對于互聯網應用的開發，作為開發者必須時刻牢記安全觀念，并在開發的代碼中體現。PHP腳本語言對安全問題并不太關心，特別是對大多數沒有經驗的開發者來說。每當你做任何涉及到錢財事務等交易問題時，都要特別注意安全問題的考慮。
安全保護一般性要點
1、不相信表單
對于一般的Javascript前臺驗證，由于無法得知用戶的行為，例如關閉了瀏覽器的javascript引擎，這樣通過POST惡意數據到服務器。需要在服務器端進行驗證，對每個php腳本驗證傳遞到的數據，防止XSS攻擊和SQL注入
2、不相信用戶
要假設你的網站接收的每一條數據都是存在惡意代碼的，存在隱藏的威脅，要對每一條數據都進行清理
3、關閉全局變量
在php.ini文件中進行以下配置：register_globals = Off
如果這個配置選項打開之后，會出現很大的安全隱患。例如有一個process.php的腳本文件，會將接收到的數據插入到數據庫，接收用戶輸入數據的表單可能如下：
|
1
|
<input name="username" type="text" size="15" maxlength="64"> |
這樣，當提交數據到process.php之后，php會注冊一個$username變量，將這個變量數據提交到process.php，同時對于任何POST或GET請求參數，都會設置這樣的變量。如果不是顯示進行初始化那么就會出現下面的問題：
|
1
2
3
4
5
6
|
<?php// Define $authorized = true only if user is authenticatedif (authenticated_user()) { $authorized = true;}?> |
此處，假設authenticated_user函數就是判斷$authorized變量的值，如果開啟了register_globals配置，那么任何用戶都可以發送一個請求，來設置$authorized變量的值為任意值從而就能繞過這個驗證。
所有的這些提交數據都應該通過PHP預定義內置的全局數組來獲取，包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等，其中$_REQUEST是一個$_GET/$_POST/$_COOKIE三個數組的聯合變量，默認的順序是$_COOKIE、$_POST、$_GET。
推薦的安全配置選項
error_reporting設置為Off：不要暴露錯誤信息給用戶，開發的時候可以設置為ON
safe_mode設置為Off
register_globals設置為Off
將以下函數禁用：system、exec、passthru、shell_exec、proc_open、popen
open_basedir設置為 /tmp ，這樣可以讓session信息有存儲權限，同時設置單獨的網站根目錄
expose_php設置為Off
allow_url_fopen設置為Off
allow_url_include設置為Off
SQL注入攻擊
對于操作數據庫的SQL語句，需要特別注意安全性，因為用戶可能輸入特定語句使得原有的SQL語句改變了功能。類似下面的例子：
|
1
|
$sql = "select * from pinfo where product = '$product'"; |
此時如果用戶輸入的$product參數為：
|
1
|
39'; DROP pinfo; SELECT 'FOO |
那么最終SQL語句就變成了如下的樣子：
|
1
|
select product from pinfo where product = '39'; DROP pinfo; SELECT 'FOO' |
這樣就會變成三條SQL語句，會造成pinfo表被刪除，這樣會造成嚴重的后果。
這個問題可以簡單的使用PHP的內置函數解決：
|
1
|
$sql = "Select * from pinfo where product = '" . mysql_real_escape_string($product) . "'"; |
防止SQL注入攻擊需要做好兩件事：
對輸入的參數總是進行類型驗證
對單引號、雙引號、反引號等特殊字符總是使用mysql_real_escape_string函數進行轉義
但是，這里根據開發經驗，不要開啟php的Magic Quotes，這個特性在php6中已經廢除，總是自己在需要的時候進行轉義。
防止基本的XSS攻擊
XSS攻擊不像其他攻擊，這種攻擊在客戶端進行，最基本的XSS工具就是防止一段javascript腳本在用戶待提交的表單頁面，將用戶提交的數據和cookie偷取過來。
XSS工具比SQL注入更加難以防護，各大公司網站都被XSS攻擊過，雖然這種攻擊與php語言無關，但可以使用php來篩選用戶數據達到保護用戶數據的目的，這里主要使用的是對用戶的數據進行過濾，一般過濾掉HTML標簽，特別是a標簽。下面是一個普通的過濾方法：
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
|
function transform_HTML($string, $length = null) {// Helps prevent XSS attacks // Remove dead space. $string = trim($string); // Prevent potential Unicode codec problems. $string = utf8_decode($string); // HTMLize HTML-specific characters. $string = htmlentities($string, ENT_NOQUOTES); $string = str_replace("#", "#", $string); $string = str_replace("%", "%", $string); $length = intval($length); if ($length > 0) { $string = substr($string, 0, $length); } return $string;} |
這個函數將HTML的特殊字符轉換為了HTML實體，瀏覽器在渲染這段文本的時候以純文本形式顯示。如<strong>bold</strong>會被顯示為：
|
1
|
<STRONG>BoldText</STRONG> |
上述函數的核心就是htmlentities函數，這個函數將html特殊標簽轉換為html實體字符，這樣可以過濾大部分的XSS攻擊。
但是對于有經驗的XSS攻擊者，有更加巧妙的辦法進行攻擊：將他們的惡意代碼使用十六進制或者utf-8編碼，而不是普通的ASCII文本，例如可以使用下面的方式進行：
|
1
|
<a href="http://www.codetc.com/a.php?variable=%22%3e %3c%53%43%52%49%50%54%3e%44%6f%73%6f%6d%65%74%68%69%6e%67%6d%61%6c%69%63%69%6f%75%73%3c%2f%53%43%52%49%50%54%3e" rel="external nofollow" > |
