10 个 PHP 常见安全问题（实例讲解）

2020相对于其他几种语言来说， PHP 在 web 建站方面有更大的优势，即使是新手，也能很容易搭建一个网站出来。但这种优势也容易带来一些负面影响，因为很多的 PHP 教程没有涉及到安全方面的知识。

本文分为几部分，每部分会涵盖不同的安全威胁和应对策略。但是，这并不是说你做到这几点以后，就一定能避免你的网站出现任何问题。如果你想提高你的网站安全性的话，你应该继续通过阅读书籍或者文章，来研究如何提高你的网站安全性

出于演示需要，代码可能不是很完美。日常开发过程中，很多代码都包含在了框架跟各种库里面。作为一个后台开发，你不仅要熟练基本的 CURD，更要知道如何保护你的数据。

1. SQL 注入

我赌一包辣条，你肯定会看到这里。 SQL 注入是对您网站最大的威胁之一，如果您的数据库受到别人的 SQL 注入的攻击的话，别人可以转出你的数据库，也许还会产生更严重的后果。

网站要从数据库中获取动态数据，就必须执行 SQL 语句，举例如下：


<?php$username = $_GET['username'];$query = "SELECT * FROM users WHERE username = '$username'";

攻击者控制通过 GET 和 POST 发送的查询（或者例如 UA 的一些其他查询）。一般情况下，你希望查询户名为「 peter 」的用户产生的 SQL 语句如下：


SELECT * FROM users WHERE username = 'peter'

但是，攻击者发送了特定的用户名参数，例如：' OR '1'='1

这就会导致 SQL 语句变成这样：


SELECT * FROM users WHERE username = 'peter' OR '1' = '1'

这样，他就能在不需要密码的情况下导出你的整个用户表的数据了。

那么，我们如何防止这类事故的发生呢？主流的解决方法有两种。转义用户输入的数据或者使用封装好的语句。转义的方法是封装好一个函数，用来对用户提交的数据进行过滤，去掉有害的标签。但是，我不太推荐使用这个方法，因为比较容易忘记在每个地方都做此处理。

下面，我来介绍如何使用 PDO 执行封装好的语句（ mysqi 也一样）：


$username = $_GET['username'];$query = $pdo->prepare('SELECT * FROM users WHERE username = :username');$query->execute(['username' => $username]);$data = $query->fetch();

动态数据的每个部分都以：做前缀。然后将所有参数作为数组传递给执行函数，看起来就像 PDO 为你转义了有害数据一样。

几乎所有的数据库驱动程序都支持封装好的语句，没有理由不使用它们！养成使用他们的习惯，以后就不会忘记了。

2. XSS

XSS 又叫 CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往 Web 页面里插入恶意 html 代码，当用户浏览该页之时，嵌入其中 Web 里面的 html 代码会被执行，从而达到恶意攻击用户的特殊目的。

下面以一个搜索页面为例子：


<body><?php$searchQuery = $_GET['q'];/* some search magic here * /?><h1>You searched for: <?php echo $searchQuery; ?></h1><p>We found: Absolutely nothing because this is a demo</p></body>

因为我们把用户的内容直接打印出来，不经过任何过滤，非法用户可以拼接 URL：


search.php?q=%3Cscript%3Ealert(1)%3B%3C%2Fscript%3E

PHP 渲染出来的内容如下，可以看到 Javascript 代码会被直接执行：


<body><h1>You searched for: <script>alert(1);</script></h1><p>We found: Absolutely nothing because this is a demo</p></body>

问：JS 代码被执行有什么大不了的？

Javascript 可以:

偷走你用户浏览器里的 Cookie；

通过浏览器的记住密码功能获取到你的站点登录账号和密码；

盗取用户的机密信息；

你的用户在站点上能做到的事情，有了 JS 权限执行权限就都能做，也就是说 A 用户可以模拟成为任何用户；

在你的网页中嵌入恶意代码；

...

