php防止數(shù)據(jù)庫注入攻擊 php防止數(shù)據(jù)庫注入攻擊狀態(tài)

PHP如何做好最基礎(chǔ)的安全防范

PHP如何做好最基礎(chǔ)的安全防范

創(chuàng)新互聯(lián)公司網(wǎng)絡(luò)公司擁有10多年的成都網(wǎng)站開發(fā)建設(shè)經(jīng)驗，數(shù)千家客戶的共同信賴。提供網(wǎng)站設(shè)計、網(wǎng)站建設(shè)、網(wǎng)站開發(fā)、網(wǎng)站定制、賣友情鏈接、建網(wǎng)站、網(wǎng)站搭建、響應(yīng)式網(wǎng)站建設(shè)、網(wǎng)頁設(shè)計師打造企業(yè)風格，提供周到的售前咨詢和貼心的售后服務(wù)

php給了開發(fā)者極大的靈活性，但是這也為安全問題帶來了潛在的隱患，PHP如何做好最基礎(chǔ)的安全防范呢？下面我為大家解答一下，希望能幫到您！

當開發(fā)一個互聯(lián)網(wǎng)服務(wù)的時候，必須時刻牢記安全觀念，并在開發(fā)的代碼中體現(xiàn)。PHP腳本語言對安全問題并不關(guān)心，特別是對大多數(shù)沒有經(jīng)驗的開發(fā)者來說。每當你講任何涉及到錢財事務(wù)等交易問題時，需要特別注意安全問題的考慮，例如開發(fā)一個論壇或者是一個購物車等。

　 　安全保護一般性要點

不相信表單

對于一般的Javascript前臺驗證，由于無法得知用戶的行為，例如關(guān)閉了瀏覽器的javascript引擎，這樣通過POST惡意數(shù)據(jù)到服務(wù)器。需要在服務(wù)器端進行驗證，對每個php腳本驗證傳遞到的數(shù)據(jù)，防止XSS攻擊和SQL注入。

不相信用戶

要假設(shè)你的網(wǎng)站接收的每一條數(shù)據(jù)都是存在惡意代碼的，存在隱藏的威脅，要對每一條數(shù)據(jù)都進行清理

　 　關(guān)閉全局變量

在php.ini文件中進行以下配置：

register_globals = Off

如果這個配置選項打開之后，會出現(xiàn)很大的安全隱患。例如有一個process.php的腳本文件，會將接收到的數(shù)據(jù)插入到數(shù)據(jù)庫，接收用戶輸入數(shù)據(jù)的表單可能如下：

input name="username" type ="text" size = "15" maxlength = "64"

這樣，當提交數(shù)據(jù)到process.php之后，php會注冊一個$username變量，將這個變量數(shù)據(jù)提交到process.php，同時對于任何POST或GET請求參數(shù)，都會設(shè)置這樣的變量。如果不是顯示進行初始化那么就會出現(xiàn)下面的問題：

?php

// Define $authorized = true only if user is authenticated

if

(authenticated_user()) {

$authorized = true;

}

?

此處，假設(shè)authenticated_user函數(shù)就是判斷$authorized變量的值，如果開啟了register_globals配置，那么任何用戶都可以發(fā)送一個請求，來設(shè)置$authorized變量的值為任意值從而就能繞過這個驗證。所有的這些提交數(shù)據(jù)都應(yīng)該通過PHP預(yù)定義內(nèi)置的全局數(shù)組來獲取，包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等，其中$_REQUEST是一個$_GET/$_POST/$_COOKIE三個數(shù)組的聯(lián)合變量，默認的順序是$_COOKIE、$_POST、$_GET。

推薦的安全配置選項

error_reporting設(shè)置為Off：不要暴露錯誤信息給用戶，開發(fā)的時候可以設(shè)置為ON

safe_mode設(shè)置為Off

register_globals設(shè)置為Off

將以下函數(shù)禁用：system、exec、passthru、shell_exec、proc_open、popen

open_basedir設(shè)置為 /tmp ，這樣可以讓session信息有存儲權(quán)限，同時設(shè)置單獨的網(wǎng)站根目錄expose_php設(shè)置為Offallow_url_fopen設(shè)置為Offallow_url_include設(shè)置為Off

