PHP如何做好最基礎的安全防范

　　php給了開(kāi)發(fā)者極大的靈活性，但是這也為安全問(wèn)題帶來(lái)了潛在的隱患，PHP如何做好最基礎的安全防范呢？下面小編為大家解答一下，希望能幫到您！

　　當開(kāi)發(fā)一個(gè)互聯(lián)網(wǎng)服務(wù)的時(shí)候，必須時(shí)刻牢記安全觀(guān)念，并在開(kāi)發(fā)的代碼中體現。PHP腳本語(yǔ)言對安全問(wèn)題并不關(guān)心，特別是對大多數沒(méi)有經(jīng)驗的開(kāi)發(fā)者來(lái)說(shuō)。每當你講任何涉及到錢(qián)財事務(wù)等交易問(wèn)題時(shí)，需要特別注意安全問(wèn)題的考慮，例如開(kāi)發(fā)一個(gè)論壇或者是一個(gè)購物車(chē)等。

　　安全保護一般性要點(diǎn)

　　不相信表單

　　對于一般的Javascript前臺驗證，由于無(wú)法得知用戶(hù)的行為，例如關(guān)閉了瀏覽器的javascript引擎，這樣通過(guò)POST惡意數據到服務(wù)器。需要在服務(wù)器端進(jìn)行驗證，對每個(gè)php腳本驗證傳遞到的數據，防止XSS攻擊和SQL注入。

　　不相信用戶(hù)

　　要假設你的網(wǎng)站接收的每一條數據都是存在惡意代碼的，存在隱藏的威脅，要對每一條數據都進(jìn)行清理

　　關(guān)閉全局變量

　　在php.ini文件中進(jìn)行以下配置：

　　register_globals = Off

　　如果這個(gè)配置選項打開(kāi)之后，會(huì )出現很大的安全隱患。例如有一個(gè)process.php的腳本文件，會(huì )將接收到的數據插入到數據庫，接收用戶(hù)輸入數據的表單可能如下：

　　< input name="username" type ="text" size = "15" maxlength = "64" >

　　這樣，當提交數據到process.php之后，php會(huì )注冊一個(gè)$username變量，將這個(gè)變量數據提交到process.php，同時(shí)對于任何POST或GET請求參數，都會(huì )設置這樣的變量。如果不是顯示進(jìn)行初始化那么就會(huì )出現下面的問(wèn)題：

　　<?php

　　// Define $authorized = true only if user is authenticated

　　if

　　(authenticated_user()) {

　　$authorized = true;

　　}

　　?>

　　此處，假設authenticated_user函數就是判斷$authorized變量的值，如果開(kāi)啟了register_globals配置，那么任何用戶(hù)都可以發(fā)送一個(gè)請求，來(lái)設置$authorized變量的值為任意值從而就能繞過(guò)這個(gè)驗證。所有的這些提交數據都應該通過(guò)PHP預定義內置的全局數組來(lái)獲取，包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等，其中$_REQUEST是一個(gè)$_GET/$_POST/$_COOKIE三個(gè)數組的聯(lián)合變量，默認的順序是$_COOKIE、$_POST、$_GET。

　　推薦的安全配置選項

　　error_reporting設置為Off：不要暴露錯誤信息給用戶(hù)，開(kāi)發(fā)的時(shí)候可以設置為ON

　　safe_mode設置為Off

　　register_globals設置為Off

　　將以下函數禁用：system、exec、passthru、shell_exec、proc_open、popen

　　open_basedir設置為 /tmp ，這樣可以讓session信息有存儲權限，同時(shí)設置單獨的網(wǎng)站根目錄expose_php設置為Offallow_url_fopen設置為Offallow_url_include設置為Off

　　SQL注入攻擊

　　對于操作數據庫的SQL語(yǔ)句，需要特別注意安全性，因為用戶(hù)可能輸入特定語(yǔ)句使得原有的SQL語(yǔ)句改變了功能。類(lèi)似下面的例子：

　　$sql ="select * from pinfo where product = '$product'";

　　此時(shí)如果用戶(hù)輸入的$product參數為：'39'; DROP pinfo; SELECT 'FOO

　　那么最終SQL語(yǔ)句就變成了如下的樣子：

　　select product from pinfo where product = '39';

　　DROP pinfo;

　　SELECT 'FOO'

　　這樣就會(huì )變成三條SQL語(yǔ)句，會(huì )造成pinfo表被刪除，這樣會(huì )造成嚴重的后果。這個(gè)問(wèn)題可以簡(jiǎn)單的使用PHP的內置函數解決：

