在日常的學(xué)習(xí)、工作、生活中，肯定對(duì)各類范文都很熟悉吧。寫范文的時(shí)候需要注意什么呢？有哪些格式需要注意呢？下面是小編為大家收集的優(yōu)秀范文，供大家參考借鑒，希望可以幫助到有需要的朋友。
php如何做好最基礎(chǔ)的安全防范工程篇一
php給了開發(fā)者極大的靈活性，但是這也為安全問題帶來了潛在的隱患。下面是小編為大家?guī)淼年P(guān)于php如何做好最基礎(chǔ)的安全防范的知識(shí)，歡迎閱讀。
當(dāng)開發(fā)一個(gè)互聯(lián)網(wǎng)服務(wù)的時(shí)候，必須時(shí)刻牢記安全觀念，并在開發(fā)的代碼中體現(xiàn)。php腳本語言對(duì)安全問題并不關(guān)心，特別是對(duì)大多數(shù)沒有經(jīng)驗(yàn)的開發(fā)者來說。每當(dāng)你講任何涉及到錢財(cái)事務(wù)等交易問題時(shí)，需要特別注意安全問題的考慮，例如開發(fā)一個(gè)論壇或者是一個(gè)購物車等。
對(duì)于一般的javascript前臺(tái)驗(yàn)證，由于無法得知用戶的行為，例如關(guān)閉了瀏覽器的javascript引擎，這樣通過post惡意數(shù)據(jù)到服務(wù)器。需要在服務(wù)器端進(jìn)行驗(yàn)證，對(duì)每個(gè)php腳本驗(yàn)證傳遞到的數(shù)據(jù)，防止xss攻擊和sql注入。
要假設(shè)你的網(wǎng)站接收的每一條數(shù)據(jù)都是存在惡意代碼的，存在隱藏的威脅，要對(duì)每一條數(shù)據(jù)都進(jìn)行清理
文件中進(jìn)行以下配置：
register_globals = off
如果這個(gè)配置選項(xiàng)打開之后，會(huì)出現(xiàn)很大的安全隱患。的腳本文件，會(huì)將接收到的數(shù)據(jù)插入到數(shù)據(jù)庫，接收用戶輸入數(shù)據(jù)的表單可能如下：
< input name="username" type ="text" size = "15" maxlength = "64" >
這樣，之后，php會(huì)注冊(cè)一個(gè)$username變量，，同時(shí)對(duì)于任何post或get請(qǐng)求參數(shù)，都會(huì)設(shè)置這樣的變量。如果不是顯示進(jìn)行初始化那么就會(huì)出現(xiàn)下面的問題：
<?php
// define $authorized = true only if user is authenticated
if
(authenticated_user()) {
$authorized ?= true;
}
?>
此處，假設(shè)authenticated_user函數(shù)就是判斷$authorized變量的值，如果開啟了register_globals配置，那么任何用戶都可以發(fā)送一個(gè)請(qǐng)求，來設(shè)置$authorized變量的值為任意值從而就能繞過這個(gè)驗(yàn)證。所有的這些提交數(shù)據(jù)都應(yīng)該通過php預(yù)定義內(nèi)置的全局?jǐn)?shù)組來獲取，包括$_post、$_get、$_files、$_server、$_request等，其中$_request是一個(gè)$_get/$_post/$_cookie三個(gè)數(shù)組的聯(lián)合變量，默認(rèn)的順序是$_cookie、$_post、$_get。
推薦的安全配置選項(xiàng)
error_reporting設(shè)置為off：不要暴露錯(cuò)誤信息給用戶，開發(fā)的時(shí)候可以設(shè)置為on
safe_mode設(shè)置為off
register_globals設(shè)置為off
將以下函數(shù)禁用：system、exec、passthru、shell_exec、proc_open、popen
open_basedir設(shè)置為 /tmp ，這樣可以讓session信息有存儲(chǔ)權(quán)限，同時(shí)設(shè)置單獨(dú)的網(wǎng)站根目錄expose_php設(shè)置為offallow_url_fopen設(shè)置為offallow_url_include設(shè)置為off
sql注入攻擊
對(duì)于操作數(shù)據(jù)庫的sql語句，需要特別注意安全性，因?yàn)橛脩艨赡茌斎胩囟ㄕZ句使得原有的sql語句改變了功能。類似下面的例子：
$sql ="select * from pinfo where product = '$product'";
此時(shí)如果用戶輸入的$product參數(shù)為：'39'; drop pinfo; select 'foo
那么最終sql語句就變成了如下的樣子：
select product from pinfo where product = '39';
drop pinfo;
select 'foo'
這樣就會(huì)變成三條sql語句，會(huì)造成pinfo表被刪除，這樣會(huì)造成嚴(yán)重的后果。這個(gè)問題可以簡單的使用php的內(nèi)置函數(shù)解決：
$sql = 'select * from pinfo where product = '"' mysql_real_escape_string($product) . '"';