问：如何防范此问题呢？

好消息是比较先进的浏览器现在已经具备了一些基础的 XSS 防范功能，不过请不要依赖与此。

正确的做法是坚决不要相信用户的任何输入，并过滤掉输入中的所有特殊字符。这样就能消灭绝大部分的 XSS 攻击：


<?php$searchQuery = htmlentities($searchQuery, ENT_QUOTES);

或者你可以使用模板引擎 Twig ，一般的模板引擎都会默认为输出加上 htmlentities 防范。

如果你保持了用户的输入内容，在输出时也要特别注意，在以下的例子中，我们允许用户填写自己的博客链接：


<body>  <a href="<?php echo $homepageUrl; ?>">Visit Users homepage</a></body>

以上代码可能第一眼看不出来有问题，但是假设用户填入以下内容：


#" οnclick="alert(1)

会被渲染为：


<body>  <a href="#" οnclick="alert(1)">Visit Users homepage</a></body>

永远永远不要相信用户输入的数据，或者，永远都假设用户的内容是有攻击性的，态度端正了，然后小心地处理好每一次的用户输入和输出。

另外设置 Cookie 时，如果无需 JS 读取的话，请必须设置为 "HTTP ONLY"。这个设置可以令 JavaScript 无法读取 PHP 端种的 Cookie。

3. XSRF/CSRF

CSRF 是跨站请求伪造的缩写，它是攻击者通过一些技术手段欺骗用户去访问曾经认证过的网站并运行一些操作。

虽然此处展示的例子是 GET 请求，但只是相较于 POST 更容易理解，并非防护手段，两者都不是私密的 Cookies 或者多步表单。

假如你有一个允许用户删除账户的页面，如下所示：


<?php//delete-account.php$confirm = $_GET['confirm'];if($confirm === 'yes') {  //goodbye}

攻击者可以在他的站点上构建一个触发这个 URL 的表单（同样适用于 POST 的表单），或者将 URL 加载为图片诱惑用户点击：


<img src="https://example.com/delete-account.php?confirm=yes" />

用户一旦触发，就会执行删除账户的指令，眨眼你的账户就消失了。

防御这样的攻击比防御 XSS 与 SQL 注入更复杂一些。

最常用的防御方法是生成一个 CSRF 令牌加密安全字符串，一般称其为 Token，并将 Token 存储于 Cookie 或者 Session 中。

每次你在网页构造表单时，将 Token 令牌放在表单中的隐藏字段，表单请求服务器以后会根据用户的 Cookie 或者 Session 里的 Token 令牌比对，校验成功才给予通过。

由于攻击者无法知道 Token 令牌的内容（每个表单的 Token 令牌都是随机的），因此无法冒充用户。


<?php /* 你嵌入表单的页面 * / ?><form action="/delete-account.php" method="post">  <input type="hidden" name="csrf" value="<?php echo $_SESSION['csrf']; ?>">  <input type="hidden" name="confirm" value="yes" />  <input type="submit" value="Delete my account" /></form>## <?php//delete-account.php$confirm = $_POST['confirm'];$csrf = $_POST['csrf'];$knownGoodToken = $_SESSION['csrf'];if($csrf !== $knownGoodToken) {  die('Invalid request');}if($confirm === 'yes') {  //goodbye}

请注意，这是个非常简单的示例，你可以加入更多的代码。如果你使用的是像 Symfony 这样的 PHP 框架，那么自带了 CSRF 令牌的功能。

4. LFI

LFI （本地文件包含）是一个用户未经验证从磁盘读取文件的漏洞。

我经常遇到编程不规范的路由代码示例，它们不验证过滤用户的输入。我们用以下文件为例，将它要渲染的模板文件用 GET 请求加载。


<body><?php  $page = $_GET['page'];  if(!$page) {    $page = 'main.php';  }  include($page);?></body>

