PHP如何做好最基礎(chǔ)的安全防范

PHP如何做好最基礎(chǔ)的安全防范

成都創(chuàng)新互聯(lián)公司是一家集網(wǎng)站建設(shè),新沂企業(yè)網(wǎng)站建設(shè),新沂品牌網(wǎng)站建設(shè),網(wǎng)站定制,新沂網(wǎng)站建設(shè)報(bào)價(jià),網(wǎng)絡(luò)營(yíng)銷,網(wǎng)絡(luò)優(yōu)化,新沂網(wǎng)站推廣為一體的創(chuàng)新建站企業(yè)，幫助傳統(tǒng)企業(yè)提升企業(yè)形象加強(qiáng)企業(yè)競(jìng)爭(zhēng)力。可充分滿足這一群體相比中小企業(yè)更為豐富、高端、多元的互聯(lián)網(wǎng)需求。同時(shí)我們時(shí)刻保持專業(yè)、時(shí)尚、前沿，時(shí)刻以成就客戶成長(zhǎng)自我，堅(jiān)持不斷學(xué)習(xí)、思考、沉淀、凈化自己，讓我們?yōu)楦嗟钠髽I(yè)打造出實(shí)用型網(wǎng)站。

php給了開(kāi)發(fā)者極大的靈活性，但是這也為安全問(wèn)題帶來(lái)了潛在的隱患，PHP如何做好最基礎(chǔ)的安全防范呢？下面我為大家解答一下，希望能幫到您！

當(dāng)開(kāi)發(fā)一個(gè)互聯(lián)網(wǎng)服務(wù)的時(shí)候，必須時(shí)刻牢記安全觀念，并在開(kāi)發(fā)的代碼中體現(xiàn)。PHP腳本語(yǔ)言對(duì)安全問(wèn)題并不關(guān)心，特別是對(duì)大多數(shù)沒(méi)有經(jīng)驗(yàn)的開(kāi)發(fā)者來(lái)說(shuō)。每當(dāng)你講任何涉及到錢財(cái)事務(wù)等交易問(wèn)題時(shí)，需要特別注意安全問(wèn)題的考慮，例如開(kāi)發(fā)一個(gè)論壇或者是一個(gè)購(gòu)物車等。

　 　安全保護(hù)一般性要點(diǎn)

不相信表單

對(duì)于一般的Javascript前臺(tái)驗(yàn)證，由于無(wú)法得知用戶的行為，例如關(guān)閉了瀏覽器的javascript引擎，這樣通過(guò)POST惡意數(shù)據(jù)到服務(wù)器。需要在服務(wù)器端進(jìn)行驗(yàn)證，對(duì)每個(gè)php腳本驗(yàn)證傳遞到的數(shù)據(jù)，防止XSS攻擊和SQL注入。

不相信用戶

要假設(shè)你的網(wǎng)站接收的每一條數(shù)據(jù)都是存在惡意代碼的，存在隱藏的威脅，要對(duì)每一條數(shù)據(jù)都進(jìn)行清理

　 　關(guān)閉全局變量

在php.ini文件中進(jìn)行以下配置：

register_globals = Off

如果這個(gè)配置選項(xiàng)打開(kāi)之后，會(huì)出現(xiàn)很大的安全隱患。例如有一個(gè)process.php的腳本文件，會(huì)將接收到的數(shù)據(jù)插入到數(shù)據(jù)庫(kù)，接收用戶輸入數(shù)據(jù)的表單可能如下：

input name="username" type ="text" size = "15" maxlength = "64"

這樣，當(dāng)提交數(shù)據(jù)到process.php之后，php會(huì)注冊(cè)一個(gè)$username變量，將這個(gè)變量數(shù)據(jù)提交到process.php，同時(shí)對(duì)于任何POST或GET請(qǐng)求參數(shù)，都會(huì)設(shè)置這樣的變量。如果不是顯示進(jìn)行初始化那么就會(huì)出現(xiàn)下面的問(wèn)題：

?php

// Define $authorized = true only if user is authenticated

if

(authenticated_user()) {

$authorized = true;

}

?

