您现在的位置是:网站首页 > 儿童文学

PHP安全配置(3)-PHP安全-PHP教程-幽默笑话

本站2019-07-1344人围观
简介 5、文件上传php的文件上传机制是把用户上传的文件保存在的upload_tmp_dir定义的临时目录(默认是系统的临时目录,如:/tmp)里的一个类似phpxXuoXG的随机临时文件,程序执行

PHP安全配置(3)-PHP安全-PHP教程-幽默笑话

5、文件上传php的文件上传机制是把用户上传的文件保存在的upload_tmp_dir定义的临时目录(默认是系统的临时目录,如:/tmp)里的一个类似phpxXuoXG的随机临时文件,程序执行结束,该临时文件也被删除。

PHP给上传的文件定义了四个变量:(如form变量名是file,而且register_globals打开)$file#就是保存到服务器端的临时文件(如/tmp/phpxXuoXG)$file_size#上传文件的大小$file_name#上传文件的原始名称$file_type#上传文件的类型推荐使用:$HTTP_POST_FILES[file][tmp_name]$HTTP_POST_FILES[file][size]$HTTP_POST_FILES[file][name]$HTTP_POST_FILES[file][type]这是一个最简单的文件上传代码://test_(isset($upload)$file!=none){copy($file,/usr/local/apache/htdocs/upload/.$file_name);echo文件.$file_name.上传成功!点击继续上传exit;}content=text/html;charset=gb2312上传文件:这样的上传代码存在读取任意文件和执行命令的重大问题。 下面的请求可以把/etc/passwd文档拷贝到web目录/usr/local/apache/htdocs/test(注意:这个目录必须nobody可写)下的文件里:http://victim/test_=1file=/etc/passwdfile_name=然后可以用如下请求读取口令文件:http://victim/test/攻击者可以把php文件拷贝成其它扩展名,泄漏脚本源代码。 攻击者可以自定义form里file_name变量的值,上传覆盖任意有写权限的文件。 攻击者还可以上传PHP脚本执行主机的命令。

解决方法:以后提供了is_uploaded_file和move_uploaded_file函数,可以检查操作的文件是否是用户上传的文件,从而避免把系统文件拷贝到web目录。 使用$HTTP_POST_FILES数组来读取用户上传的文件变量。 严格检查上传变量。 比如不允许是php脚本文件。

把PHP脚本操作限制在web目录可以避免程序员使用copy函数把系统文件拷贝到web目录。

move_uploaded_file不受open_basedir的限制,所以不必修改里upload_tmp_dir的值。

把PHP脚本用phpencode进行加密,避免由于copy操作泄漏源码。 严格配置文件和目录的权限,只允许上传的目录能够让nobody用户可写。 对于上传目录去掉PHP解释功能,可以通过修改实现:php_flagengineoff#如果是php3换成php3_engineoff重启apache,upload目录的php文件就不能被apache解释了,即使上传了php文件也没有问题,只能直接显示源码。

6、命令执行下面的代码片断是从PHPNetToolpack摘出,详细的描述见:http:///bid/4303//test_(traceroute$a_query,$ret_strs);由于程序没有过滤$a_query变量,所以攻击者可以用分号来追加执行命令。 攻击者输入如下请求可以执行cat/etc/passwd命令:http://victim/test__query=;cat/etc/passwdPHP的命令执行函数还有system(),passthru(),popen()和``等。 命令执行函数非常危险,慎用。 如果要使用一定要严格检查用户输入。

解决方法:要求程序员使用escapeshellcmd()函数过滤用户输入的shell命令。 启用safe_mode可以杜绝很多执行命令的问题,不过要注意PHP的版本一定要是最新的,小于的都可能绕过safe_mode的限制去执行命令。

7、sql_inject如下的SQL语句如果未对变量进行处理就会存在问题:select*fromloginwhereuser=$userandpass=$pass攻击者可以用户名和口令都输入1or1=1绕过验证。

不过幸亏PHP有一个默认的选项magic_quotes_gpc=On,该选项使得从GET,POST,COOKIE来的变量自动加了addslashes()操作。

上面SQL语句变成了:select*fromloginwhereuser=1\or1=\1andpass=1\or1=\1从而避免了此类sql_inject攻击。 对于数字类型的字段,很多程序员会这样写:select*fromtestwhereid=$id由于变量没有用单引号扩起来,就会造成sql_inject攻击。

幸亏MySQL功能简单,没有sqlserver等数据库有执行命令的SQL语句,而且PHP的mysql_query()函数也只允许执行一条SQL语句,所以用分号隔开多条SQL语句的攻击也不能奏效。

但是攻击者起码还可以让查询语句出错,泄漏系统的一些信息,或者一些意想不到的情况。

解决方法:要求程序员对所有用户提交的要放到SQL语句的变量进行过滤。

即使是数字类型的字段,变量也要用单引号扩起来,MySQL自己会把字串处理成数字。

在MySQL里不要给PHP程序高级别权限的用户,只允许对自己的库进行操作,这也避免了程序出现问题被SELECTINTOOUTFILE...这种攻击。

8、警告及错误信息PHP默认显示所有的警告及错误信息:error_reporting=E_ALL~E_NOTICEdisplay_errors=On在平时开发调试时这非常有用,可以根据警告信息马上找到程序错误所在。 正式应用时,警告及错误信息让用户不知所措,而且给攻击者泄漏了脚本所在的物理路径,为攻击者的进一步攻击提供了有利的信息。

而且由于自己没有访问到错误的地方,反而不能及时修改程序的错误。

所以把PHP的所有警告及错误信息记录到一个日志文件是非常明智的,即不给攻击者泄漏物理路径,又能让自己知道程序错误所在。

修改中关于Errorhandlingandlogging部分内容:error_reporting=E_ALLdisplay_errors=Offlog_errors=Onerror_log=/usr/local/apache/logs/php_然后重启apache,注意文件/usr/local/apache/logs/php_必需可以让nobody用户可写。 9、disable_functions如果觉得有些函数还有威胁,可以设置里的disable_functions(这个选项不能在里设置),比如:disable_functions=phpinfo,get_cfg_var可以指定多个函数,用逗号分开。 重启apache后,phpinfo,get_cfg_var函数都被禁止了。

建议关闭函数phpinfo,get_cfg_var,这两个函数容易泄漏服务器信息,而且没有实际用处。 10、disable_classes这个选项是从开始才有的,它可以禁用某些类,如果有多个用逗号分隔类名。 disable_classes也不能在里设置,只能在配置文件里修改。 11、open_basedir前面分析例程的时候也多次提到用open_basedir对脚本操作路径进行限制,这里再介绍一下它的特性。

用open_basedir指定的限制实际上是前缀,不是目录名。

也就是说open_basedir=/dir/incl也会允许访问/dir/include和/dir/incls,如果它们存在的话。

如果要将访问限制在仅为指定的目录,用斜线结束路径名。

例如:open_basedir=/dir/incl/。

可以设置多个目录,在Windows中,用分号分隔目录。

在任何其它系统中用冒号分隔目录。

作为Apache模块时,父目录中的open_basedir路径自动被继承。