PHP网站常见安全漏洞,及相应防范措施总结


Posted in PHP onMarch 01, 2021

目前,基于PHP的网站开发已经成为目前网站开发的主流,本文笔者重点从PHP网站攻击与安全防范方面进行探究,旨在减少网站漏洞,希望对大家有所帮助!

一、常见PHP网站安全漏洞

对于PHP的漏洞,目前常见的漏洞有五种。分别是Session文件漏洞、SQL注入漏洞、脚本命令执行漏洞、全局变量漏洞和文件漏洞。这里分别对这些漏洞进行简要的介绍。

1、session文件漏洞
Session攻击是黑客最常用到的攻击手段之一。当一个用户访问某一个网站时,为了免客户每进人一个页面都要输人账号和密码,PHP设置了Session和Cookie用于方便用户的使用和访向。

2、SQL注入漏洞
在进行网站开发的时候,程序员由于对用户输人数据缺乏全面判断或者过滤不严导致服务器执行一些恶意信息,比如用户信息查询等。黑客可以根据恶意程序返回的结果获取相应的信息。这就是月行胃的SQL注入漏洞。

3、脚本执行漏洞
脚本执行漏洞常见的原因是由于程序员在开发网站时对用户提交的URL参数过滤较少引起的,用户提交的URL可能包含恶意代码导致跨站脚本攻击。脚本执行漏洞在以前的PHP网站中经常存在,但是随着PHP版本的升级,这些间题已经减少或者不存在了。

4、全局变量漏洞
PHP中的变量在使用的时候不像其他开发语言那样需要事先声明,PHP中的变量可以不经声明就直接使用,使用的时候系统自动创建,而且也不需要对变量类型进行说明,系统会自动根据上下文环境自动确定变量类型。这种方式可以大大减少程序员编程中出错的概率,使用起来非常的方便。

5、文件漏洞
文件漏洞通常是由于网站开发者在进行网站设计时对外部提供的数据缺乏充分的过滤导致黑客利用其中的漏洞在Web进程上执行相应的命令。假如在lsm.php中包含这样一段代码:include($b."/aaa.php".),这对黑客来说,可以通过变量$b来实现远程攻击,可以是黑客自已的代码,用来实现对网站的攻击。可以向服务器提交a.php include=http://lZ7.0.0. 1/b.php,然后执行b.php的指令。

二、PHP常见漏洞的防范措施

1、对于Session漏洞的防范
从前面的分析可以知道,Session攻击最常见的就是会话劫持,也就是黑客通过各种攻击手段获取用户的Session ID,然后利用被攻击用户的身份来登录相应网站。为此,这里可以用以下几种方法进行防范:一是定期更换Session ID,更换Session ID可以用PHP自带函数来实现;二是更换Session名称,通常情况下Session的默认名称是PHPSESSID,这个变量一般是在cookie中保存的,如果更改了它的名称,就可以阻档黑客的部分攻击;三是对透明化的Session ID进行关闭处理,所谓透明化也就是指在http请求没有使用cookies来制定Session id时,Sessioin id使用链接来传递.关闭透明化Session ID可以通过操作PHP.ini文件来实现;四是通过URL传递隐藏参数,这样可以确保即使黑客获取了session数据,但是由于相关参数是隐藏的,它也很难获得Session ID变量值。

2、对SQL注入漏洞的防范
黑客进行SQL注入手段很多,而且灵活多变,但是SQL注人的共同点就是利用输入过滤漏洞。因此,要想从根本上防止SQL注入,根本解决措施就是加强对请求命令尤其是查询请求命令的过滤。具体来说,包括以下几点:一是把过滤性语句进行参数化处理,也就是通过参数化语句实现用户信息的输入而不是直接把用户输入嵌入到语句中。二是在网站开发的时候尽可能少用解释性程序,黑客经常通过这种手段来执行非法命令;三是在网站开发时尽可能避免网站出现bug,否则黑客可能利用这些信息来攻击网站;仅仅通过防御SQL注入还是不够的,另外还要经常使用专业的漏洞扫描工具对网站进行漏洞扫描。

3、对脚本执行漏洞的防范
黑客利用脚本执行漏洞进行攻击的手段是多种多样的,而且是灵活多变的,对此,必须要采用多种防范方法综合的手段,才能有效防止黑客对脚本执行漏洞进行攻击。这里常用的方法方法有以下四种。一是对可执行文件的路径进行预先设定。可以通过safe_moade_exec_dir来实现;二是对命令参数进行处理,一般用escapeshellarg函数实现;三是用系统自带的函数库来代替外部命令;四是在操作的时候进可能减少使用外部命令。

4、对全局变量漏洞防范
对于PHP全局变量的漏洞问题,以前的PHP版本存在这样的问题,但是随着PHP版本升级到5.5以后,可以通过对php.ini的设置来实现,设置ruquest_order为GPC。另外在php.ini配置文件中,可以通过对magic_quotes_runtime进行布尔值设置是否对外部引人的数据中的溢出字符加反斜线。为了确保网站程序在服务器的任何设置状态下都能运行。可以在整个程序开始的时候用get_magic_quotes_runtime检测设置状态决定是否要手工处理,或者在开始(或不需要自动转义的时候)用set_magic_quotes_runtime(0)关掉。

