PHPセキュアプログラミング-PHPチュートリアル-php.cn

PHPセキュアプログラミング

WBOY

リリース： 2016-06-23 14:30:40

オリジナル

890 人が閲覧しました

PHP 应用程序中的安全性包括远程安全性和本地安全性。本文将揭示 PHP 开发人员在实现具有这两种安全性的 Web 应用程序时应该养成的习惯。
在提及安全性问题时，需要注意，除了实际的平台和操作系统安全性问题之外，您还需要确保编写安全的应用程序。在编写 PHP 应用程序时，请应用下面的七个习惯以确保应用程序具有最好的安全性：

验证输入
保护文件系统
保护数据库
保护会话数据
保护跨站点脚本（Cross-site scripting，XSS）漏洞
检验表单 post
针对跨站点请求伪造（Cross-Site Request Forgeries，CSRF）进行保护

本部分设定了隐藏，您已回复过了，以下是隐藏的内容

验证输入

在提及安全性问题时，验证数据是您可能采用的最重要的习惯。而在提及输入时，十分简单：不要相信用户。您的用户可能十分优秀，并且大多数用户可能完全按照期望来使用应用程序。但是，只要提供了输入的机会，也就极有可能存在非常糟糕的输入。作为一名应用程序开发人员，您必须阻止应用程序接受错误的输入。仔细考虑用户输入的位置及正确值将使您可以构建一个健壮、安全的应用程序。

虽然后文将介绍文件系统与数据库交互，但是下面列出了适用于各种验证的一般验证提示：

使用白名单中的值
始终重新验证有限的选项
使用内置转义函数
验证正确的数据类型（如数字）
白名单中的值（White-listed value）是正确的值，与无效的黑名单值（Black-listed value）相对。两者之间的区别是，通常在进行验证时，可能值的列表或范围小于无效值的列表或范围，其中许多值可能是未知值或意外值。

在进行验证时，记住设计并验证应用程序允许使用的值通常比防止所有未知值更容易。例如，要把字段值限定为所有数字，需要编写一个确保输入全都是数字的例程。不要编写用于搜索非数字值并在找到非数字值时标记为无效的例程。

保护文件系统

2000 年 7 月，一个 Web 站点泄露了保存在 Web 服务器的文件中的客户数据。该 Web 站点的一个访问者使用 URL 查看了包含数据的文件。虽然文件被放错了位置，但是这个例子强调了针对攻击者保护文件系统的重要性。

如果 PHP 应用程序对文件进行了任意处理并且含有用户可以输入的变量数据，请仔细检查用户输入以确保用户无法对文件系统执行任何不恰当的操作。清单 1 显示了下载具有指定名的图像的 PHP 站点示例。

清单 1. 下载文件
[php]
if ($_POST['submit'] == 'Download') {
$file = $_POST['fileName'];
header("Content-Type: application/x-octet-stream");
header("Content-Transfer-Encoding: binary");
header("Content-Disposition: attachment; filename=\"" . $file . "\";" );
$fh = fopen($file, 'r');
while (! feof($fh))
{
echo(fread($fh, 1024));
}
fclose($fh);
} else {
echo("<");
echo("title>Guard your filesystem");
echo("

");
}[/php]

正如您所见，清单 1 中比较危险的脚本将处理 Web 服务器拥有读取权限的所有文件，包括会话目录中的文件（请参阅 “保护会话数据”），甚至还包括一些系统文件（例如 /etc/passwd）。为了进行演示，这个示例使用了一个可供用户键入文件名的文本框，但是可以在查询字符串中轻松地提供文件名。

同时配置用户输入和文件系统访问权十分危险，因此最好把应用程序设计为使用数据库和隐藏生成的文件名来避免同时配置。但是，这样做并不总是有效。清单 2 提供了验证文件名的示例例程。它将使用正则表达式以确保文件名中仅使用有效字符，并且特别检查圆点字符：..。

清单 2. 检查有效的文件名字符
[php]
function isValidFileName($file) {
    /* don't allow .. and allow any "word" character \ / */
    return preg_match('/^(((?:\.)(?!\.))|\w)+$/', $file);
}[/php]

保护数据库

2008 年 4 月，美国某个州的狱政局在查询字符串中使用了 SQL 列名，因此泄露了保密数据。这次泄露允许恶意用户选择需要显示的列、提交页面并获得数据。这次泄露显示了用户如何能够以应用程序开发人员无法预料的方法执行输入，并表明了防御 SQL 注入攻击的必要性。