此處，假設(shè)authenticated_user函數(shù)就是判斷$authorized變量的值，如果開(kāi)啟了register_globals配置，那么任何用戶都可以發(fā)送一個(gè)請(qǐng)求，來(lái)設(shè)置$authorized變量的值為任意值從而就能繞過(guò)這個(gè)驗(yàn)證。所有的這些提交數(shù)據(jù)都應(yīng)該通過(guò)PHP預(yù)定義內(nèi)置的全局?jǐn)?shù)組來(lái)獲取，包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等，其中$_REQUEST是一個(gè)$_GET/$_POST/$_COOKIE三個(gè)數(shù)組的聯(lián)合變量，默認(rèn)的順序是$_COOKIE、$_POST、$_GET。

推薦的安全配置選項(xiàng)

error_reporting設(shè)置為Off：不要暴露錯(cuò)誤信息給用戶，開(kāi)發(fā)的時(shí)候可以設(shè)置為ON

safe_mode設(shè)置為Off

register_globals設(shè)置為Off

將以下函數(shù)禁用：system、exec、passthru、shell_exec、proc_open、popen

open_basedir設(shè)置為 /tmp ，這樣可以讓session信息有存儲(chǔ)權(quán)限，同時(shí)設(shè)置單獨(dú)的網(wǎng)站根目錄expose_php設(shè)置為Offallow_url_fopen設(shè)置為Offallow_url_include設(shè)置為Off

SQL注入攻擊

對(duì)于操作數(shù)據(jù)庫(kù)的SQL語(yǔ)句，需要特別注意安全性，因?yàn)橛脩艨赡茌斎胩囟ㄕZ(yǔ)句使得原有的SQL語(yǔ)句改變了功能。類似下面的例子：

$sql ="select * from pinfo where product = '$product'";

此時(shí)如果用戶輸入的$product參數(shù)為：'39'; DROP pinfo; SELECT 'FOO

那么最終SQL語(yǔ)句就變成了如下的`樣子：

select product from pinfo where product = '39';

DROP pinfo;

SELECT 'FOO'

這樣就會(huì)變成三條SQL語(yǔ)句，會(huì)造成pinfo表被刪除，這樣會(huì)造成嚴(yán)重的后果。這個(gè)問(wèn)題可以簡(jiǎn)單的使用PHP的內(nèi)置函數(shù)解決：

$sql = 'Select * from pinfo where product = '"' mysql_real_escape_string($product) . '"';

防止SQL注入攻擊需要做好兩件事：對(duì)輸入的參數(shù)總是進(jìn)行類型驗(yàn)證對(duì)單引號(hào)、雙引號(hào)、反引號(hào)等特殊字符總是使用mysql_real_escape_string函數(shù)進(jìn)行轉(zhuǎn)義但是，這里根據(jù)開(kāi)發(fā)經(jīng)驗(yàn)，不要開(kāi)啟php的Magic Quotes，這個(gè)特性在php6中已經(jīng)廢除，總是自己在需要的時(shí)候進(jìn)行轉(zhuǎn)義。

防止基本的XSS攻擊

XSS攻擊不像其他攻擊，這種攻擊在客戶端進(jìn)行，最基本的XSS工具就是防止一段javascript腳本在用戶待提交的表單頁(yè)面，將用戶提交的數(shù)據(jù)和cookie偷取過(guò)來(lái)。XSS工具比SQL注入更加難以防護(hù)，各大公司網(wǎng)站都被XSS攻擊過(guò)，雖然這種攻擊與php語(yǔ)言無(wú)關(guān)，但可以使用php來(lái)篩選用戶數(shù)據(jù)達(dá)到保護(hù)用戶數(shù)據(jù)的目的，這里主要使用的是對(duì)用戶的數(shù)據(jù)進(jìn)行過(guò)濾，一般過(guò)濾掉HTML標(biāo)簽，特別是a標(biāo)簽。下面是一個(gè)普通的過(guò)濾方法：

function transform_HTML( $string , $length null) { // Helps prevent XSS attacks

// Remove dead space.