由于 Include 可以加载任何文件，不仅仅是 PHP，攻击者可以将系统上的任何文件作为包含目标传递。


index.php?page=../../etc/passwd

这将导致 /etc/passwd 文件被读取并展示在浏览器上。

要防御此类攻击，你必须仔细考虑允许用户输入的类型，并删除可能有害的字符，如输入字符中的 “.” “/” “\”。

如果你真的想使用像这样的路由系统（我不建议以任何方式），你可以自动附加 PHP 扩展，删除任何非 [a-zA-Z0-9-_] 的字符，并指定从专用的模板文件夹中加载，以免被包含任何非模板文件。

我在不同的开发文档中，多次看到造成此类漏洞的 PHP 代码。从一开始就要有清晰的设计思路，允许所需要包含的文件类型，并删除掉多余的内容。你还可以构造要读取文件的绝对路径，并验证文件是否存在来作为保护，而不是任何位置都给予读取。

5. 不充分的密码哈希

大部分的 Web 应用需要保存用户的认证信息。如果密码哈希做的足够好，在你的网站被攻破时，即可保护用户的密码不被非法读取。

首先，最不应该做的事情，就是把用户密码明文储存起来。大部分的用户会在多个网站上使用同一个密码，这是不可改变的事实。当你的网站被攻破，意味着用户的其他网站的账号也被攻破了。

其次，你不应该使用简单的哈希算法，事实上所有没有专门为密码哈希优化的算法都不应使用。哈希算法如 MD5 或者 SHA 设计初衷就是执行起来非常快。这不是你需要的，密码哈希的终极目标就是让黑客花费无穷尽的时间和精力都无法破解出来密码。

另外一个比较重要的点是你应该为密码哈希加盐（Salt），加盐处理避免了两个同样的密码会产生同样哈希的问题。

以下使用 MD5 来做例子，所以请千万不要使用 MD5 来哈希你的密码， MD5 是不安全的。

假如我们的用户 user1 和 user315 都有相同的密码 ilovecats123，这个密码虽然看起来是强密码，有字母有数字，但是在数据库里，两个用户的密码哈希数据将会是相同的：5e2b4d823db9d044ecd5e084b6d33ea5 。

如果一个如果黑客拿下了你的网站，获取到了这些哈希数据，他将不需要去暴力破解用户 user315 的密码。我们要尽量让他花大精力来破解你的密码，所以我们对数据进行加盐处理：


<?php//warning: !!这是一个很不安全的密码哈希例子，请不要使用!!$password = 'cat123';$salt = random_bytes(20);$hash = md5($password . $salt);

最后在保存你的唯一密码哈希数据时，请不要忘记连 $salt 也已经保存，否则你将无法验证用户。

在当下，最好的密码哈希选项是 bcrypt，这是专门为哈希密码而设计的哈希算法，同时这套哈希算法里还允许你配置一些参数来加大破解的难度。

新版的 PHP 中也自带了安全的密码哈希函数 password_hash ，此函数已经包含了加盐处理。对应的密码验证函数为 password_verify 用来检测密码是否正确。password_verify 还可有效防止时序攻击.

以下是使用的例子：


<?php//user signup$password = $_POST['password'];$hashedPassword = password_hash($password, PASSWORD_DEFAULT);//login$password = $_POST['password'];$hash = '1234'; //load this value from your dbif(password_verify($password, $hash)) {  echo 'Password is valid!';} else {  echo 'Invalid password.';}

需要澄清的一点是：密码哈希并不是密码加密。哈希（Hash）是将目标文本转换成具有相同长度的、不可逆的杂凑字符串（或叫做消息摘要），而加密（Encrypt）是将目标文本转换成具有不同长度的、可逆的密文。显然他们之间最大的区别是可逆性，在储存密码时，我们要的就是哈希这种不可逆的属性。

6. 中间人攻击

MITM （中间人）攻击不是针对服务器直接攻击，而是针对用户进行，攻击者作为中间人欺骗服务器他是用户，欺骗用户他是服务器，从而来拦截用户与网站的流量，并从中注入恶意内容或者读取私密信息，通常发生在公共 WiFi 网络中，也有可能发生在其他流量通过的地方，例如 ISP 运营商。

