Comment prévenir les attaques Web – problèmes de sécurité que les débutants en PHP doivent connaître

Les attaques Web courantes sont divisées en deux catégories : l'une consiste à exploiter les vulnérabilités du serveur Web pour attaquer, telles que le débordement de tampon CGI, l'exploitation des vulnérabilités de traversée de répertoire et d'autres attaques ; l'autre consiste à exploiter les vulnérabilités de sécurité du Web ; page elle-même, comme l'injection SQL, les attaques de scripts intersites, etc.

Aujourd'hui, notre site php chinois emmènera des amis pour comprendre les problèmes de sécurité liés à php.

Tout d'abord, vous pouvez vous référer au tutoriel en ligne : php chinois manuel de sécurité .

Un tutoriel vidéo PHP incontournable pour les débutants : Tutoriel vidéo Dugu Jiujian (4)_PHP

Attaque par injection SQL (Injection SQL)

L'attaquant insère des commandes SQL dans le champ de saisie du formulaire Web ou dans la chaîne de la requête de page, incitant le serveur à exécuter des commandes SQL malveillantes. Dans certains formulaires, le contenu saisi par l'utilisateur est directement utilisé pour construire (ou affecter) des commandes SQL dynamiques, ou comme paramètres d'entrée de procédures stockées De tels formulaires sont particulièrement vulnérables aux attaques par injection SQL.

Les processus d'attaque par injection SQL courants incluent :

1 Une certaine application Web possède une page de connexion, qui contrôle si l'utilisateur doit accéder à l'application, il nécessite que l'utilisateur saisisse un nom et un mot de passe ;

2. Le contenu saisi sur la page de connexion sera directement utilisé pour construire des commandes SQL dynamiques, ou directement utilisé comme paramètres de procédures stockées ; >

Par exemple :

$query = 'SELECT * from Users WHERE login = ' . $username . ' AND password = ' . $password;

3. L'attaquant saisit quelque chose comme ' ou '1'='1 dans la zone de saisie du nom d'utilisateur et du mot de passe

< ; 🎜>4. Une fois le contenu saisi par l'utilisateur soumis au serveur, le serveur exécute le code ci-dessus pour construire une commande SQL pour interroger l'utilisateur. Cependant, comme le contenu saisi par l'attaquant est très spécial, la commande SQL finale. devient :

5. Le serveur exécute une requête ou une procédure stockée pour comparer les informations d'identité saisies par l'utilisateur avec les informations d'identité enregistrées dans le serveur

SELECT * from Users WHERE login = '' or '1'='1' AND password = '' or '1'='1'；

6. Étant donné que la commande SQL a effectivement été injectée dans un style d'attaque modifié, elle ne peut plus véritablement authentifier l'identité de l'utilisateur, de sorte que le système autorisera l'attaquant de manière incorrecte.

Si un attaquant sait que l'application utilisera directement le contenu saisi dans le formulaire pour des requêtes de vérification d'identité, il tentera de saisir des chaînes SQL spéciales pour falsifier la requête afin de modifier sa fonctionnalité d'origine et tromper Le système accorde l'accès.

Différents environnements système signifient que les dommages qu'un attaquant peut causer sont également différents, ce qui est principalement déterminé par les autorisations de sécurité de l'application pour accéder à la base de données. Si le compte de l'utilisateur dispose d'autorisations d'administrateur ou d'autres autorisations relativement avancées, l'attaquant peut effectuer diverses opérations sur les tables de la base de données qu'il souhaite effectuer, notamment l'ajout, la suppression ou la mise à jour de données, ou même la suppression directe de la table

Méthodes de prévention :
1. Vérifiez la variable

type de données

et format
2 . Filtrez les symboles spéciaux

3. Liez les variables et utilisez des instructions précompilées

Cross Site Scripting (XSS) Un attaquant injecte du code malveillant dans une page Web et d'autres utilisateurs exécuteront le code lors du chargement de la page Web. L'attaquant peut obtenir, sans toutefois s'y limiter, des autorisations plus élevées (telles que l'exécution de certaines opérations) à partir d'un contenu Web privé. aux sessions et aux cookies. Ces codes malveillants sont généralement du JavaScript, du HTML et d'autres langages de script côté client.

Par exemple :

Si un script

<?php
echo "欢迎您，".$_GET[&#39;name&#39;];

est transmis, le script sera également exécuté. L'utilisation d'une telle URL exécutera la fonction d'alerte JavaScript et fera apparaître une boîte de dialogue :

<script>[code]</script>http://localhost/test.php?name=<script>alert(123456)</script>

Les méthodes d'attaque couramment utilisées sont :

Cookies de vol pour obtenir des informations sensibles ;

Utilisez iframe, frame, XMLHttpRequest ou le Flash mentionné ci-dessus pour effectuer certaines actions de gestion en tant qu'utilisateur (attaqué), ou effectuer certaines tâches générales telles que la publication sur Weibo. , Ajouter des amis, envoyer des messages privés, etc.;

Profitez du fait que le domaine qui peut être attaqué est approuvé par d'autres domaines et utilisez l'identité d'une source de confiance pour demander certaines opérations qui ne sont généralement pas autorisés, comme mener des activités de vote inappropriées ;

XSS sur certaines pages très visitées peut attaquer certains petits sites Web et obtenir l'effet d'une attaque DDoS.