清单 3 显示了运行 SQL 语句的示例脚本。在本例中，SQL 语句是允许相同攻击的动态语句。此表单的所有者可能认为表单是安全的，因为他们已经把列名限定为选择列表。但是，代码疏忽了关于表单欺骗的最后一个习惯 ? 代码将选项限定为下拉框并不意味着其他人不能够发布含有所需内容的表单（包括星号 [*]）。

清单 3. 执行 SQL 语句
[php]

SQL Injection Example

if ($_POST['submit'] == 'Save') {
/* do the form processing */
$link = mysql_connect('hostname', 'user', 'password') or
die ('Could not connect' . mysql_error());
mysql_select_db('test', $link);

$col = $_POST['col'];

$select = "SELECT " . $col . " FROM account_data WHERE account_number = "
. $_POST['account_number'] . ";" ;
echo '

' . $select . '

';

$result = mysql_query($select) or die('

' . mysql_error() . '

');

    echo '';
    while ($row = mysql_fetch_assoc($result)) {
        echo '';
        echo '';
        echo '';
    }
    echo '

' . $row[$col] . '

';

mysql_close($link);
}
?>

[/php]

因此，要形成保护数据库的习惯，请尽可能避免使用动态 SQL 代码。如果无法避免动态 SQL 代码，请不要对列直接使用输入。清单 4 显示了除使用静态列外，还可以向帐户编号字段添加简单验证例程以确保输入值不是非数字值。

清单 4. 通过验证和 mysql_real_escape_string() 提供保护
[php]

SQL Injection Example

function isValidAccountNumber($number)
{
return is_numeric($number);
}

if ($_POST['submit'] == 'Save') {

/* 習慣 1 を覚えておいてください - データを検証してください! */
if (isset($_POST['account_number']) &&
isValidAccountNumber($_POST['account_number'])) {

/* フォーム処理を実行します */
$link = mysql_connect('hostname', 'ユーザー', 'パスワード') または
die ('接続できませんでした' .mysql_error());
mysql_select_db('test', $link);

$select = sprintf("SELECT account_number, name, address " .
" FROM account_data WHERE account_number = %s;",
mysql_real_escape_string($_POST['account_number']));
echo '

' 。 $select 。 '

';

$result = mysql_query($select) または die('

' . mysql_error() . '

');

echo '' ;
while ($row = mysql_fetch_assoc($result)) {
echo '';
echo '';
エコー '';
エコー '';
echo '';
}
echo '

' 。 $row['アカウント番号'] 。 '

' 。 $row['name'] 。 '

' 。 $row['アドレス'] 。 '

';

mysql_close($link);
} else {
エコー " .
「有効なアカウント番号を入力してください!」;

}
}
?>

[/php]

本例还展示mysql_real_escape_string() 関数の使用法。この関数は、入力を正確にフィルタリングするため、無効な文字は含まれません。継続的に magic_quotes_gpc に依存している場合は、使用されていることに注意して、PHP V6 で削除される必要があります。まずはその使用を避け、その場合は安全な PHP アプリケーションプログラムを書き込みます。この方法を使用すると、後で異なる情報を含むテーブルに列が追加された場合に、これらの列をデータベースと組み合わせて使用することができます。 SQL テストはフレームワークの安全性を保護するために実行されていますが、それでも確認できない場合は、データベースのやり取りを行うためにさらにテストを実行する必要があります。

保护会话

默认この場合、PHP 内のセッション情報がタイムスケジュールに書き込まれます。
[ php]
session_start();
?>

セッション情報の保存

if ($_POST['submit'] == '保存') {
$_SESSION['userName'] = $_POST['userName'];
$_SESSION['accountNumber'] = $_POST[ 'accountNumber'];
}
?>

") ;
echo($_POST['myText']);
echo("< /p>");
?>

[/php]

リスト11 は、新しいウィンドウがポップアップして Google のホームページを開く基本的な例を示しています。 Web アプリケーションが XSS 攻撃から保護されていない場合、重大な損害が発生する可能性があります。たとえば、誰かがフィッシング目的でサイトのスタイルを模倣したリンクを追加する可能性があります (「参考文献」を参照)。

リスト11. 悪意のある入力テキストの例
[php]
[/php]

XSS 攻撃を防ぐには、変数値は出力に出力されますが、入力は htmlentities() 関数でフィルター処理する必要があります。習慣 #1: Web アプリケーションへの名前、電子メールアドレス、電話番号、請求先情報の入力において、入力データをホワイトリストの値で検証することを忘れないでください。

テキスト入力を表示するより安全なページを以下に示します。

リスト 12. より安全なフォーム
[php] ;
< cho("

あなたのテキストを処理しています: ");
echo($_POST['myText']);
echo ("

Go away!

処理中ですあなたのテキスト: ");
echo(htmlentities($_REQUEST['text ']));
echo("