$string = trim( $string );

// Prevent potential Unicode codec problems.

$string = utf8_decode( $string );

// HTMLize HTML-specific characters.

$string = htmlentities( $string , ENT_NOQUOTES);

$string = str_replace ( "#" , "#" , $string );

$string = str_replace ( "%" , "%" , $string );

$length = intval ( $length );

if ( $length 0) {

$string = substr ( $string , 0, $length );

}return $string ;

}

這個(gè)函數(shù)將HTML的特殊字符轉(zhuǎn)換為了HTML實(shí)體，瀏覽器在渲染這段文本的時(shí)候以純文本形式顯示。如bold會(huì)被顯示為： BoldText 上述函數(shù)的核心就是htmlentities函數(shù)，這個(gè)函數(shù)將html特殊標(biāo)簽轉(zhuǎn)換為html實(shí)體字符，這樣可以過(guò)濾大部分的XSS攻擊。但是對(duì)于有經(jīng)驗(yàn)的XSS攻擊者，有更加巧妙的辦法進(jìn)行攻擊：將他們的惡意代碼使用十六進(jìn)制或者utf-8編碼，而不是普通的ASCII文本，例如可以使用下面的方式進(jìn)行：

　 　這樣瀏覽器渲染的結(jié)果其實(shí)是：

a href = ""

SCRIPT Dosomethingmalicious

這樣就達(dá)到了攻擊的目的。為了防止這種情況，需要在transform_HTML函數(shù)的基礎(chǔ)上再將#和%轉(zhuǎn)換為他們對(duì)應(yīng)的實(shí)體符號(hào)，同時(shí)加上了$length參數(shù)來(lái)限制提交的數(shù)據(jù)的最大長(zhǎng)度。

　 　使用SafeHTML防止XSS攻擊

上述關(guān)于XSS攻擊的防護(hù)非常簡(jiǎn)單，但是不包含用戶的所有標(biāo)記，同時(shí)有上百種繞過(guò)過(guò)濾函數(shù)提交javascript代碼的方法，也沒(méi)有辦法能完全阻止這個(gè)情況。目前，沒(méi)有一個(gè)單一的腳本能保證不被攻擊突破，但是總有相對(duì)來(lái)說(shuō)防護(hù)程度更好的。一共有兩個(gè)安全防護(hù)的方式：白名單和黑名單。其中白名單更加簡(jiǎn)單和有效。一種白名單解決方案就是SafeHTML，它足夠智能能夠識(shí)別有效的HTML，然后就可以去除任何危險(xiǎn)的標(biāo)簽。這個(gè)需要基于HTMLSax包來(lái)進(jìn)行解析。安裝使用SafeHTML的方法：

1、前往 下載最新的SafeHTML

2、將文件放入服務(wù)器的classes 目錄，這個(gè)目錄包含所有的SafeHTML和HTMLSax庫(kù)

3、在自己的腳本中包含SafeHTML類文件

4、建立一個(gè)SafeHTML對(duì)象

5、使用parse方法進(jìn)行過(guò)濾

?php/* If you're storing the HTMLSax3.php in the /classes directory, along

with the safehtml.php script, define XML_HTMLSAX3 as a null string. */define(XML_HTMLSAX3, '' );// Include the class file.require_once ( 'classes/safehtml.php' );

// Define some sample bad code.

$data = This data would raise an alert

" ;// Create a safehtml object.$safehtml = new safehtml();// Parse and sanitize the data.$safe_data = $safehtml -parse( $data );// Display result. echo 'The sanitized data is ' . $safe_data ;

?