对此的唯一防御是使用 HTTPS，使用 HTTPS 可以将你的连接加密，并且无法读取或者篡改流量。你可以从 Let's Encrypt 获取免费的 SSL 证书，或从其他供应商处购买，这里不详细介绍如何正确配置 WEB 服务器，因为这与应用程序安全性无关，且在很大程度上取决于你的设置。

你还可以采取一些措施使 HTTPS 更安全，在 WEB 服务器配置加上 Strict-Transport-Security 标示头，此头部信息告诉浏览器，你的网站始终通过 HTTPS 访问，如果未通过 HTTPS 将返回错误报告提示浏览器不应显示该页面。

然而，这里有个明显的问题，如果浏览器之前从未访问过你的网站，则无法知道你使用此标示头，这时候就需要用到 Hstspreload。

可以在此注册你的网站: https://hstspreload.org/

你在此处提交的所有网站都将被标记为仅 HTTPS，并硬编码到 Google Chrome、FireFox、Opera、Safari、IE11 和 Edge 的源代码中。

你还可以在 DNS 配置中添加 Certification Authority Authorization (CAA) record ，可以仅允许一个证书颁发机构（例如： Let's encrypt）发布你的域名证书，这进一步提高了用户的安全性。

7. 命令注入

这可能是服务器遇到的最严重的攻击，命令注入的目标是欺骗服务器执行任意 Shell 命令

你如果使用 shell_exec 或是 exec 函数。让我们做一个小例子，允许用户简单的从服务器 Ping 不同的主机。


<?php$targetIp = $_GET['ip'];$output = shell_exec("ping -c 5 $targetIp");

输出将包括对目标主机 Ping 5 次。除非采用 sh 命令执行 Shell 脚本，否则攻击者可以执行想要的任何操作。


ping.php?ip=8.8.8.8;ls -l /etc

Shell 将执行 Ping 和由攻击者拼接的第二个命令，这显然是非常危险的。

感谢 PHP 提供了一个函数来转义 Shell 参数。

escapeshellarg 转义用户的输入并将其封装成单引号。


<?php$targetIp = escapeshellarg($_GET['ip']);$output = shell_exec("ping -c 5 $targetIp");

现在你的命令应该是相当安全的，就个人而言，我仍然避免使用 PHP 调用外部命令，但这完全取决于你自己的喜好。

另外，我建议进一步验证用户输入是否符合你期望的形式。

8. XXE

XXE （XML 外部实体）是一种应用程序使用配置不正确的 XML 解析器解析外部 XML 时，导致的本地文件包含攻击，甚至可以远程代码执行。

XML 有一个鲜为人知的特性，它允许文档作者将远程和本地文件作为实体包含在其 XML 文件中。


<?xml version="1.0" encoding="ISO-8859-1"?> <!DOCTYPE foo [   <!ELEMENT foo ANY >   <!ENTITY passwd SYSTEM "file:///etc/passwd" >]>   <foo>&passwd;</foo>

就像这样， /etc/passwd 文件内容被转储到 XML 文件中。

如果你使用 libxml 可以调用 libxml_disable_entity_loader 来保护自己免受此类攻击。使用前请仔细检查 XML 库的默认配置，以确保配置成功。

9. 在生产环境中不正确的错误报告暴露敏感数据

如果你不小心，可能会在生产环境中因为不正确的错误报告泄露了敏感信息，例如：文件夹结构、数据库结构、连接信息与用户信息。

你是不希望用户看到这个的吧？

一般根据你使用的框架或者 CMS ，配置方法会有不同的变化。通常框架具有允许你将站点更改为某种生产环境的设置。这样会将所有用户可见的错误消息重定向到日志文件中，并向用户显示非描述性的 500 错误，同时允许你根据错误代码检查。

但是你应该根据你的 PHP 环境设置： error_reporting 与 display_errors.