　　$sql = 'Select * from pinfo where product = '"' mysql_real_escape_string($product) . '"';

　　防止SQL注入攻擊需要做好兩件事：對輸入的參數總是進(jìn)行類(lèi)型驗證對單引號、雙引號、反引號等特殊字符總是使用mysql_real_escape_string函數進(jìn)行轉義但是，這里根據開(kāi)發(fā)經(jīng)驗，不要開(kāi)啟php的Magic Quotes，這個(gè)特性在php6中已經(jīng)廢除，總是自己在需要的時(shí)候進(jìn)行轉義。

　　防止基本的XSS攻擊

　　XSS攻擊不像其他攻擊，這種攻擊在客戶(hù)端進(jìn)行，最基本的XSS工具就是防止一段javascript腳本在用戶(hù)待提交的表單頁(yè)面，將用戶(hù)提交的數據和cookie偷取過(guò)來(lái)。XSS工具比SQL注入更加難以防護，各大公司網(wǎng)站都被XSS攻擊過(guò)，雖然這種攻擊與php語(yǔ)言無(wú)關(guān)，但可以使用php來(lái)篩選用戶(hù)數據達到保護用戶(hù)數據的目的，這里主要使用的是對用戶(hù)的數據進(jìn)行過(guò)濾，一般過(guò)濾掉HTML標簽，特別是a標簽。下面是一個(gè)普通的過(guò)濾方法：

　　function transform_HTML( $string , $length null) { // Helps prevent XSS attacks

　　// Remove dead space.

　　$string = trim( $string );

　　// Prevent potential Unicode codec problems.

　　$string = utf8_decode( $string );

　　// HTMLize HTML-specific characters.

　　$string = htmlentities( $string , ENT_NOQUOTES);

　　$string = str_replace ( "#" , "#" , $string );

　　$string = str_replace ( "%" , "%" , $string );

　　$length = intval ( $length );

　　if ( $length > 0) {

　　$string = substr ( $string , 0, $length );

　　}return $string ;

　　}

　　這個(gè)函數將HTML的特殊字符轉換為了HTML實(shí)體，瀏覽器在渲染這段文本的時(shí)候以純文本形式顯示。如bold會(huì )被顯示為：BoldText上述函數的核心就是htmlentities函數，這個(gè)函數將html特殊標簽轉換為html實(shí)體字符，這樣可以過(guò)濾大部分的XSS攻擊。但是對于有經(jīng)驗的XSS攻擊者，有更加巧妙的辦法進(jìn)行攻擊：將他們的惡意代碼使用十六進(jìn)制或者utf-8編碼，而不是普通的ASCII文本，例如可以使用下面的方式進(jìn)行：

　　這樣瀏覽器渲染的結果其實(shí)是：

　　< a href = "http://host/a.php?variable=" >

　　< SCRIPT >Dosomethingmalicious

　　這樣就達到了攻擊的目的。為了防止這種情況，需要在transform_HTML函數的基礎上再將#和%轉換為他們對應的實(shí)體符號，同時(shí)加上了$length參數來(lái)限制提交的數據的最大長(cháng)度。

　　使用SafeHTML防止XSS攻擊

　　上述關(guān)于XSS攻擊的防護非常簡(jiǎn)單，但是不包含用戶(hù)的所有標記，同時(shí)有上百種繞過(guò)過(guò)濾函數提交javascript代碼的方法，也沒(méi)有辦法能完全阻止這個(gè)情況。目前，沒(méi)有一個(gè)單一的腳本能保證不被攻擊突破，但是總有相對來(lái)說(shuō)防護程度更好的。一共有兩個(gè)安全防護的方式：白名單和黑名單。其中白名單更加簡(jiǎn)單和有效。一種白名單解決方案就是SafeHTML，它足夠智能能夠識別有效的HTML，然后就可以去除任何危險的標簽。這個(gè)需要基于HTMLSax包來(lái)進(jìn)行解析。安裝使用SafeHTML的方法：

　　1、前往http://pixel-apes.com/safehtml/?page=safehtml 下載最新的SafeHTML

　　2、將文件放入服務(wù)器的classes 目錄，這個(gè)目錄包含所有的SafeHTML和HTMLSax庫

　　3、在自己的腳本中包含SafeHTML類(lèi)文件

　　4、建立一個(gè)SafeHTML對象

　　5、使用parse方法進(jìn)行過(guò)濾

　　<?php/* If you're storing the HTMLSax3.php in the /classes directory, along

　　with the safehtml.php script, define XML_HTMLSAX3 as a null string. */define(XML_HTMLSAX3, '' );// Include the class file.require_once ( 'classes/safehtml.php' );

　　// Define some sample bad code.

