PHP プログラミングのセキュリティ上の注意事項

register_global = off
magic_quotes_gpc = off
display_error = off
log_error = on
#allow_url_fopen = off
expose_php = off
open_basedir =
safe_mode = on
disable_function = c 、escapeshellarg、escapeshellcmd ,proc_close,proc_open,dl,popen,show_source,get_cfg_var
safe_mode_include_dir =

2, DB SQL 前処理 mysql_real_escape_string (多くの PHPer は SQL インジェクションを防ぐために依然として addslashes に依存していますが、この方法は中国語のエンコードでは依然として問題があります。addslashes の問題は、ハッカーが一重引用符の代わりに 0xbf27 を使用できることです。0xbf27 は GBK エンコードでは有効な文字ではないため、addslashesは単なる 0xbf5c27 であり、有効なマルチバイト文字になります。0xbf5c は依然として一重引用符として扱われます)。 mysql_real_escape_string 関数を使用する場合は、正しい文字セットを指定する必要もあります。指定しないと問題が発生する可能性があります。

準備+実行(PDO) ZendFramework では、mysql のみに使用できる mysql_real_escape_string とは異なり、DB クラスの quote または quoteInto を使用できます。

3. ユーザー入力の処理 HTMLタグを保持する必要がない場合は、次の方法を使用できます。 ストリップタグ、文字列内のすべての HTML タグを削除します htmlspecialchars、「

」、「;」、「'」文字のみをエスケープします htmlentities、すべての HTML をエスケープします HTML タグを保存する必要がある場合は、次のツールを検討してください。

HTML Purifier: HTML Purifier は、PHP で書かれた標準準拠の HTML フィルター ライブラリです。
PHP HTML Sanitizer: HTML コードから安全でないタグと属性を削除します
htmLawed: HTML を浄化およびフィルターするための PHP コード

4、ファイルをアップロード HTTP_POST_FILES[] 配列を使用して、is_uploaded_file 関数と move_uploaded_file 関数を使用します。また、アップロード ディレクトリの PHP 解釈機能を削除することで、ユーザーが PHP スクリプトをアップロードできないようにします。 ZF フレームワークで File_upload モジュールの使用を検討できます。 セッション、Cookie、フォームの安全な処理 コア認証には Cookie に依存しないでください。重要な情報は暗号化する必要があり、送信データはフォーム ポストの前にハッシュする必要があります。 たとえば、送信される form 要素は次のとおりです。

input type="hidden" name=" H[年齢]" value=""/>
POST から戻った後にパラメータを確認する
$str = "";
foreach ($_POST['H'] as $key=>$value) {
$str .= $key.$value;
}
if($_POST['hash'] != md5($str.$secret )) {
echo "隠しフォームデータが変更されました"; exit;
}

5、PHP セキュリティ検出ツール (XSS および SQL 挿入) Wapiti - Webアプリケーションセキュリティ監査(Wapiti - コンパクトサイト脆弱性検出ツール) (SQLインジェクション/XSS攻撃検出ツール)

6、インストール/使用方法:

apt-get install libtidy-0.99-0 python-ctypes python-utidylib
python wapiti.py http://あなたのウェブサイトのURL/ -m GET_XSS

Pixy: XSSとSQLI Scanner for PHP (Pixy - PHP ソース コード欠陥分析ツール) インストール: apt-get install default-jdk

上記で紹介したセキュリティ対策を完全に実装できれば、PHP コードは非常に安全になります。