PHPの5つのセキュリティ対策まとめ

開発者、データベースアーキテクト、システム管理者はすべて、PHP アプリケーションをサーバーに展開する前に予防措置を講じる必要があります。ほとんどの予防策は、数行のコードまたはアプリケーション設定のわずかな調整で実現できます。

#1: インストール スクリプトの管理

開発者がサードパーティ アプリケーション用の PHP スクリプトのセットをインストールしている場合、このスクリプトはアプリケーション全体のインストールに使用されます。コンポーネントを構築し、アクセス ポイントを提供します。ほとんどのサードパーティ パッケージでは、インストール後にこのディレクトリに含まれるインストール スクリプトを削除することをお勧めします。ただし、インストール スクリプトを保持したい開発者は、ディレクトリへの管理アクセスを制御する .htaccess ファイルを作成できます。

AuthType Basic

AuthName "管理者のみ"

AuthUserFile /usr/local/apache/passwd/passwords

有効なユーザーが必要

許可されていないユーザーが保護されたディレクトリにアクセスしようとすると、ユーザー名とパスワードの入力を求めるプロンプトが表示されます。パスワードは、指定された「パスワード」ファイル内のパスワードと一致する必要があります。

#2: ヘッダー ファイル

多くの場合、開発者はアプリケーション全体に分散されている複数のスクリプトを 1 つのスクリプトに含めることができます。これらのスクリプトには、個々のファイルを元のページのコードに統合する「include」ディレクティブが含まれます。 「インクルード」ファイルにユーザー名、パスワード、データベース アクセス キーなどの機密情報が含まれている場合、ファイルには通常の「.inc」拡張子ではなく「.php」拡張子が必要です。 「.php」拡張子により、PHP エンジンがファイルを処理し、不正なアクセスが防止されます。

#3: MD5 vs. SHA

場合によっては、ユーザーは最終的に独自のユーザー名とパスワードを作成することになり、サイト管理者がフォーム送信を行うことがよくあります パスワードは暗号化されますそしてデータベースに保存されます。以前は、開発者は MD5 (メッセージ ダイジェスト アルゴリズム) 関数を使用して 128 ビット文字列のパスワードを暗号化していました。現在、多くの開発者は SHA-1 (セキュア ハッシュ アルゴリズム) 関数を使用して 160 ビット文字列を作成しています。

#4: 自動グローバル変数

php.ini ファイルに含まれる設定は「register_globals」と呼ばれます。 P サーバーは、register_globals 設定に基づいて、サーバー変数とクエリ文字列のグローバル変数を自動的に作成します。 Joomla や Drupal などのコンテンツ管理ソフトウェアなどのサードパーティ ソフトウェア パッケージをインストールする場合、インストール スクリプトはユーザーに register_globals を「オフ」に設定するように指示します。設定を「オフ」に変更すると、権限のないユーザーが変数名を推測したりパスワードを確認したりしてデータにアクセスできなくなります。

#5: 変数と値を初期化する

多くの開発者は、おそらく時間の制約または不足のため、値を割り当てずに変数をインスタンス化するという罠に陥ります。努力。認証プロセス中の変数には、ユーザーのログインプロセスが開始される前に値が設定されている必要があります。この簡単な手順により、ユーザーが検証プロセスをバイパスしたり、権限のないサイトの特定の領域にアクセスしたりすることを防ぎます。