這樣瀏覽器渲染的結果其實是：
|
1
|
<a href="http://www.codetc.com/a.php?variable=" rel="external nofollow" ><SCRIPT>Dosomethingmalicious</SCRIPT> |
這樣就達到了攻擊的目的。為了防止這種情況，需要在transform_HTML函數的基礎上再將#和%轉換為他們對應的實體符號，同時加上了$length參數來限制提交的數據的最大長度。
使用SafeHTML防止XSS攻擊
上述關于XSS攻擊的防護非常簡單，但是不包含用戶的所有標記，同時有上百種繞過過濾函數提交javascript代碼的方法，也沒有辦法能完全阻止這個情況。
目前，沒有一個單一的腳本能保證不被攻擊突破，但是總有相對來說防護程度更好的。一共有兩個安全防護的方式：白名單和黑名單。其中白名單更加簡單和有效。
一種白名單解決方案就是SafeHTML，它足夠智能能夠識別有效的HTML，然后就可以去除任何危險的標簽。這個需要基于HTMLSax包來進行解析。
安裝使用SafeHTML的方法：
- 1、前往http://pixel-apes.com/safehtml/?page=safehtml 下載最新的SafeHTML
- 2、將文件放入服務器的classes 目錄，這個目錄包含所有的SafeHTML和HTMLSax庫
- 3、在自己的腳本中包含SafeHTML類文件
- 4、建立一個SafeHTML對象
- 5、使用parse方法進行過濾
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
|
<?php/* If you're storing the HTMLSax3.php in the /classes directory, along with the safehtml.php script, define XML_HTMLSAX3 as a null string. */define(XML_HTMLSAX3, '');// Include the class file.require_once('classes/safehtml.php');// Define some sample bad code.$data = "This data would raise an alert <script>alert('XSS Attack')</script>";// Create a safehtml object.$safehtml = new safehtml();// Parse and sanitize the data.$safe_data = $safehtml->parse($data);// Display result.echo 'The sanitized data is ' . $safe_data;?> |
SafeHTML并不能完全防止XSS攻擊，只是一個相對復雜的腳本來檢驗的方式。
使用單向HASH加密方式來保護數據
單向hash加密保證對每個用戶的密碼都是唯一的，而且不能被破譯的，只有最終用戶知道密碼，系統也是不知道原始密碼的。這樣的一個好處是在系統被攻擊后攻擊者也無法知道原始密碼數據。
加密和Hash是不同的兩個過程。與加密不同，Hash是無法被解密的，是單向的；同時兩個不同的字符串可能會得到同一個hash值，并不能保證hash值的唯一性。
MD5函數處理過的hash值基本不能被破解，但是總是有可能性的，而且網上也有MD5的hash字典。
使用mcrypt加密數據
MD5 hash函數可以在可讀的表單中顯示數據，但是對于存儲用戶的信用卡信息的時候，需要進行加密處理后存儲，并且需要之后進行解密。
最好的方法是使用mcrypt模塊，這個模塊包含了超過30中加密方式來保證只有加密者才能解密數據。
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
|
<?php$data = "Stuff you want encrypted";$key = "Secret passphrase used to encrypt your data";$cipher = "MCRYPT_SERPENT_256";$mode = "MCRYPT_MODE_CBC";function encrypt($data, $key, $cipher, $mode) {// Encrypt datareturn (string) base64_encode ( mcrypt_encrypt ( $cipher, substr(md5($key),0,mcrypt_get_key_size($cipher, $mode)), $data, $mode, substr(md5($key),0,mcrypt_get_block_size($cipher, $mode)) ) );}function decrypt($data, $key, $cipher, $mode) {// Decrypt data return (string) mcrypt_decrypt ( $cipher, substr(md5($key),0,mcrypt_get_key_size($cipher, $mode)), base64_decode($data), $mode, substr(md5($key),0,mcrypt_get_block_size($cipher, $mode)) );}?> |
mcrypt函數需要以下信息：
- 1、待加密數據
- 2、用來加密和解密數據的key
- 3、用戶選擇的加密數據的特定算法（cipher：如 MCRYPT_TWOFISH192,MCRYPT_SERPENT_256， MCRYPT_RC2, MCRYPT_DES, and MCRYPT_LOKI97）
- 4、用來加密的模式
- 5、加密的種子，用來起始加密過程的數據，是一個額外的二進制數據用來初始化加密算法
- 6、加密key和種子的長度，使用mcrypt_get_key_size函數和mcrypt_get_block_size函數可以獲取
如果數據和key都被盜取，那么攻擊者可以遍歷ciphers尋找開行的方式即可，因此我們需要將加密的key進行MD5一次后保證安全性。同時由于mcrypt函數返回的加密數據是一個二進制數據，這樣保存到數據庫字段中會引起其他錯誤，使用了base64encode將這些數據轉換為了十六進制數方便保存。
總結
以上就是這篇文章的全部內容了，希望本文的內容對大家的學習或者工作具有一定的參考學習價值，謝謝大家對服務器之家的支持。如果你想了解更多相關內容請查看下面相關鏈接
原文鏈接：http://www.codetc.com/article-245-1.html