SQL注入攻擊

對于操作數(shù)據(jù)庫的SQL語句，需要特別注意安全性，因為用戶可能輸入特定語句使得原有的SQL語句改變了功能。類似下面的例子：

$sql ="select * from pinfo where product = '$product'";

此時如果用戶輸入的$product參數(shù)為：'39'; DROP pinfo; SELECT 'FOO

那么最終SQL語句就變成了如下的`樣子：

select product from pinfo where product = '39';

DROP pinfo;

SELECT 'FOO'

這樣就會變成三條SQL語句，會造成pinfo表被刪除，這樣會造成嚴重的后果。這個問題可以簡單的使用PHP的內(nèi)置函數(shù)解決：

$sql = 'Select * from pinfo where product = '"' mysql_real_escape_string($product) . '"';

防止SQL注入攻擊需要做好兩件事：對輸入的參數(shù)總是進行類型驗證對單引號、雙引號、反引號等特殊字符總是使用mysql_real_escape_string函數(shù)進行轉(zhuǎn)義但是，這里根據(jù)開發(fā)經(jīng)驗，不要開啟php的Magic Quotes，這個特性在php6中已經(jīng)廢除，總是自己在需要的時候進行轉(zhuǎn)義。

防止基本的XSS攻擊

XSS攻擊不像其他攻擊，這種攻擊在客戶端進行，最基本的XSS工具就是防止一段javascript腳本在用戶待提交的表單頁面，將用戶提交的數(shù)據(jù)和cookie偷取過來。XSS工具比SQL注入更加難以防護，各大公司網(wǎng)站都被XSS攻擊過，雖然這種攻擊與php語言無關(guān)，但可以使用php來篩選用戶數(shù)據(jù)達到保護用戶數(shù)據(jù)的目的，這里主要使用的是對用戶的數(shù)據(jù)進行過濾，一般過濾掉HTML標簽，特別是a標簽。下面是一個普通的過濾方法：

function transform_HTML( $string , $length null) { // Helps prevent XSS attacks

// Remove dead space.

$string = trim( $string );

// Prevent potential Unicode codec problems.

$string = utf8_decode( $string );

// HTMLize HTML-specific characters.

$string = htmlentities( $string , ENT_NOQUOTES);

$string = str_replace ( "#" , "#" , $string );

$string = str_replace ( "%" , "%" , $string );

$length = intval ( $length );

if ( $length 0) {

$string = substr ( $string , 0, $length );

}return $string ;

}

這個函數(shù)將HTML的特殊字符轉(zhuǎn)換為了HTML實體，瀏覽器在渲染這段文本的時候以純文本形式顯示。如bold會被顯示為： BoldText 上述函數(shù)的核心就是htmlentities函數(shù)，這個函數(shù)將html特殊標簽轉(zhuǎn)換為html實體字符，這樣可以過濾大部分的XSS攻擊。但是對于有經(jīng)驗的XSS攻擊者，有更加巧妙的辦法進行攻擊：將他們的惡意代碼使用十六進制或者utf-8編碼，而不是普通的ASCII文本，例如可以使用下面的方式進行：

　 　這樣瀏覽器渲染的結(jié)果其實是：

a href = ""

SCRIPT Dosomethingmalicious

這樣就達到了攻擊的目的。為了防止這種情況，需要在transform_HTML函數(shù)的基礎(chǔ)上再將#和%轉(zhuǎn)換為他們對應(yīng)的實體符號，同時加上了$length參數(shù)來限制提交的數(shù)據(jù)的最大長度。

