温馨提示×

温馨提示×

您好,登录后才能下订单哦!

密码登录×
登录注册×
其他方式登录
点击 登录注册 即表示同意《亿速云用户服务条款》

复习PHP-安全

发布时间:2020-07-20 14:41:10 来源:网络 阅读:357 作者:qzd1989 栏目:web开发

1.安全记录

修改php.ini中的open_basedir,防止越目录访问文件。

如果php作为apache模块时,apache的权限一定不能为root。

如果php作为apache模块时,应当使用apache验证/LDAP/.htaccess等来设计自己的访问模型,并把这些代码作为php脚本的一部分。

php不能有root权限,否则将有可能有权限删除和修改系统中的任何文件。

任何用户提交的数据都必须经过检查和过滤。(特别对于文件的操作,必须要考虑到各种URL情况)

必须要考虑\0在文件路径中的作用。(C语言如果读到\0会停止继续读取)

SQL语句中的--是忽略后面句子的意思。

SQL中能确定变量的类型的,一定要强制转换类型,而不要让它存在不可预计的情况。(如age=’{$age}’,需要将$age强制int 或float)

必须时刻注意SQL语句中变量可能被变形的情况。

操作数据库时可使用mysql_escape_string/sql_escape_string/addslashes/str_replace把敏感字符转义。

记录SQL查询日志用于检查问题是个好办法。

合理运用PDO参数化进行SQL查询是个较好的办法。

-----(以下摘自PHP手册)

  • 永远不要使用超级用户或所有者帐号去连接数据库。要用权限被严格限制的帐号。
  • 检查输入的数据是否具有所期望的数据格式。PHP 有很多可以用于检查输入的函数,从简单的变量函数和字符类型函数(比如 is_numeric(),ctype_digit())到复杂的 Perl 兼容正则表达式函数都可以完成这个工作。
  • 如果程序等待输入一个数字,可以考虑使用 is_numeric() 来检查,或者直接使用 settype() 来转换它的类型,也可以用 sprintf() 把它格式化为数字。

2.错误报告

常用的可行性办法为测试开发时打开error_reporting 为E_ALL,正式上线改为0 并且关闭display_error 同时打开error_log记录错误日志。

虽然默认将register global、magic_quotes关闭但也应当检查一下是否确定为关闭。

------(以下摘自PHP手册,在用户提交表单时,必须联想到)

  • 此脚本是否只能影响所预期的文件?
  • 非正常的数据被提交后能否产生作用?
  • 此脚本能用于计划外的用途吗?
  • 此脚本能否和其它脚本结合起来做坏事?
  • 是否所有的事务都被充分记录了?

3.隐藏PHP

php.ini 文件里设置 expose_php = off ,可以减少他们能获得的有用信息。

另一个策略就是让 web 服务器用 PHP 解析不同扩展名。无论是通过 .htaccess 文件还是 Apache 的配置文件,都可以设置能误导***者的文件扩展名:

# 使PHP看上去像其它的编程语言
AddType application/x-httpd-php .asp .py .pl
4.保持更新
时常更新PHP版本啊哈哈。
向AI问一下细节

免责声明:本站发布的内容(图片、视频和文字)以原创、转载和分享为主,文章观点不代表本网站立场,如果涉及侵权请联系站长邮箱:is@yisu.com进行举报,并提供相关证据,一经查实,将立刻删除涉嫌侵权内容。

AI