SafeHTML并不能完全防止XSS攻擊，只是一個(gè)相對(duì)復(fù)雜的腳本來(lái)檢驗(yàn)的方式。

使用單向HASH加密方式來(lái)保護(hù)數(shù)據(jù)

單向hash加密保證對(duì)每個(gè)用戶的密碼都是唯一的，而且不能被破譯的，只有最終用戶知道密碼，系統(tǒng)也是不知道原始密碼的。這樣的一個(gè)好處是在系統(tǒng)被攻擊后攻擊者也無(wú)法知道原始密碼數(shù)據(jù)。加密和Hash是不同的兩個(gè)過(guò)程。與加密不同，Hash是無(wú)法被解密的，是單向的；同時(shí)兩個(gè)不同的字符串可能會(huì)得到同一個(gè)hash值，并不能保證hash值的唯一性。MD5函數(shù)處理過(guò)的hash值基本不能被破解，但是總是有可能性的，而且網(wǎng)上也有MD5的hash字典。

使用mcrypt加密數(shù)據(jù)MD5 hash函數(shù)可以在可讀的表單中顯示數(shù)據(jù)，但是對(duì)于存儲(chǔ)用戶的信用卡信息的時(shí)候，需要進(jìn)行加密處理后存儲(chǔ)，并且需要之后進(jìn)行解密。最好的方法是使用mcrypt模塊，這個(gè)模塊包含了超過(guò)30中加密方式來(lái)保證只有加密者才能解密數(shù)據(jù)。

?php$data = "Stuff you want encrypted" ;

$key = "Secret passphrase used to encrypt your data" ;

$cipher = "MCRYPT_SERPENT_256" $mode = "MCRYPT_MODE_CBC" ;function encrypt( $data, $key , cipher , $mode ) {// Encrypt datareturn (string) base64_encode ( mcrypt_encrypt ( $cipher , substr (md5( $key ),0,mcrypt_get_key_size( $cipher , $mode )), $data , $mode , substr (md5( $key ),0,mcrypt_get_block_size( $cipher , $mode )) ) );

}function decrypt( $data , $key ,$cipher , $mode ) {// Decrypt data

return (string) mcrypt_decrypt ( $cipher , substr (md5( $key ),0,mcrypt_get_key_size( $cipher , $mode )), base64_decode ( $data ), $mode , substr (md5( $key ),0,mcrypt_get_block_size( $cipher , $mode )) );

}?

mcrypt函數(shù)需要以下信息：

1、待加密數(shù)據(jù)

2、用來(lái)加密和解密數(shù)據(jù)的key

3、用戶選擇的加密數(shù)據(jù)的特定算法（cipher：

如 MCRYPT_TWOFISH192

,MCRYPT_SERPENT_256， MCRYPT_RC2

, MCRYPT_DES

, and MCRYPT_LOKI97

）

4、用來(lái)加密的模式

5、加密的種子，用來(lái)起始加密過(guò)程的數(shù)據(jù)，是一個(gè)額外的二進(jìn)制數(shù)據(jù)用來(lái)初始化加密算法

6、加密key和種子的長(zhǎng)度，使用mcrypt_get_key_size函數(shù)和mcrypt_get_block_size函數(shù)可以獲取如果數(shù)據(jù)和key都被盜取，那么攻擊者可以遍歷ciphers尋找開(kāi)行的方式即可，因此我們需要將加密的key進(jìn)行MD5一次后保證安全性。同時(shí)由于mcrypt函數(shù)返回的加密數(shù)據(jù)是一個(gè)二進(jìn)制數(shù)據(jù)，這樣保存到數(shù)據(jù)庫(kù)字段中會(huì)引起其他錯(cuò)誤，使用了base64encode將這些數(shù)據(jù)轉(zhuǎn)換為了十六進(jìn)制數(shù)方便保存。

;