5、对文件漏洞的防范
对于PHP文件漏桐可以通过对服务器进行设置和配置来达到防范目的。这里具体的操作如下:一是把PHP代码中的错误提示关闭,这样可以避免黑客通过错误提示获取数据库信息和网页文件物理路径;二是对open_basedir尽心设置,也就是对目录外的文件操作进行禁止处理;这样可以对本地文件或者远程文件起到保护作用,防止它们被攻击,这里还要注意防范Session文件和上载文件的攻击;三是把safe-made设置为开启状态,从而对将要执行的命令进行规范,通过禁止文件上传,可以有效的提高PHP网站的安全系数。

到此这篇关于PHP网站常见安全漏洞,及相应防范措施总结的文章就介绍到这了,更多相关PHP网站常见安全漏洞内容请搜索三水点靠木以前的文章或继续浏览下面的相关文章希望大家以后多多支持三水点靠木!

PHP 相关文章推荐
PHP 和 MySQL 开发的 8 个技巧
Jan 02 PHP
巧用php中的array_filter()函数去掉多维空值的代码分享
Sep 07 PHP
Fine Uploader文件上传组件应用介绍
Jan 06 PHP
基于curl数据采集之单页面采集函数get_html的使用
Apr 28 PHP
PHP递归删除目录几个代码实例
Apr 21 PHP
PHP中的use关键字概述
Jul 23 PHP
php操作MongoDB类实例
Jun 17 PHP
php+ajax无刷新上传图片实例代码
Nov 17 PHP
PHP读取大文件的多种方法介绍
Apr 04 PHP
PHP获取当前URL路径的处理方法(适用于多条件筛选列表)
Feb 10 PHP
ThinkPHP开发--使用七牛云储存
Sep 14 PHP
wordpress自定义标签云与随机获取标签的方法详解
Mar 22 PHP
php框架知识点的整理和补充
Mar 01 #PHP
Docker 安装 PHP并与Nginx的部署实例讲解
Feb 27 #PHP
PHP加MySQL消息队列深入理解
Feb 27 #PHP
php慢查询日志和错误日志使用详解
Feb 27 #PHP
php的单例模式及应用场景详解
Feb 27 #PHP
PHP+Mysql分布式事务与解决方案深入理解
Feb 27 #PHP
PHP并发场景的三种解决方案代码实例
Feb 27 #PHP
You might like
PHP5中新增stdClass 内部保留类
2011/06/13 PHP
配置php网页显示各种语法错误
2013/09/23 PHP
PHP输出英文时间日期的安全方法(RFC 1123格式)
2014/06/13 PHP
Yii2框架制作RESTful风格的API快速入门教程
2016/11/08 PHP
php基于ob_start(ob_gzhandler)实现网页压缩功能的方法
2017/02/18 PHP
js之WEB开发调试利器:Firebug 下载
2007/01/13 Javascript
Js注册协议倒计时的小例子
2013/06/24 Javascript
对frameset、frame、iframe的js操作示例代码
2013/08/16 Javascript
JS实现图片翻书效果示例代码
2013/09/09 Javascript
使用insertAfter()方法在现有元素后添加一个新元素
2014/05/28 Javascript
PageSwitch插件实现100种不同图片切换效果
2015/07/28 Javascript
bootstrap3使用bootstrap datetimepicker日期插件
2017/05/24 Javascript
node.js通过axios实现网络请求的方法
2018/03/05 Javascript
jQuery实现的简单对话框拖动功能示例
2018/06/05 jQuery
js中位运算的运用实例分析
2018/12/11 Javascript
Vue实现将数据库中带html标签的内容输出(原始HTML(Raw HTML))
2019/10/28 Javascript
vue中的过滤器及其时间格式化问题
2020/04/09 Javascript
[03:55]TI9战队采访——TNC Predator
2019/08/22 DOTA
Python从单元素字典中获取key和value的实例
2018/12/31 Python
face++与python实现人脸识别签到(考勤)功能
2019/08/28 Python
详解python路径拼接os.path.join()函数的用法
2019/10/09 Python
Python实现汇率转换操作
2020/05/03 Python
Python Django搭建网站流程图解
2020/06/13 Python
H5仿微信界面教程(一)
2017/07/05 HTML / CSS
美国最大的购物网站:Amazon.com(亚马逊美国)
2020/05/23 全球购物
行政助理的职责
2013/11/14 职场文书
酒店经理职责
2014/01/30 职场文书
餐厅经理岗位职责范本
2014/02/17 职场文书
学习保证书范文
2014/04/30 职场文书
中国梦口号
2014/06/13 职场文书
三严三实对照检查材料思想汇报
2014/09/28 职场文书
2014年企业员工工作总结
2014/12/09 职场文书
公司捐书倡议书
2015/04/27 职场文书
nginx实现发布静态资源的方法
2021/03/31 Servers
MySQL慢查询的坑
2021/04/28 MySQL
mysql备份策略的实现(全量备份+增量备份)
2021/07/07 MySQL