10. 登录限制

像登录这样的敏感表单应该有一个严格的速率限制，以防止暴力攻击。保存每个用户在过去几分钟内失败的登录尝试次数，如果该速率超过你定义的阈值，则拒绝进一步登录尝试，直到冷却期结束。还可通过电子邮件通知用户登录失败，以便他们知道自己的账户被成为目标。

以上就是10个PHP常见安全问题（实例讲解）的详细内容，更多请关注php中文网其它相关文章！

查看全文
如若内容造成侵权/违法违规/事实不符，请联系编程学习网邮箱：809451989@qq.com进行投诉反馈，一经查实，立即删除！

读书笔记-2--重构（Ruby）版
但你觉得需要注释的时候，应该首先尝试重构代码，这样任何注释都会变得多余。自我测试代码的价值，当你收到一份Bug报告时，首先编写单元测试来暴露bug。编写运行不完整的测试也比不运行的完整测试要好。思考可能会出错的边界条件&…...
2024/5/6 0:05:09
15个PHP关于高并发的面试题（总结）
774 一、PHP基础部分 1、PHP语言的一大优势是跨平台，什么是跨平台？ PHP的运行环境最优搭配为ApacheMySQLPHP，此运行环境可以在不同操作系统（例如windows、Linux等）上配置，不受操作系统的限制&#xff0c…...
2024/5/8 11:19:15
傻傻分不清之 Cookie、Session、Token、JWT
什么是认证（Authentication） 通俗地讲就是验证当前用户的身份，证明 “你是你自己”（比如：你每天上下班打卡，都需要通过指纹打卡，当你的指纹和系统里录入的指纹相匹配时，就打卡成功&a…...
2024/5/7 11:52:48
Filecoin调查：海外名气大但参与者寥寥，分叉币哪家众望所归
hi，各位FIL矿工小伙伴们~ 这里是IPFS资讯快车，想进filecoin技术交流群的以及与圈内大佬深入沟通，了解FIL的(V:FIL101),今天跟大家分享的是“Filecoin调查：海外名气大但参与者寥寥，分叉币哪家众望所归” 熬了三年&…...
2024/5/4 10:36:33
2020年，为什么你该学PHP？！！
1676对于编程初学者来说一个开发顺手的代码编辑器很重要，可大多数人不了解代码编辑器有哪些，网上有很多种代码编辑器推荐，但是不知道这些代码编辑器哪个好用。所以，今天php中文网就为初学者推荐2020最好用的8个代码编辑器。代码编…...
2024/5/2 3:32:13
ALS算法介绍（协同过滤算法介绍）
目录一、ALS算法概括二、ALS算法原理及运用（1）、协同过滤（2）、ALS算法工作原理（3）、ALS算法输入的参数三、代码实现一、ALS算法概括 1、ALS算法用来补全用户评分矩阵。由于用户评分矩阵比较稀疏&#xff0…...
2024/5/1 21:32:20
【转载】OpenCV-Python系列之SIFT尺度不变特征变换二（四十八）
我们在上一个教程中谈到SIFT总共有四个步骤，之前已经讨论了一部分，今天我们将结束这一部分，我们现在接着上一个教程继续。删除不好的极值点（特征点） 通过比较检测得到的DoG的局部极值点实在离散的空间搜索得到的&am…...
2024/5/8 12:36:42
前端-net::ERR_ABORTED 404
解决方案1 js，css文件导入项目后先重新启动软件， 保证编码格式正确js引入加入type“text/javascript” css引入加入rel“stylesheet” 重启idea软件每次导入新的css和js都要重新启动。解决方案2 在页面中的html标签中加入th标签库使用thymeleaf为我们…...
2024/5/2 19:21:52
2020年最受欢迎的免费开源后台管理系统模板
当你写项目的时候，如何快速的完成一个项目的搭建，这个时候就需要借助到一些模板了，前端开发的一个好处就是，各类UI模板都是相当的齐全的，直接拿来用就可以了，脱离了一行又一行垒代码的繁琐的工作&#xff0…...
2024/4/13 15:37:31
超级账本fabric区块链: fabric-sdk-java 解决无法在ARM运行
前言: 1.项目使用超级账本hyperledger fabric 作为底层区块链，使用java-sdk-java来连接区块链的智能合约。为了适配arm架构自己编译sdk依赖的netty包后运行成功。 2.fabric-sdk-java用了SSL的话，netty就会用到netty-tcnative库，而这个库内…...