自己用PHP開(kāi)發(fā)的網(wǎng)站怎樣才能安全些

php本身的安全性就很高，所以防止的就是sql高手對(duì)你的網(wǎng)站進(jìn)行sql注入，一般php的網(wǎng)站問(wèn)題都是這個(gè)，自己寫代碼的時(shí)候仔細(xì)檢查代碼，不要發(fā)生死循環(huán)和內(nèi)存不夠的問(wèn)題，還有就是凡事涉及到用戶操作數(shù)據(jù)庫(kù)的都要有驗(yàn)證碼。這樣就差不多了吧。

PHP如何進(jìn)行加密 實(shí)現(xiàn)數(shù)據(jù)安全

如果是不可逆，如儲(chǔ)存密碼，可以使用MD5加密，

如果要可逆加密，可以使用base64加密，自己寫算法

php防sql注入，同時(shí)要求記錄下攻擊的數(shù)據(jù)

sql過(guò)濾參數(shù)放在$keyword變量里，如單雙引號(hào)、and、or空格等，這里過(guò)濾了get post cookie變量，根據(jù)需要在$input刪減，例如文章提交的頁(yè)面就沒(méi)必要過(guò)濾post變量。

攻擊信息保存在sql.txt

?php

$keyword = array("'",'"','and','or',' ');

$input = array($_GET,$_POST,$_COOKIE);

foreach($input as $k){

foreach($k as $name=$value){

foreach($keyword as $key){

if(strpos($value, $key)!==false){

$fp=fopen('sql.txt','a');

fputs($fp,date("Y-m-d H:i:s")."\t$_SERVER[REMOTE_ADDR]\t$_SERVER[SCRIPT_NAME]\t$value\r\n");

fclose($fp);

die("非法參數(shù)");

}

}

}

}

thinkphp 防止重復(fù)提交數(shù)據(jù)。

親，你可以加驗(yàn)證碼驗(yàn)證啊！~~

第一次產(chǎn)生驗(yàn)證碼，然后驗(yàn)證完成后就將驗(yàn)證碼更新掉，這樣他再提交驗(yàn)證碼就錯(cuò)誤了，驗(yàn)證碼錯(cuò)誤就不讓他提交，直接轉(zhuǎn)向就好了！~~

驗(yàn)證碼是防止重復(fù)提交的一個(gè)簡(jiǎn)單的方式，目前還是比較有效的！~~

而且tp生成驗(yàn)證碼很簡(jiǎn)單，驗(yàn)證也很方便的！~~

具體可以參考文檔這里：

希望對(duì)你有幫助，如果有幫助，記得采納喲！~~

php怎么保證兩個(gè)網(wǎng)站之間傳輸數(shù)據(jù)安全

使用數(shù)據(jù)加密，或者使用https協(xié)議來(lái)傳輸數(shù)據(jù)。

數(shù)據(jù)加密建議使用自己的加密方式，加密的key是關(guān)鍵，這個(gè)一定不能泄露，兩個(gè)網(wǎng)站的服務(wù)器都需要有這個(gè)key，發(fā)送數(shù)據(jù)時(shí)發(fā)送方加密數(shù)據(jù)，將密文傳輸給接收方，接收方同樣用key解密即可。只要key不泄露，就算數(shù)據(jù)被人攔截，也是加密過(guò)的密文，通常沒(méi)有Key是解不開(kāi)的。

https協(xié)議可以自動(dòng)為傳輸數(shù)據(jù)加密，不過(guò)就要求https協(xié)議證書了，這個(gè)數(shù)字證書是需要申請(qǐng)的。

分享題目：php數(shù)據(jù)防護(hù),php源碼保護(hù)
分享URL：http://chinadenli.net/article49/dsgiieh.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供外貿(mào)網(wǎng)站建設(shè)、全網(wǎng)營(yíng)銷推廣、定制開(kāi)發(fā)、App開(kāi)發(fā)、面包屑導(dǎo)航、Google

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)