　 　使用SafeHTML防止XSS攻擊

上述關(guān)于XSS攻擊的防護非常簡單，但是不包含用戶的所有標記，同時有上百種繞過過濾函數(shù)提交javascript代碼的方法，也沒有辦法能完全阻止這個情況。目前，沒有一個單一的腳本能保證不被攻擊突破，但是總有相對來說防護程度更好的。一共有兩個安全防護的方式：白名單和黑名單。其中白名單更加簡單和有效。一種白名單解決方案就是SafeHTML，它足夠智能能夠識別有效的HTML，然后就可以去除任何危險的標簽。這個需要基于HTMLSax包來進行解析。安裝使用SafeHTML的方法：

1、前往 下載最新的SafeHTML

2、將文件放入服務(wù)器的classes 目錄，這個目錄包含所有的SafeHTML和HTMLSax庫

3、在自己的腳本中包含SafeHTML類文件

4、建立一個SafeHTML對象

5、使用parse方法進行過濾

?php/* If you're storing the HTMLSax3.php in the /classes directory, along

with the safehtml.php script, define XML_HTMLSAX3 as a null string. */define(XML_HTMLSAX3, '' );// Include the class file.require_once ( 'classes/safehtml.php' );

// Define some sample bad code.

$data = This data would raise an alert

" ;// Create a safehtml object.$safehtml = new safehtml();// Parse and sanitize the data.$safe_data = $safehtml -parse( $data );// Display result. echo 'The sanitized data is ' . $safe_data ;

?

SafeHTML并不能完全防止XSS攻擊，只是一個相對復雜的腳本來檢驗的方式。

使用單向HASH加密方式來保護數(shù)據(jù)

單向hash加密保證對每個用戶的密碼都是唯一的，而且不能被破譯的，只有最終用戶知道密碼，系統(tǒng)也是不知道原始密碼的。這樣的一個好處是在系統(tǒng)被攻擊后攻擊者也無法知道原始密碼數(shù)據(jù)。加密和Hash是不同的兩個過程。與加密不同，Hash是無法被解密的，是單向的；同時兩個不同的字符串可能會得到同一個hash值，并不能保證hash值的唯一性。MD5函數(shù)處理過的hash值基本不能被破解，但是總是有可能性的，而且網(wǎng)上也有MD5的hash字典。

使用mcrypt加密數(shù)據(jù)MD5 hash函數(shù)可以在可讀的表單中顯示數(shù)據(jù)，但是對于存儲用戶的信用卡信息的時候，需要進行加密處理后存儲，并且需要之后進行解密。最好的方法是使用mcrypt模塊，這個模塊包含了超過30中加密方式來保證只有加密者才能解密數(shù)據(jù)。

?php$data = "Stuff you want encrypted" ;

$key = "Secret passphrase used to encrypt your data" ;

$cipher = "MCRYPT_SERPENT_256" $mode = "MCRYPT_MODE_CBC" ;function encrypt( $data, $key , cipher , $mode ) {// Encrypt datareturn (string) base64_encode ( mcrypt_encrypt ( $cipher , substr (md5( $key ),0,mcrypt_get_key_size( $cipher , $mode )), $data , $mode , substr (md5( $key ),0,mcrypt_get_block_size( $cipher , $mode )) ) );

}function decrypt( $data , $key ,$cipher , $mode ) {// Decrypt data

return (string) mcrypt_decrypt ( $cipher , substr (md5( $key ),0,mcrypt_get_key_size( $cipher , $mode )), base64_decode ( $data ), $mode , substr (md5( $key ),0,mcrypt_get_block_size( $cipher , $mode )) );

}?

mcrypt函數(shù)需要以下信息：

1、待加密數(shù)據(jù)

