포커스 매직 PHP xfocus 주입 방지 정보

여기에는 깊은 기술적인 내용은 없고, 그냥 간략하게 이야기한 것뿐입니다. (구체적인 지시가 없으면 이하의 작업은 모두 PHP MySQL Apache를 기반으로 합니다.) 각종 해커가 판치는 지금, 자신의 PHP 코드에 대한 보안을 어떻게 확보하고, 프로그램과 서버의 보안을 어떻게 확보할 것인지가 매우 중요한 문제입니다. .. PHP 보안에 대한 정보를 좀 읽었지만 ASP보다 훨씬 적습니다. ㅋㅋㅋ 그래서 이러한 상황을 방지하기 위해 뭔가를 쓰고 싶었습니다. 여기에는 깊은 기술적인 내용은 없고, 그냥 간략하게 이야기한 것뿐입니다. (특별한 지시가 없으면 다음 작업은 PHP MySQL Apache 기반입니다.)
먼저 보안 문제에 대해 이야기해 보겠습니다. 먼저 두 가지 기사를 살펴보겠습니다.
http://www.xfocus.net/ 기사 /200107/227.html
http://www.xfocus.net/articles/200107/228.html
위 기사는 Security Focus의 PHP 보안에 대한 기사입니다. 기본적으로 포괄적인 소개를 제공합니다. PHP의 일부 보안 문제.
PHP로 코딩할 때 몇 가지 기본적인 보안 문제를 고려한다면 우선
1. 변수를 초기화하세요
왜 그렇게 말씀하시나요? 다음 코드를 살펴보겠습니다.
if ($admin)
{
echo '로그인 성공! ';
include('admin.php');
}
else
{
echo '당신은 관리자가 아니어서 관리할 수 없습니다! ';
}
위의 코드는 정상적으로 실행되고 문제가 없는 것으로 보입니다. 그러면 잘못된 매개변수를 제출하면 어떤 영향이 있을까요? 예를 들어, 우리 페이지가 http://www.traget.com/login.php이고 다음을 제출합니다: http://www.target.com/login.php?admin=1, 하하, 생각해 보세요. 귀하가 직접 관리자이거나 직접 관리할 수 있습니다.
물론 이런 단순한 실수는 하지 않을 수도 있고, 매우 은밀한 실수로 인해 이런 문제가 발생할 수도 있습니다. 예를 들어 최근 노출된 phpwind 1.3.6 포럼에는 관리자 권한을 직접 얻을 수 있는 취약점이 있습니다. . , 초기화되지 않은 $skin 변수가 있기 때문에 나중에 일련의 문제가 발생합니다.
그렇다면 위의 문제를 어떻게 피할 수 있을까요? 먼저 php.ini로 시작하고 php.ini에서 Register_global = off를 설정하십시오. 이는 등록된 모든 변수가 전역 변수가 아니므로 이를 피할 수 있음을 의미합니다. 하지만 우리는 서버 관리자가 아니며 코드를 통해서만 개선할 수 있습니다. 그렇다면 위 코드를 어떻게 개선할 수 있을까요? 다음과 같이 다시 작성합니다:
$admin = 0; // 초기화 변수
if ($_POST['admin_user'] && $_POST['admin_pass'])
{
// 결정 제출 해당 처리 코드는 관리자 사용자 이름과 비밀번호가 올바른지 여부입니다.
// ...
$admin = 1
}
else
{
$admin = 0;
}
if ($admin)
{
echo '로그인 성공! ';
include('admin.php');
}
else
{
echo '당신은 관리자가 아니어서 관리할 수 없습니다! ';
}
그러면 이때 http://www.target.com/login.php?admin=1 을 제출하면 작동하지 않습니다. 처음에 변수를 $admin으로 초기화했기 때문입니다. = 0이면 이 취약점을 통해 관리자 권한을 얻을 수 없습니다.
2. SQL 인젝션 방지(sql 인젝션)
SQL 인젝션은 기본적으로 지난 2년 동안 중국에서 인기를 끌었던 ASP부터 PHP까지 포함해 현재 가장 유해한 프로그램이어야 한다는 원칙이다. 필터링 없이 변수를 제출하면 주입 지점이 생성되고 악의적인 사용자가 일부 SQL 쿼리 문을 제출할 수 있어 중요한 데이터가 도난당하거나 손실 또는 손상되거나 백엔드 관리에 침입할 수 있습니다.
기본 원칙에 대해서는 다루지 않겠습니다.
http://www.4ngel.net/article/36.htm
http://www. 4ngel.net/article/30.htm
이제 기본적인 주입 침입 방법을 이해했으니 어떻게 예방할 수 있을까요? 코드부터 시작해야 합니다.
웹에 데이터를 제출하는 방법에는 두 가지가 있다는 것을 알고 있습니다. 하나는 get이고 다른 하나는 post입니다. 그래서 많은 일반적인 SQL 삽입이 get 메서드에서 시작되고, 삽입 문에는 일부 SQL 문이 포함되어 있어야 합니다. sql 문이 없는데 어떻게 진행하나요?
선택, 업데이트, 삭제, 삽입의 4가지 주요한 문이 있습니다. 그렇다면 제출한 데이터를 필터링하면 이러한 문제를 피할 수 있을까요?
그래서 정규식을 사용하여 다음 함수를 구성합니다.
