Ralf_Jones / PHP / PHP安全配置

分享

   

PHP安全配置

2006-06-28  Ralf_Jones
摘要:php+mysql注入的防范方法。

-对于像where id= ‘$id‘这样的语句,如果字段id是整数,就一定要$id = intval($id);
-username = $username 这样是错误的,一定要加‘,正确写法:username=‘$username‘
-用PHP的md5加密函数,不用MYSQL的MD5函数
-如果是字符型的呢?
我们可以先用addslashes()过滤一下,然后再过滤”%”和”_”.
例如:
$search = addslashes($search);
$search = str_replace("_","\_",$search);
$search = str_replace("%","\%",$search);
记得,可千万别在magic_quotes_gpc=On的情况下替换\为\\,如下:
$password=str_replace("\\","\\\\",$password);

-登陆的地方,如果是只用一个管理员管理的话,我们可以直接对username和passwd用md5加密,这样就不用害怕注入技术的发展了。
Username=md5($HTTP_POST_VARS["username"]);
Passwd=md5($HTTP_POST_VARS["passwd"]);

 
  • 包含文件

    极易受攻击的代码片断:

    <?
    //test_3.php

    if(file_exists($filename))
        include("$filename");
    ?>

    这种不负责任的代码会造成相当大的危害,攻击者用如下请求可以得到/etc/passwd文件:



    如果对于Unix版的PHP(Win版的PHP不支持远程打开文件)攻击者可以在自己开了http或ftp服务的机器上建立一个包含shell命令的文件,如的内容是<?passthru("ls /etc")?>,那么如下的请求就可以在目标主机执行命令ls /etc:

    http://victim/test_3.php?filename=

    攻击者甚至可以通过包含apache的日志文件access.log和error.log来得到执行命令的代码,不过由于干扰信息太多,有时不易成功。
    对于另外一种形式,如下代码片断:

    <?
    //test_4.php

    include("$lib/config.php");
    ?>

    攻击者可以在自己的主机建立一个包含执行命令代码的config.php文件,然后用如下请求也可以在目标主机执行命令:



    PHP的包含函数有include(), include_once(), require(), require_once。如果对包含文件名变量检查不严就会对系统造成严重危险,可以远程执行命令。

    解决方法:

    要求程序员包含文件里的参数尽量不要使用变量,如果使用变量,就一定要严格检查要包含的文件名,绝对不能由用户任意指定。

    如前面文件打开中限制PHP操作路径是一个必要的选项。另外,如非特殊需要,一定要关闭PHP的远程文件打开功能。修改php.ini文件:

    allow_url_fopen = Off

    重启apache。

  • 文件上传

    php的文件上传机制是把用户上传的文件保存在php.ini的upload_tmp_dir定义的临时目录(默认是系统的临时目录,如:/tmp)里的一个类似phpxXuoXG的随机临时文件,程序执行结束,该临时文件也被删除。PHP给上传的文件定义了四个变量:(如form变量名是file,而且register_globals打开)

    $file        #就是保存到服务器端的临时文件(如/tmp/phpxXuoXG )
    $file_size    #上传文件的大小
    $file_name    #上传文件的原始名称
    $file_type    #上传文件的类型

    推荐使用:

    $HTTP_POST_FILES[‘file‘][‘tmp_name‘]
    $HTTP_POST_FILES[‘file‘][‘size‘]
    $HTTP_POST_FILES[‘file‘][‘name‘]
    $HTTP_POST_FILES[‘file‘][‘type‘]

    这是一个最简单的文件上传代码:

    <?
    //test_5.php

    if(isset($upload) && $file != "none") {
        copy($file, "/usr/local/apache/htdocs/upload/".$file_name);
        echo "文件".$file_name."上传成功!点击<a href=\"$PHP_SELF\">继续上传</a>";
        exit;
    }
    ?>
    <html>
    <head>
    <title>文件上传</title>
    <meta http-equiv="Content-Type" content="text/html; charset=gb2312">
    </head>
    <body bgcolor="#FFFFFF">
    <form enctype="multipart/form-data" method="post">
    上传文件:
    <input type="file"  name="file" size="30">
    <input type="submit" name="upload" value="上传">
    </form>
    </body>
    </html>

