PHP安全问题入门：10个常见安全问题+实例讲解

你假如行使 shell_exec 或是 exec 函数。让我们做一个小例子，应承用户简朴的从处事器 Ping 差异的主机。

<?php  
$targetIp = $_GET['ip'];  
$output = shell_exec("ping -c 5 $targetIp"); 

输出将包罗对方针主机 Ping 5次。除非回收 sh 呼吁执行 Shell 剧本，不然进攻者可以执行想要的任何操纵。

ping.php?ip=8.8.8.8;ls -l /etc 

Shell 将执行 Ping 和由进攻者拼接的第二个呼吁，这显然长短常伤害的。

感激 PHP 提供了一个函数来转义 Shell 参数。

escapeshellarg 转义用户的输入并将其封装成单引号。

<?php  
$targetIp = escapeshellarg($_GET['ip']);  
$output = shell_exec("ping -c 5 $targetIp"); 

此刻你的呼吁应该是相等安详的，就小我私人而言，我如故停止行使 PHP 挪用外部呼吁，但这完全取决于你本身的兴趣。

其它，我提议进一步验证用户输入是否切合你祈望的情势。

8. XXE

XXE （XML 外部实体） 是一种应用措施行使设置不正确的 XML 理会器理会外部 XML 时，导致的当地文件包括进攻，乃至可以长途代码执行。

XML 有一个鲜为人知的特征，它应承文档作者将长途和当地文件作为实体包括在其 XML 文件中。

<?xml version="1.0" encoding="ISO-8859-1"?>  
 <!DOCTYPE foo [  
   <!ELEMENT foo ANY >  
   <!ENTITY passwd SYSTEM "file:///etc/passwd" >]>  
   <foo>&passwd;</foo> 

就像这样， /etc/passwd 文件内容被转储到 XML 文件中。

假如你行使 libxml 可以挪用 libxml_disable_entity_loader 来掩护本身免受此类进攻。行使前请细心搜查 XML 库的默认设置，以确保设置乐成。

9. 在出产情形中不正确的错误陈诉袒露敏感数据

[](https://secure.php.net/manual...，也许会在出产情形中由于不正确的错误陈诉泄漏了敏感信息，譬喻：文件夹布局、数据库布局、毗连信息与用户信息。

你是不但愿用户看到这个的吧？

一样平常按照你行使的框架可能 CMS ，设置要了解有差异的变革。凡是框架具有应承你将站点变动为某种出产情形的配置。这样会将全部用户可见的错误动静重定向到日记文件中，并向用户表现非描写性的 500 错误，同时应承你按照错误代码搜查。

可是你应该按照你的 PHP 情形配置： error_reporting 与 display_errors.

10. 登录限定

像登录这样的敏感表单应该有一个严酷的速度限定，以防备暴力进攻。生涯每个用户在已往几分钟内失败的登录实行次数，假如该速度高出你界说的阈值，则拒绝进一步登录实行，直到冷却期竣事。还可通过电子邮件关照用户登录失败，以便他们知道本身的账户被成为方针。

一些其他增补

•  不要信赖从用户转达给你的工具 ID ，始终验证用户对哀求工具的会见权限
•  处事器与行使的库时候保持最新
•  订阅存眷安详相干的博客，相识最新的办理方案
•  从不在日记中生涯用户的暗码
•  不要将整个代码库存储在 WEB 根目次中
•  永久不要在 WEB 根目次建设 Git 存储库，除非你但愿泄漏整个代码库
•  始终假设用户的输入是不安详的
•  配置体系榨取可疑举动的 IP 表现，譬喻：器材对 URL 随机扫描、爬虫
•  不要过度信赖第三方代码是安详的
•  不要用 Composer 直接从 Github 获代替码
•  假如不但愿站点被第三方跨域 iframe，请配置反 iframe 标示头
•  暗昧是不安详的
•  假如你是缺乏实践履历的运营商或相助开拓职员，请确保尽也许时常搜查代码
•  当你不相识安详成果应该怎样事变，可能为什么会安装，请扣问知道的人，不要忽视它
•  永久不要本身写加密方法，这也许是个坏的要领
•  假如你没有足够的熵，请正确播种你的伪随机数天生并舍弃
•  假如在互联网上不安详，并有也许被窃守信息，请为这种环境做好筹备并拟定变乱相应打算
•  禁用 WEB 根目次列表表现，许多 WEB 处事器设置默认城市列出目次内容，这也许导致数据泄漏
•  客户端验证是不足的，必要再次验证 PHP 中的全部内容
•  不吝统统价钱停止反序列化用户内容，这也许导致长途代码执行，有关此题目的具体信息，请参阅此文章： https://paragonie.com/blog/20...

小贴士

我不是一个安详专家，恐无法做到事无大小。尽量编写安详软件是一个很是疾苦的进程，但照旧可以通过遵循一些根基法则，编写公道安详的应用措施。着实，许多框架在这方面也帮我们做了许多事变。

（编辑：湖南网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!