防止sql注入攻擊需要做好兩件事：對(duì)輸入的參數(shù)總是進(jìn)行類型驗(yàn)證對(duì)單引號(hào)、雙引號(hào)、反引號(hào)等特殊字符總是使用mysql_real_escape_string函數(shù)進(jìn)行轉(zhuǎn)義但是，這里根據(jù)開發(fā)經(jīng)驗(yàn)，不要開啟php的magic quotes，這個(gè)特性在php6中已經(jīng)廢除，總是自己在需要的時(shí)候進(jìn)行轉(zhuǎn)義。
xss攻擊不像其他攻擊，這種攻擊在客戶端進(jìn)行，最基本的xss工具就是防止一段javascript腳本在用戶待提交的表單頁面，將用戶提交的數(shù)據(jù)和cookie偷取過來。xss工具比sql注入更加難以防護(hù)，各大公司網(wǎng)站都被xss攻擊過，雖然這種攻擊與php語言無關(guān)，但可以使用php來篩選用戶數(shù)據(jù)達(dá)到保護(hù)用戶數(shù)據(jù)的目的，這里主要使用的是對(duì)用戶的數(shù)據(jù)進(jìn)行過濾，一般過濾掉html標(biāo)簽，特別是a標(biāo)簽。下面是一個(gè)普通的過濾方法：
function transform_html( $string , $length ?null) { ?// helps prevent xss attacks
// remove dead space.
$string = trim( $string );
// prevent potential unicode codec problems.
$string = utf8_decode( $string );
// htmlize html-specific characters.
$string = htmlentities( $string , ent_noquotes);
$string = str_replace ( "#" , "#" , $string );
$string = str_replace ( "%" , "%" , $string );
$length = intval ( $length );
if ( $length > 0) {
$string = substr ( $string , 0, $length );
}return $string ;
}
這個(gè)函數(shù)將html的特殊字符轉(zhuǎn)換為了html實(shí)體，瀏覽器在渲染這段文本的時(shí)候以純文本形式顯示。如bold會(huì)被顯示為：<>上述函數(shù)的`核心就是htmlentities函數(shù)，這個(gè)函數(shù)將html特殊標(biāo)簽轉(zhuǎn)換為html實(shí)體字符，這樣可以過濾大部分的xss攻擊。但是對(duì)于有經(jīng)驗(yàn)的xss攻擊者，有更加巧妙的辦法進(jìn)行攻擊：將他們的惡意代碼使用十六進(jìn)制或者utf-8編碼，而不是普通的ascii文本，例如可以使用下面的方式進(jìn)行：
<a href = "http://host/?variable=%22%3e %3c%53%43%52%49%50%54%3e%44%6f%73%6f%6d%65%74%68%69%6e%67%6d%61%6c%69%63%69%6f%75%73%3c%2f%53%43%52%49%50%54%3e">
這樣瀏覽器渲染的結(jié)果其實(shí)是：
< a href = "http://host/?variable=" >
< script >dosomethingmalicious</ script >
這樣就達(dá)到了攻擊的目的。為了防止這種情況，需要在transform_html函數(shù)的基礎(chǔ)上再將#和%轉(zhuǎn)換為他們對(duì)應(yīng)的實(shí)體符號(hào)，同時(shí)加上了$length參數(shù)來限制提交的數(shù)據(jù)的最大長度。
上述關(guān)于xss攻擊的防護(hù)非常簡單，但是不包含用戶的所有標(biāo)記，同時(shí)有上百種繞過過濾函數(shù)提交javascript代碼的方法，也沒有辦法能完全阻止這個(gè)情況。目前，沒有一個(gè)單一的腳本能保證不被攻擊突破，但是總有相對(duì)來說防護(hù)程度更好的。一共有兩個(gè)安全防護(hù)的方式：白名單和黑名單。其中白名單更加簡單和有效。一種白名單解決方案就是safehtml，它足夠智能能夠識(shí)別有效的html，然后就可以去除任何危險(xiǎn)的標(biāo)簽。這個(gè)需要基于htmlsax包來進(jìn)行解析。安裝使用safehtml的方法：
1、前往http:///safehtml/?page=safehtml 下載最新的safehtml
2、將文件放入服務(wù)器的classes 目錄，這個(gè)目錄包含所有的safehtml和htmlsax庫
3、在自己的腳本中包含safehtml類文件
4、建立一個(gè)safehtml對(duì)象
5、使用parse方法進(jìn)行過濾
<?php/* if you're storing the in the /classes directory, along
with the script, define xml_htmlsax3 as a null string. */define(xml_htmlsax3, '' );// include the class e_once ( 'classes/' );
// define some sample bad code.
