PHP安全编码.pptxVIP

PHP安全编码 醉山 2011-6-16 写在最前面，网络安全是现今最热门的话题之一。各大IT和互联网公司在五花八门的网络入侵，渗透，攻击面前，纷纷落马。早的有2010年百度 DNS劫持事件，近的有索尼“黑客门”事件。前者让百度直接损失了近700万，李彦宏先生直呼“前所未有啊，前所未有啊”，而后者到目前为止，已经让SONY损失掉1.71亿美金。 这些天最火的安全新闻应该是超过200,000名花旗银行客户资料被黑客盗窃事件。黑客们仅仅是简单地登录花旗公司的信用卡客户专区，然后把浏览器地址栏中自己的帐号替换成他人的帐号，便可顺利进入他人的帐号。随后黑客们使用计算机程序重复这一过程…… 前言 我们是淘宝网： 电子商务的领军企业…… 电子商务生态链缔造者…… IT知名企业…… …… 正因为以上各种光环，各种各样怀着各种目的的人一直在不断的在挑战我们。 我们经常被挑战！ 我们是淘宝网 时间：2010年。 事件：公司某服务器被入侵。 过程：利用PHP解析条件上的配置失误，入侵者上传的txt后门被服务器错误的当作本地程序执行。同时由于PHP本身配置上的错误，入侵者轻易的拿到了shell执行权限。入侵者使用自己编译过后的Apache替换了线上运行的Apache。直到四个月后才因为一次线上异常被监控团队发现。 事件一 时间：2010年。 事件：公司某服务器入侵风险。 过程：该服务器上应用以GET的方式从URL参数中获取了部分参数，拼接后的字符串直接放置在exec函数里调用shell操作。只需要通过简单的命令构造就能完成入侵行为。技术安全团队渗透测试很轻易的就拿到了服务器上帐号文件的内容。 事件二 为什么要举这样两个事例？ 出现上述两个情况最主要的原因是什么？ 带着问题思考（1） PHP的安全： 一方面也取决于PHP相关配置的安全性。 比如刚才事例一中的上传的后门文件被错误的当成PHP文件被解析。 另外一方面取决于PHP代码本身编写的安全性。 比如刚才事例二中的使用外部获取的参数来调用shell导致的shell injection漏洞。 带着问题思考（2） 从安全的角度上来说，前端环境中有下列动作都认为是危险的： 1）远程（外部）include。 2）文件相关操作。 3）shell操作。 etc…. 安全问题，离我们并不遥远，也不都是技术含量很高的活。大事件往往都是由小问题引发的。 带着问题思考（3） Apache配置安全（1） Apache配置安全（2） Filesmatch?regex;.../Filesmatch; 其作用相当于Files容器，将内部指令的对象指定为起始标签的文件，但它将表达式（regex）作为文件的变量而不是文件名。 我们应该这么做…… FilesMatch “\.php$ AddType?application/x-httpd-php?.php? /FilesMatch Apache配置安全（3） PHP配置安全（1） 安全模式必须要开启： safe_mode = on safe_mode_gid = off safe_mode_include_dir = [WEBSITE] safe_mode_exec_dir = safe_mode_allowed_env_vars = PHP_ ? 启动safe_mode，会对许多PHP函数进行限制，特别是和系统相关的文件打开、命令执行等函数 Safe_mode 是唯一PHP_INI_SYSTEM属性，要启动safe_mode，必须配置php.ini。 Safe_mode_gid 文件相关权限比较。关闭只比较UID，打开则扩展到GID Safe_mode_exec_dir 允许命令执行函数的路径。 safe_mode_allowed_env_vars = PHP_ 只能设置以PHP_开头的环境变量 必须要禁用的函数： disable_functions=exec,passthru,popen,proc_open,shell_exec,system,phpinfo, assert 建议禁用的函数： disable_functions=chdir,chroot,dir,getcwd,opendir,readdir,scandir,fopen,unlink,delete,copy,mkdir,rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown PHP配置安全（2） 关闭错误信息提示： display_errors = Off 关闭远程文件打开/包含： allow_url_fopen = Off allow_url_include = Off http only 开启 session