2、用來加密和解密數(shù)據(jù)的key

3、用戶選擇的加密數(shù)據(jù)的特定算法（cipher：

如 MCRYPT_TWOFISH192

,MCRYPT_SERPENT_256， MCRYPT_RC2

, MCRYPT_DES

, and MCRYPT_LOKI97

）

4、用來加密的模式

5、加密的種子，用來起始加密過程的數(shù)據(jù)，是一個額外的二進制數(shù)據(jù)用來初始化加密算法

6、加密key和種子的長度，使用mcrypt_get_key_size函數(shù)和mcrypt_get_block_size函數(shù)可以獲取如果數(shù)據(jù)和key都被盜取，那么攻擊者可以遍歷ciphers尋找開行的方式即可，因此我們需要將加密的key進行MD5一次后保證安全性。同時由于mcrypt函數(shù)返回的加密數(shù)據(jù)是一個二進制數(shù)據(jù)，這樣保存到數(shù)據(jù)庫字段中會引起其他錯誤，使用了base64encode將這些數(shù)據(jù)轉(zhuǎn)換為了十六進制數(shù)方便保存。

;

php如何防止sql注入？

額，這是我老師給的答案\x0d\x0a \x0d\x0a答：過濾一些常見的數(shù)據(jù)庫操作關(guān)鍵字,\x0d\x0a select ,insert,update,delete,and,*等或通過系統(tǒng)函數(shù)addslashes對內(nèi)容進行過濾\x0d\x0aphp配置文件中register_globals=off;設(shè)置為關(guān)閉狀態(tài).(作用將注冊全局變量關(guān)閉);如接收POST表單的值使用$_POST['user'],假設(shè)設(shè)置為ON的話$user才接收值\x0d\x0asql語句書寫的時候盡量不要省略小引號(tab上面那個)和單引號\x0d\x0a提高數(shù)據(jù)庫命名技巧,對于一些重要的字段根據(jù)程序的特點命名,使之不易被猜中\(zhòng)x0d\x0a對于常的方法加以封裝,避免直接暴漏SQL語句\x0d\x0a開啟PHP安全模式safe_mode=on\x0d\x0a打開magic_quotes_gpc來防止SQL注入,默認為關(guān)閉,開啟后自動把用戶提交sql查詢語句進行轉(zhuǎn)換把"'"轉(zhuǎn)換成"\'"\x0d\x0a控制錯誤信息輸出,關(guān)閉錯誤信息提示,將錯誤信息寫到系統(tǒng)日志\x0d\x0a使用MYSQLI或PDO預(yù)處理

php防止sql注入以及xss跨站腳本攻擊

1.post數(shù)據(jù)

封裝轉(zhuǎn)義函數(shù) 防sql注入 ?eag：addslashes($username);addslashes($password);?

eag:防止sql注入函數(shù)封裝?

function deepslashes($data){

#判斷$data的表現(xiàn)形式 并且需要處理空的情況

if(empty($data)){

return($data);

}

#高級簡寫 return is_array($data) ? array_map('deepslashes',$data) : addslashes($data);

#初級寫法

if(is_array($data)){

#遞歸循環(huán)遍歷處理多維數(shù)組

foreach ($data as $v) {

return deepslashes($v);

}

}else{

#單一變量

return addslashes($data);

}

#初級寫法

}

2.get數(shù)據(jù)

指url 傳參數(shù)導致sql發(fā)生改變

解決方案

①強制轉(zhuǎn)換，使用函數(shù)intval 或者 數(shù)據(jù)類型 的關(guān)鍵字int

②隱式轉(zhuǎn)換，通過運算，只需要+0即可

3.xss跨站腳本攻擊

指惡意攻擊向web頁面插入html、js標簽導致頁面出現(xiàn)錯誤

解決方案

轉(zhuǎn)義標簽'' ''即可，有以下php函數(shù)可解決

htmlspecialchars 函數(shù) 和 htmlentites函數(shù)

eag:

function deepslashes($data){

#判斷$data的表現(xiàn)形式 并且需要處理空的情況

if(empty($data)){

return($data);

}

return is_array($data) ? array_map('deepslashes',$data) :?htmlspecialchars?($data);

}

分享標題：php防止數(shù)據(jù)庫注入攻擊 php防止數(shù)據(jù)庫注入攻擊狀態(tài)
瀏覽路徑：http://muchs.cn/article40/docosho.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供定制開發(fā)、域名注冊、企業(yè)建站、動態(tài)網(wǎng)站、建站公司、網(wǎng)站導航

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)