　　$data = This data would raise an alert

　　" ;// Create a safehtml object.$safehtml = new safehtml();// Parse and sanitize the data.$safe_data = $safehtml ->parse( $data );// Display result. echo 'The sanitized data is ' . $safe_data ;

　　?>

　　SafeHTML并不能完全防止XSS攻擊，只是一個(gè)相對復雜的腳本來(lái)檢驗的方式。

　　使用單向HASH加密方式來(lái)保護數據

　　單向hash加密保證對每個(gè)用戶(hù)的密碼都是唯一的，而且不能被破譯的，只有最終用戶(hù)知道密碼，系統也是不知道原始密碼的。這樣的一個(gè)好處是在系統被攻擊后攻擊者也無(wú)法知道原始密碼數據。加密和Hash是不同的兩個(gè)過(guò)程。與加密不同，Hash是無(wú)法被解密的，是單向的；同時(shí)兩個(gè)不同的字符串可能會(huì )得到同一個(gè)hash值，并不能保證hash值的唯一性。MD5函數處理過(guò)的hash值基本不能被破解，但是總是有可能性的，而且網(wǎng)上也有MD5的hash字典。

　　使用mcrypt加密數據MD5 hash函數可以在可讀的表單中顯示數據，但是對于存儲用戶(hù)的信用卡信息的時(shí)候，需要進(jìn)行加密處理后存儲，并且需要之后進(jìn)行解密。最好的方法是使用mcrypt模塊，這個(gè)模塊包含了超過(guò)30中加密方式來(lái)保證只有加密者才能解密數據。

　　<?php$data = "Stuff you want encrypted" ;

　　$key = "Secret passphrase used to encrypt your data" ;

　　$cipher = "MCRYPT_SERPENT_256" $mode = "MCRYPT_MODE_CBC" ;function encrypt( $data, $key , cipher , $mode ) {// Encrypt datareturn (string) base64_encode ( mcrypt_encrypt ( $cipher , substr (md5( $key ),0,mcrypt_get_key_size( $cipher , $mode )), $data , $mode , substr (md5( $key ),0,mcrypt_get_block_size( $cipher , $mode )) ) );

　　}function decrypt( $data , $key ,$cipher , $mode ) {// Decrypt data

　　return (string) mcrypt_decrypt ( $cipher , substr (md5( $key ),0,mcrypt_get_key_size( $cipher , $mode )), base64_decode ( $data ), $mode , substr (md5( $key ),0,mcrypt_get_block_size( $cipher , $mode )) );

　　}?>

　　mcrypt函數需要以下信息：

　　1、待加密數據

　　2、用來(lái)加密和解密數據的key

　　3、用戶(hù)選擇的加密數據的特定算法（cipher：

　　如 MCRYPT_TWOFISH192

　　,MCRYPT_SERPENT_256， MCRYPT_RC2

　　, MCRYPT_DES

　　, and MCRYPT_LOKI97

　�。�

　　4、用來(lái)加密的模式

　　5、加密的種子，用來(lái)起始加密過(guò)程的數據，是一個(gè)額外的二進(jìn)制數據用來(lái)初始化加密算法

　　6、加密key和種子的長(cháng)度，使用mcrypt_get_key_size函數和mcrypt_get_block_size函數可以獲取如果數據和key都被盜取，那么攻擊者可以遍歷ciphers尋找開(kāi)行的方式即可，因此我們需要將加密的key進(jìn)行MD5一次后保證安全性。同時(shí)由于mcrypt函數返回的加密數據是一個(gè)二進(jìn)制數據，這樣保存到數據庫字段中會(huì )引起其他錯誤，使用了base64encode將這些數據轉換為了十六進(jìn)制數方便保存。

【PHP如何做好最基礎的安全防范】相關(guān)文章：

淺析通如何加強php的安全03-06

　PHP的基礎編程與應用04-01

如何學(xué)好PHP知識03-30

PHP入門(mén)基礎教程大全03-10

新手如何學(xué)習PHP語(yǔ)言03-29

自駕出游，防范要做好03-22

如何做好班組安全管理03-30

php如何過(guò)濾危險html代碼03-30

班組長(cháng)如何做好安全管理06-29