2024/4/22 0:45:17
Java多线程基础巩固系列
多线程多线程一.创建方式（两个重要一个了解）1. extends Thread（重要）2. implements Runnable（重要广泛使用）3. implements Callable （了解）二.案例1. 购买车票2. 龟兔赛跑3. 网图下载…...
2024/5/5 20:58:50
CSS优先级和继承
CSS优先级相关1.几种优先级2.继承1.几种优先级设置相同样式的时候，后面出现的会生效内部样式和外部样式都出现的时候，也是后面的会生效单一样式的优先级：style行间 > id > class > tag > * > 继承标签加上类的优先级要大于类…...
2024/4/24 16:01:14
PyTorch先决条件-神经网络编程系列
PyTorch先决条件-神经网络编程系列Programming ExperienceNeural Network ExperienceNeural Network Programming Series - SyllabusNeural Network Programming: Part 1Neural Network Programming: Part 2Project Preview: Training A CNN With PyTorch欢迎使用PyTorch进行有…...
2024/4/23 4:30:01
什么是操作数
操作数：用来被操作的数，也就是我们方法里的参数。Java虚拟机的指令由一个字节长度的、代表着某种特定操作含义的数字（称为操作码，Opcode）以及跟随其后的零至多个代表此操作所需的参数（称为操作数&#xff0…...
2024/4/13 19:17:26
10个PHP常见安全问题（实例讲解）
1341本篇文章给大家介绍11个PHP程序员最常犯的MySQL错误。有一定的参考价值，有需要的朋友可以参考一下，希望对大家有所帮助。对于大多数web应用来说，数据库都是一个十分基础性的部分。如果你在使用PHP，那么你很可能也在使用MySQL…...
2024/4/9 4:19:06
deepinV20一路艰辛系列五：安装Navicat15 premium（无限期使用）
deepinV20一路艰辛系列五：安装Navicat15 premium（无限期使用）准备工具相关软件环境安装安装Navicat并激活准备工具 navicat15-premium-cs.AppImage：Navicat 15 premium 官方简体中文试用版navicat-patcher：补丁navica…...
2024/5/4 18:06:48
Docker之两小时入门
1、引言 1.1 Docker是什么 Docker 最初是 dotCloud 公司创始人 Solomon Hykes 在法国期间发起的一个公司内部项目，于 2013 年 3 月以 Apache 2.0 授权协议开源，主要项目代码在 GitHub 上进行维护。 Docker 使用 Google 公司推出的 Go 语言进行开发实…...
2024/4/9 4:19:04
Python 值班表设计
要求：五个人轮班，每个人一天，思路是提前制作一个字典，把每个人对应的日期放到字典中，然后通过time库查询当日的时间，从时间中提取月和日，生成一个四位数字的字符串，然后在字典中遍历…...
2024/5/6 8:12:29
史上最全免费下载文献网站汇总！来吧！展示！
找不到人帮我下载，太无奈了！ 这个网站我没有权限下载不了文献啊！ 我没有百度文库下载券，如何才能免费下载文献啊！ Sci-hub怎样下载文献，网址是什么？ 别急！有办法！ 今天小…...
2024/5/4 22:23:26
YOLOv5的详细使用教程，以及使用yolov5训练自己的数据集
欢迎大家关注笔者，你的关注是我持续更博的最大动力原创文章，转载告知，盗版必究YOLOv5的详细使用教程，以及使用yolov5训练自己的数据集文章目录：1 安装环境依赖1.1 克隆项目1.2 安装必要的环境依赖2 下载预训练模型和标…...
2024/4/26 7:36:59

10 个 PHP 常见安全问题（实例讲解）

相关文章

最新文章