$data = this data would raise an alert <script>alert('xss attack') ?</script>" ;// create a safehtml object.$safehtml = new safehtml();// parse and sanitize the data.$safe_data = $safehtml ->parse( $data );// display result. echo 'the sanitized data is ' . $safe_data ;
?>
safehtml并不能完全防止xss攻擊，只是一個(gè)相對(duì)復(fù)雜的腳本來檢驗(yàn)的方式。
使用單向hash加密方式來保護(hù)數(shù)據(jù)
單向hash加密保證對(duì)每個(gè)用戶的密碼都是唯一的，而且不能被破譯的，只有最終用戶知道密碼，系統(tǒng)也是不知道原始密碼的。這樣的一個(gè)好處是在系統(tǒng)被攻擊后攻擊者也無法知道原始密碼數(shù)據(jù)。加密和hash是不同的兩個(gè)過程。與加密不同，hash是無法被解密的，是單向的；同時(shí)兩個(gè)不同的字符串可能會(huì)得到同一個(gè)hash值，并不能保證hash值的唯一性。md5函數(shù)處理過的hash值基本不能被破解，但是總是有可能性的，而且網(wǎng)上也有md5的hash字典。
使用mcrypt加密數(shù)據(jù)md5 hash函數(shù)可以在可讀的表單中顯示數(shù)據(jù)，但是對(duì)于存儲(chǔ)用戶的信用卡信息的時(shí)候，需要進(jìn)行加密處理后存儲(chǔ)，并且需要之后進(jìn)行解密。最好的方法是使用mcrypt模塊，這個(gè)模塊包含了超過30中加密方式來保證只有加密者才能解密數(shù)據(jù)。
<?php$data = "stuff you want encrypted" ;
$key = "secret passphrase used to encrypt your data" ;
$cipher = "mcrypt_serpent_256" $mode = "mcrypt_mode_cbc" ;function encrypt( $data, $key , cipher , $mode ) {// encrypt datareturn (string) base64_encode ( mcrypt_encrypt ( $cipher , substr (md5( $key ),0,mcrypt_get_key_size( $cipher , $mode )), $data , ?$mode , substr (md5( $key ),0,mcrypt_get_block_size( $cipher , $mode )) ) );
}function decrypt( $data , $key ,$cipher , $mode ) {// decrypt data
return (string) mcrypt_decrypt ( $cipher , substr (md5( $key ),0,mcrypt_get_key_size( $cipher , $mode )), base64_decode ( $data ), $mode , substr (md5( $key ),0,mcrypt_get_block_size( $cipher , $mode )) );
}?>
mcrypt函數(shù)需要以下信息：
1、待加密數(shù)據(jù)
2、用來加密和解密數(shù)據(jù)的key
3、用戶選擇的加密數(shù)據(jù)的特定算法（cipher：
如 mcrypt_twofish192
,mcrypt_serpent_256， mcrypt_rc2
, mcrypt_des
, and mcrypt_loki97
）
4、用來加密的模式
5、加密的種子，用來起始加密過程的數(shù)據(jù)，是一個(gè)額外的二進(jìn)制數(shù)據(jù)用來初始化加密算法
6、加密key和種子的長度，使用mcrypt_get_key_size函數(shù)和mcrypt_get_block_size函數(shù)可以獲取如果數(shù)據(jù)和key都被盜取，那么攻擊者可以遍歷ciphers尋找開行的方式即可，因此我們需要將加密的key進(jìn)行md5一次后保證安全性。同時(shí)由于mcrypt函數(shù)返回的加密數(shù)據(jù)是一個(gè)二進(jìn)制數(shù)據(jù)，這樣保存到數(shù)據(jù)庫字段中會(huì)引起其他錯(cuò)誤，使用了base64encode將這些數(shù)據(jù)轉(zhuǎn)換為了十六進(jìn)制數(shù)方便保存。
s("content_relate");
【php如何做好最基礎(chǔ)的安全防范】相關(guān)文章：
汛期出行如何做好防范和自救
07-04
零基礎(chǔ)如何自學(xué)php編程語言
09-22
零基礎(chǔ)如何快速掌握php語言
09-13
php基礎(chǔ)入門
08-31
php常見漏洞的防范措施
09-17
php的漏洞-如何防止php漏洞
09-22
php基礎(chǔ)知識(shí)
09-12
php語言基礎(chǔ)入門
08-23
php基礎(chǔ)語法介紹
08-20
【本文地址：http://aiweibaby.com/zuowen/2746877.html】