    这样的上传代码存在读取任意文件和执行命令的重大问题。
    下面的请求可以把/etc/passwd文档拷贝到web目录/usr/local/apache/htdocs/test(注意:这个目录必须nobody可写)下的attack.txt文件里:



    然后可以用如下请求读取口令文件:



    攻击者可以把php文件拷贝成其它扩展名,泄漏脚本源代码。
    攻击者可以自定义form里file_name变量的值,上传覆盖任意有写权限的文件。
    攻击者还可以上传PHP脚本执行主机的命令。

    解决方法:

    PHP-4.0.3以后提供了is_uploaded_file和move_uploaded_file函数,可以检查操作的文件是否是用户上传的文件,从而避免把系统文件拷贝到web目录。
    使用$HTTP_POST_FILES数组来读取用户上传的文件变量。
    严格检查上传变量。比如不允许是php脚本文件。

    把PHP脚本操作限制在web目录可以避免程序员使用copy函数把系统文件拷贝到web目录。move_uploaded_file不受open_basedir的限制,所以不必修改php.ini里upload_tmp_dir的值。
    把PHP脚本用phpencode进行加密,避免由于copy操作泄漏源码。
    严格配置文件和目录的权限,只允许上传的目录能够让nobody用户可写。
    对于上传目录去掉PHP解释功能,可以通过修改httpd.conf实现:

    <Directory /usr/local/apache/htdocs/upload>
          php_flag engine off
          #如果是php3换成php3_engine off
    </Directory>

    重启apache,upload目录的php文件就不能被apache解释了,即使上传了php文件也没有问题,只能直接显示源码。

  • sql_inject

    如下的SQL语句如果未对变量进行处理就会存在问题:

    select * from login where user=‘$user‘ and pass=‘$pass‘

    攻击者可以用户名和口令都输入1‘ or 1=‘1绕过验证。

    不过幸亏PHP有一个默认的选项magic_quotes_gpc = On,该选项使得从GET, POST, COOKIE来的变量自动加了addslashes()操作。上面SQL语句变成了:

    select * from login where user=‘1\‘ or 1=\‘1‘ and pass=‘1\‘ or 1=\‘1‘

    从而避免了此类sql_inject攻击。

    对于数字类型的字段,很多程序员会这样写:

    select * from test where id=$id

    由于变量没有用单引号扩起来,就会造成sql_inject攻击。幸亏MySQL功能简单,没有sqlserver等数据库有执行命令的SQL语句,而且PHP的mysql_query()函数也只允许执行一条SQL语句,所以用分号隔开多条SQL语句的攻击也不能奏效。但是攻击者起码还可以让查询语句出错,泄漏系统的一些信息,或者一些意想不到的情况。

    解决方法:

    要求程序员对所有用户提交的要放到SQL语句的变量进行过滤。
    即使是数字类型的字段,变量也要用单引号扩起来,MySQL自己会把字串处理成数字。
    在MySQL里不要给PHP程序高级别权限的用户,只允许对自己的库进行操作,这也避免了程序出现问题被 SELECT INTO OUTFILE ... 这种攻击。


  • 警告及错误信息

    PHP默认显示所有的警告及错误信息:

    error_reporting  =  E_ALL & ~E_NOTICE
    display_errors = On

    在平时开发调试时这非常有用,可以根据警告信息马上找到程序错误所在。
    正式应用时,警告及错误信息让用户不知所措,而且给攻击者泄漏了脚本所在的物理路径,为攻击者的进一步攻击提供了有利的信息。而且由于自己没有访问到错误的地方,反而不能及时修改程序的错误。所以把PHP的所有警告及错误信息记录到一个日志文件是非常明智的,即不给攻击者泄漏物理路径,又能让自己知道程序错误所在。

    修改php.ini中关于Error handling and logging部分内容:

    error_reporting  =  E_ALL
    display_errors = Off
    log_errors = On
    error_log = /usr/local/apache/logs/php_error.log

    然后重启apache,注意文件/usr/local/apache/logs/php_error.log必需可以让nobody用户可写。

    本站是提供个人知识管理的网络存储空间,所有内容均由用户发布,不代表本站观点。请注意甄别内容中的联系方式、诱导购买等信息,谨防诈骗。如发现有害或侵权内容,请点击一键举报。

    0条评论

    发表

    请遵守用户 评论公约

    类似文章 更多