第14讲:深入理解指针(4).pdf

    第14讲:深入理解指针(4)

    考虑用户舒适度的冷热电多能互补综合能源系统优化调度模型:结合PMV衡量与碳排放交易机制的MATLAB仿真实现,考虑用户舒适度的冷热电多能互补综合能源系统优化调度 MATLAB代码:考虑用户舒适度的冷热

    考虑用户舒适度的冷热电多能互补综合能源系统优化调度模型:结合PMV衡量与碳排放交易机制的MATLAB仿真实现,考虑用户舒适度的冷热电多能互补综合能源系统优化调度 MATLAB代码:考虑用户舒适度的冷热电多能互补综合能源系统优化调度 关键词:用户舒适度 综合能源 PMV 优化调度 参考文档:《冷热电气多能互补的微能源网鲁棒优化调度》基础模型加舒适度部分模型; 仿真平台:MATLAB+yalmip+cplex 主要内容:代码主要做的是考虑用户舒适度的冷热电多能互补综合能源系统优化调度模型,在传统的冷热电联供型综合能源系统的基础上,进一步考虑了热惯性以及用户的舒适度,并用预测平均投票数PMV对用户的舒适度进行衡量,且通过改变PMV的数值,可以对比不同舒适度要求对于综合能源系统调度结果的影响。 同时,代码还补充性的考虑了碳排放交易机制,并设置经济性最优以及碳排放最优两种对比场景,从而丰富算例,效果非常明显。 使用matlab+yalmip+cplex进行代码的 ,考虑用户舒适度; 综合能源系统; PMV; 优化调度; 冷热电多能互补; 碳排放交易机制。,考虑用户舒适度与碳排放交易的冷热电多能

    基于ANSI转义码在Xshell脚本中的光标操作与应用实例:进度条制作详解

    内容概要:本文详细阐述了利用ANSI转义码在Xshell脚本中进行光标的灵活操控方法。介绍了从光标的隐藏、定位(特定行/列)、保存位置、复位、清除以及显示控制的基本命令,重点描述了如何使用以上提到的功能构建实用的UI组件——文本模式下工作的进度条。文中提供的简单实例演示了一个完整的循环逻辑,它能动态刷新视图,在每一次迭代中根据程序实际进展更新屏幕上的表现形式,同时保持界面美观性和易读性。并且提到由于不同的终端可能有不同的兼容情况,脚本的跨环境行为可能存在细微差别。 适合人群:初学者至中级水平的技术爱好者或者软件开发者,尤其是希望深入掌握Linux环境下命令行工具使用者。 使用场景及目标:① 学习并理解Xshell脚本里涉及的ANSI转义码概念和技术点,从而增强对终端界面元素(如菜单、提示符等)的操作技能;② 掌握通过程序手段构造动态变化的CLI应用程序技巧,比如实时跟踪长时间任务的状态; 阅读建议:本文不仅包含了具体命令的学习,更展示了它们是如何组合起来创造复杂视觉反馈机制的案例研究。对于想进一步探索终端开发领域的程序员而言,这无疑提供了很好的入门指引材料。考虑到各种操作系统上支持度的问题,在测试代码之前应当确认自己的工作平台已经正确配置好。

    达梦数据库优化指南:涵盖回表问题、性能调优、SQL执行计划优化技术详解及应用场景

    内容概要:该文档详细探讨了针对达梦数据库的各种性能优化技术和处理方法。具体包括回表问题及其解决措施如覆盖索引和FAST POOL机制;变量窥探、统计数据收集优化方法,例如设置统计桶数量和采样子表数目;视图上拉、JOIN优化、EXISTS与NOT EXISTS子查询重写策略;分区裁剪和多KEY哈希等方面的深入探讨,提供了多个具体的优化技巧,旨在帮助用户有效提升SQL执行性能,并解决了多种可能导致性能下降的关键因素。 适合人群:数据库管理员、运维工程师及具有一定经验的数据开发人员等,尤其是负责使用和维护基于达梦数据库系统的技术团队成员。 使用场景及目标:适用于希望通过改善查询速度来提高系统响应时间的专业人士;需要处理大型数据库或复杂查询的任务;或是正在寻找改进现有数据库架构的方法的机构。它还特别针对那些希望确保最优硬件资源利用率的人群。 其他说明:本文档不仅介绍了理论性的背景知识和技术细节,还包括了大量的实际案例演示和参数调整建议,方便读者理解和实践这些优化方法。此外,针对每种优化策略提供了详细的指导,使得即使是对某些高级特性较为陌生的读者也能顺利掌握关键技能。

    54 -营销部经理绩效考核表1.xlsx

    54 -营销部经理绩效考核表1

    外贸部绩效考核表格.xls

    外贸部绩效考核表格

    c盘满了怎么清理PDF

    选择使用如下方法,增加系统盘自由空间。最简模式:完成2、4②,即可全面清除电脑垃圾、痕迹。 1、将“桌面”、“我的文档”以及系统盘的其它地方保存的个人文件资料,转移到别的盘保存。 2、双击桌面“计算机”,“系统磁盘”右键--属性--常规/工具:

    岗位绩效考核评定表excel表格模板.xlsx

    岗位绩效考核评定表excel表格模板

    apache-commons-vfs-javadoc-2.0-11.el7.x64-86.rpm.tar.gz

    1、文件内容:apache-commons-vfs-javadoc-2.0-11.el7.rpm以及相关依赖 2、文件形式:tar.gz压缩包 3、安装指令: #Step1、解压 tar -zxvf /mnt/data/output/apache-commons-vfs-javadoc-2.0-11.el7.tar.gz #Step2、进入解压后的目录,执行安装 sudo rpm -ivh *.rpm 4、安装指导:私信博主,全程指导安装

Global site tag (gtag.js) - Google Analytics