我应该在PHP中注意哪些安全问题

我刚刚开始学习PHP,我一直在ASP.Net开发Web应用程序很长一段时间。 我想知道是否有任何PHP特定的安全错误,我应该寻找。

所以,我的问题是每个PHP开发人员应该知道的最重要的安全提示是什么。

请保持每个答案一个提示,以便人们可以有效地投下来。

避免使用register_globals

(没有特定的顺序)

  1. 总是检查注册全局variables是否closures
  2. 始终检查魔术引号是否closures
  3. 确保你了解SQL注入攻击
  4. 在生产中closures错误报告

编辑:对于“新手”那里这是一个基本的原因(因为我有时间来解释这个):

  1. 注册全局variables是一个畸变。 这是最终的安全漏洞。 例如,如果register_globals打开,那么url http://www.yourdomain.com/foo.php?isAdmin=1将声明$ isAdmin作为全局variables,而不需要代码。 我不知道为什么这个“function”已经成为了PHP的方式,但是这个背后的人应该在他们的额头上有下面的纹身:“我发明了PHP Register Globals”,所以当我们看到它们时,我们可以像害虫一样逃离它们!

  2. 魔术引号是另一个愚蠢的想法,它已经成为PHP的方式。 基本上,当ON PHP会自动转义引号('变成'和'成为')来帮助SQL注入攻击。 这个概念并不错(帮助避免注入攻击),但是转义所有的 GET,POST和COOKIE值会让你的代码变得非常复杂(例如,每次显示和数据时都不得不忽略)。 另外如果有一天你关掉这个设置而不做任何改变你的代码,所有你的代码和/或数据被破坏,甚至更容易受到注入攻击(即使在ON时你是脆弱的)。

  3. 您的数据库数据是您网站上最有价值的东西。 你不希望人们搞砸,所以保护你自己,阅读关于它的东西, 并且考虑到这一点。

  4. 这又会导致安全问题。 该错误消息可以提示您如何处理代码。 而且这些信息对你的访问者来说并不意味着什么,为什么要播种呢?

  • 跨站点脚本(XSS) Wiki , Google
  • 跨站请求伪造(XSRF / CSRF) Wiki , Google (感谢Rook)
    • 会话固定Wiki , Google
  • SQL注入(SQLi) Wiki , Google
  • 在生产环境中closures错误消息
  • 请将任何“包含”代码保留在不可通过networking访问的目录中(要么拒绝访问,要么将其保留在networking根目录之外)
  • 这里有一篇关于如何以安全的方式存储密码的文章,如果您不想听我的话,请查看底部的链接。
  • 也链接在我的文章中,但在这里给出了它自己的单独链接,这是麻省理工学院(MIT)发表的一篇文章,称为“在networking上进行客户端身份validation的DOs和Do notTs [PDF]” 。 虽然它的一些信息(build议使用MD5哈希,因为我们知道现在和现在知道的东西)已经有些过时了,但总的原则是非常强大的,应该加以考虑。
  • 其中一个链接让我想起另一个重要的限制条件
    • closuresRegister Globals(这是现在的默认设置,所以我之前没有提到过)
    • 在处理file upload时,请确保使用is_uploaded_file()来validation文件是否已上传,并使用move_uploaded_file()而不是copy()rename()
      • 如果你需要知道为什么(和你这样做),请阅读PHP手册的这一部分 。
  • 由于我现在提到他两次,检查出Rooks的答案 ( https://stackoverflow.com/questions/2275771/what-are-the-most-important-safety-precautions-that-a-php-developer-needs-因为它包含了一个文档的链接,其中包含关于最重要的安全问题(这可能是正确的答案)的(非PHP特有的)信息。;

这里是一个很好的PHP安全编程实践的链接。

http://phpsec.org/

大部分安全问题都围绕用户input(自然),并确保他们不会把你搞砸。 始终确保您validation您的input。

http://htmlfixit.com/cgi-tutes/tutorial_PHP_Security_Issues.php

  1. 始终清理和validation从页面传递的数据
  2. 与#1一起,总是正确地逃避你的输出
  3. 在生产中始终closuresdisplay_errors
  4. 如果使用数据库后端,则使用支持/模拟准备好的语句的驱动程序,并在不影响使用的情况下使用:-)

不要使用“注册全局variables”并过滤xss和注入的用户input

语言与程序员。 您可以编写最严重的漏洞,并且不会收到警告或错误消息。 漏洞可以像添加或删除代码中的2个字符一样简单。 有数百种不同types的影响PHP应用程序的漏洞。 大多数人都认为XSS和Sql Injection是最受欢迎的。

阅读OWASP前10名 。

如果您使用的是mysql数据库,请确保在向数据库发送数据时调用mysql_real_escape_string

有很多安全防范措施。 我可以推荐一本书Chris Shiflett:PHP和Web应用程序安全。

http://phpsecurity.org/

看一下Suhosin Hardening Patch ,看看它所处理的安全漏洞 。

PHPSec指南提供了一个很好的概述。

与PHP相关的大多数安全问题都来自使用未分析的“外部”(GET / POST / COOKIE)variables。 人们将这种数据直接放入文件path或sql查询中,导致文件泄漏或sql注入。

OWASP提供了很多关于当今应用程序中最大的问题的安全问题。 很高兴看到他们有一个PHP专用页面可用

http://www.owasp.org/index.php/PHP_Top_5

  1. 总是closures你的SQL连接。
  2. 始终释放SQL结果。
  3. 总是把所有的variables放到数据库中。
  4. 以防万一删除或从sql中删除使用限制1。
  5. 在开发时,确保你有一个locking的东西,以防止不受欢迎的。 如果它打开,你现在知道不加载页面,因为它可以打破某些东西,并不意味着其他人这样做。
  6. 不要使用Admin或Root作为您的服务器login名称。

只要有可能,就使用准备好的语句( 教程) 。每当处理用户input时(我几乎说“因为有一些用例不工作)”,几乎是必须的,即使不处理input,也会让你在这种习惯中,更不用说它们可以带来更好的performance,而且一旦进入事物的摆动,更容易,而不是零碎的消毒。

介绍性的教程通常不会讲述如何检查用户的数据。 像所有的编程环境一样,不要相信从用户那里得到的数据。 学习使用像is_numeric()isset()mysql_real_escape_string()这样的函数来保护您的系统。

还有一些function可以让你访问远程文件和其他有创意的东西。 我会避免这些,直到你有一个很好的了解他们如何和什么时候工作(通常他们是出于安全原因被禁用)。