/*
함수 이름: inject_check()
함수 함수: 제출된 값에 SQL 주입 문자가 포함되어 있는지 감지하고 주입을 방지하며 서버를 보호합니다. security
매개변수: $sql_str: 제출된 변수
반환값: 탐지 결과 반환, true 또는 false
함수 작성자: heiyeluren
*/
function inject_check($sql_str)
{
return eregi('select|insert|update|delete|'|/*|*|../|./|union|into|load_file|outfile', $sql_str) // 필터
}
우리 함수에서는 select, insert, update, delete, Union, into, load_file, outfile /*, ./, ../, ' 등과 같은 모든 위험한 매개변수 문자열을 필터링한 다음 제출 매개변수를 사용하면 프로그램은 다음과 같이 구성될 수 있습니다.
if (inject_check($_GET['id']))
{
exit('제출한 데이터가 불법입니다. 확인하고 다시 제출해 주세요!' );
}
else
{
$id = $_GET['id']
echo '제출된 데이터가 합법적입니다. 계속하세요! ';
}
?>
URL을 http://www.target.com/a.php?id=1로 제출하면 다음 메시지가 표시됩니다.
"제출됨 데이터가 합법적입니다. 계속하세요! "
http://www.target.com/a.php?id=1'을 제출하면 tb_name에서 *를 선택하세요.
프롬프트가 표시됩니다. "제출한 데이터입니다. 불법입니다. 확인하고 다시 제출해 주세요."
그러면 요구 사항이 충족되었습니다.
그러나 문제는 아직 해결되지 않았습니다. http://www.target.com/a.php?id=1asdfasdfasdf를 제출하면 우리는 위의 규칙을 준수하지만 위의 사항을 준수하지 않습니다. 규칙이 필요하므로 다른 상황을 확인하는 함수를 작성합니다:
/*
함수 이름: verify_id()
함수 함수: 제출된 ID 클래스 값이 유효한지 확인
매개변수: $ id: 제출된 ID 값
반환값: 처리된 ID 반환
함수 작성자: heiyeluren
*/
function verify_id($id=null)
{
if (!$id) {exit('제출된 매개변수가 없습니다!'); } // 비어 있는지 확인
elseif (inject_check($id)) {exit('제출된 매개변수가 불법입니다!') } // 주입 판단
elseif (!is_numeric($id)) { exit('제출된 매개변수가 불법입니다!') } // 숫자 판단
$id = intval($id) // 전체 형식
return $ id
}
하하, 그러면 검증을 수행할 수 있으므로 위의 프로그램 코드는 다음과 같습니다.
if (inject_check($_GET[ 'id']))
{
종료 ('제출한 데이터가 불법입니다. 확인 후 다시 제출해 주세요!');
}
else
{
$id = verify_id ($_GET['id']) // 필터 $id
를 필터링하기 위해 함수가 여기에 인용되었습니다. echo '제출된 데이터가 합법적입니다. 계속하세요! ';
}
?>
자, 여기서는 문제가 해결된 것 같습니다만, 우편으로 제출된 데이터와 대량의 데이터를 고려해 보셨나요?
예를 들어 '_', '%' 등 일부 문자는 데이터베이스에 해를 끼칠 수 있는데, 이러한 문자는 특별한 의미를 갖고 있는데, 이를 제어하면 어떻게 될까요? 또 다른 요점은 php.ini에서 Magic_quotes_gpc = off일 때 데이터베이스 규칙을 준수하지 않는 제출된 데이터가 자동으로 앞에 ''를 추가하지 않는다는 것입니다. 그런 다음 이러한 문제를 제어해야 하므로 다음 함수를 구축합니다. 🎜>/*
함수 이름: str_check()
함수: 제출된 문자열을 필터링합니다.
매개변수: $var: 처리할 문자열
반환 값: 필터링된 문자열을 반환합니다.
함수 작성자 : heiyeluren
*/
function str_check($str)
{
if (!get_magic_quotes_gpc()) // Magic_quotes_gpc가 켜져 있는지 확인
{
$str = addlashes( $str); // 필터
}
$str = str_replace("_", "_", $str) // '_' 필터링
$str = str_replace("%", "%", $str); // '%' 필터링
return $str
}
좋아요, 다시 서버를 피했습니다. 포획될 위험이 있습니다.
마지막으로 게시, 기사 작성, 뉴스 작성 등 대량의 데이터를 제출하는 상황을 고려하면 위 함수를 기반으로 다음 함수를 구축하는 데 도움이 됩니다. 🎜>/*
함수명: post_check()
함수 함수: 제출된 편집 내용 처리
매개변수: $post: 제출할 내용
반환값: $post: 필터링된 내용 반환
함수 작성자: heiyeluren
*/
function post_check($post)
{
if (!get_magic_quotes_gpc()) // Magic_quotes_gpc가 열려 있는지 확인
{
$post = addlashes($post); // Magic_quotes_gpc가 켜지지 않은 경우 제출된 데이터를 필터링합니다.
}
$post = str_replace("_", "_", $post) / / '_' 필터링;
$post = str_replace("%", "%", $post); // '%' 필터링
$post = nl2br($post); // 차량 반환
$post= htmlspecialchars($post); // html 태그 변환
return $post;
}
하하, 기본적으로 여기서는 몇 가지 상황을 겪었습니다. , 적어도 나는 두 가지 측면에 대해서만 이야기했으며 전체 보안에 대한 내용은 거의 없습니다. 보안을 향상시키기 위해 PHP 보안 구성, Apache 보안 등을 포함하여 다음 번에 더 자세히 이야기하겠습니다. 옳은 것은 전체이고, 그것이 가장 안전하다.
마지막으로 위에서 표현한 내용을 설명하겠습니다. 1. 변수를 초기화합니다. 2. 변수를 필터링해야 합니다.

위 내용은 포커스 매직 컨텐츠를 포함한 포커스 매직 PHP xfocus 방지 주입 정보를 소개한 내용으로, PHP 튜토리얼에 관심이 있는 친구들에게 도움이 되기를 바랍니다.