Méthode de prévention : Utilisez la fonction

htmlspecialchars

pour convertir les caractères spéciaux en encodage HTML et filtrer les variables de sortie

跨网站请求伪造攻击(Cross Site Request Forgeries, CSRF)

攻击者伪造目标用户的HTTP请求，然后此请求发送到有CSRF漏洞的网站，网站执行此请求后，引发跨站请求伪造攻击。攻击者利用隐蔽的HTTP连接，让目标用户在不注意的情况下单击这个链接，由于是用户自己点击的，而他又是合法用户拥有合法权限，所以目标用户能够在网站内执行特定的HTTP链接，从而达到攻击者的目的。

它与XSS的攻击方法不同，XSS利用漏洞影响站点内的用户，攻击目标是同一站点内的用户者，而CSRF 通过伪装成受害用户发送恶意请求来影响Web系统中受害用户的利益。

例如:

某个购物网站购买商品时，采用shop.com/buy.php?item=watch&num=100
item参数确定要购买什么物品，num参数确定要购买数量，如果攻击者以隐藏的方式发送给目标用户链接那么如果目标用户不小心访问以后，购买的数量就成了100个

防范方法：

1、检查网页的来源

2、检查内置的隐藏变量

3、使用POST，不要使用GET，处理变量也不要直接使用$_REQUEST

Session固定攻击(Session Fixation)

这种攻击方式的核心要点就是让合法用户使用攻击者预先设定的session id来访问被攻击的应用程序，一旦用户的会话ID被成功固定，攻击者就可以通过此session id来冒充用户访问应用程序。

例如:

1.攻击者访问网站bank.com，获取他自己的session id，如：SID=123；
2.攻击者给目标用户发送链接，并带上自己的session id，如：bank.com/?SID=123；
3.目标用户点击了bank.com/?SID=123，像往常一样，输入自己的用户名、密码登录到网站；
4.由于服务器的session id不改变，现在攻击者点击bank.com/?SID=123，他就拥有了目标用户的身份，可以为所欲为了。

防范方法：

1.定期更改session id

session_regenerate_id(TRUE);//删除旧的session文件，每次都会产生一个新的session id。默认false，保留旧的session

2.更改session的名称

session的默认名称是PHPSESSID，此变量会保存在cookie中，如果攻击者不抓包分析，就不能猜到这个名称，阻挡部分攻击

session_name("mysessionid");

3.关闭透明化session id

透明化session id指当浏览器中的http请求没有使用cookie来制定session id时，sessioin id使用链接来传递

int_set("session.use_trans_sid", 0);

4.只从cookie检查session id

int_set("session.use_cookies", 1);//表示使用cookies存放session id
int_set("session.use_only_cookies", 1);//表示只使用cookies存放session id

5.使用URL传递隐藏参数

$sid = md5(uniqid(rand()), TRUE));
$_SESSION["sid"] = $sid;//攻击者虽然能获取session数据，但是无法得知$sid的值，只要检查sid的值，就可以确认当前页面是否是web程序自己调用的

Session劫持攻击(Session Hijacking)

会话劫持是指攻击者利用各种手段来获取目标用户的session id。一旦获取到session id，那么攻击者可以利用目标用户的身份来登录网站，获取目标用户的操作权限。

攻击者获取目标用户session id的方法:

1.暴力破解:尝试各种session id，直到破解为止;

2.计算:如果session id使用非随机的方式产生，那么就有可能计算出来;

3.窃取:使用网络截获，xss攻击等方法获得

防范方法：

      1.定期更改session id

      2.更改session的名称

      3.关闭透明化session id

      4.设置HttpOnly。通过设置Cookie的HttpOnly为true，可以防止客户端脚本访问这个Cookie，从而有效的防止XSS攻击。

文件上传漏洞攻击(File Upload Attack)

文件上传漏洞指攻击者利用程序缺陷绕过系统对文件的验证与处理策略将恶意代码上传到服务器并获得执行服务器端命令的能力。

常用的攻击手段有：

上传Web脚本代码，Web容器解释执行上传的恶意脚本；

上传Flash跨域策略文件crossdomain.xml，修改访问权限(其他策略文件利用方式类似)；

上传病毒、木马文件，诱骗用户和管理员下载执行；

上传包含脚本的图片，某些浏览器的低级版本会执行该脚本，用于钓鱼和欺诈。

En général, les fichiers téléchargés utilisés sont soit exécutables (code malveillant), soit ont la capacité d'affecter le comportement du serveur (Fichier de configuration ).

Méthodes de prévention :

1. Le répertoire de téléchargement des fichiers est défini sur non exécutable ;

2. Déterminez le type de fichier et définissez une liste blanche. Pour le traitement de l'image, vous pouvez utiliser la fonction de compression ou la fonction de redimensionnement pour traiter l'image tout en détruisant le code HTML pouvant être contenu dans l'image

3. Utilisez des nombres aléatoires pour réécrire le nom du fichier ; et le chemin du fichier : l'un consiste à télécharger. Ensuite, il sera inaccessible ; les fichiers comme shell.php.rar.rar et crossdomain.xml ne pourront pas être attaqués en raison du changement de nom ;

4. Définir le nom de domaine du serveur de fichiers séparément : en raison de la politique de même origine du navigateur, une série d'attaques côté client seront inefficaces, telles que le téléchargement de crossdomain.xml et le téléchargement d'exploits XSS contenant Javascript, etc. seront résolus.

Articles connexes recommandés :

1.

Comment créer un site Web php hautement sécurisé, résumé des problèmes de sécurité auxquels il faut prêter attention lors de la création d'un site Web

2.

Un résumé des problèmes de sécurité auxquels il faut prêter attention lors de l'utilisation de types PHP faibles