WEB安全及PHP安全基础详解.pptVIP

WEB安全 PHP安全基础详解 Web安全定义 随着Web2.0、社交网络、微博等等一系列新型的互联网产品的诞生，基于Web环境的互联网应用越来越广泛，企业信息化的过程中各种应用都架设在Web平台上，Web业务的迅速发展也引起黑客们的强烈关注，接踵而至的就是Web安全威胁的凸显，黑客利用网站操作系统的漏洞和Web服务程序的SQL注入漏洞等得到Web服务器的控制权限，轻则篡改网页内容，重则窃取重要内部数据，更为严重的则是在网页中植入恶意代码，使得网站访问者受到侵害。这也使得越来越多的用户关注应用层的安全问题，对Web应用安全的关注度也逐渐升温。 web安全的定义根据攻击手段来分，我们把它分为如下两类： 1）服务安全，确保网络设备的安全运行，提供有效的网络服务。 2）数据安全，确保在网上传输数据的保密性、完整性和可用性等。 1、php的功能 全局变量注册 register_globals开启，任何使用未初始化变量的行为几乎就意味着安全漏洞，第一，它会增加安全漏洞的数量；第二，隐藏了数据的来源，与开发者需要随时跟踪数据的责任相违背。 错误报告 PHP的错误报告功能将协助您确认和定位这些错误。可以PHP提供的这些详细描述也可能被恶意攻击者看到，这就不安全了，使用合适的错误报告。 2、原则 深度防范 坚持深度防范原则要求您时刻有一个备份方案。如果一个安全措施失效了，必须有另外一个提供一些保护。尽管深度防范是一个合理的原则，但是过度地增加安全措施只能增加成本和降低价值。 最小权限 不必要的授权会加大你的风险，即使是增加了很小权限也会如此。风险最小化是安全程序开发的主要组成部分。 简单就是美 复杂容易滋生错误，错误能导致安全漏洞。能很简单明了的，就不要写的太复杂。 暴露的最小化 数据暴露不一定就意味着安全风险。可是数据暴露必须尽量最小化。为了降低对敏感数据的暴露率，你必须确认什么数据是敏感的，同时跟踪它，并消除所有不必要的数据暴露。 3、方法 平衡风险与可用性 用户操作的友好性与安全措施是一对矛盾，在提高安全性的同时，通常会降低可用性。在你为不合逻辑的使用者写代码时，必须要考虑到符合逻辑的正常使用者。要达到适当的平衡的确很难，但是你必须去做好它。 跟踪数据 在审核PHP代码是否有安全漏洞时，主要检查代码中与外部系统交互的部分，最重要的一件事就是随时跟踪数据。不只是要知道它是什么和它在哪里，还要知道它从哪里来，要到哪里去。 过滤输入 过滤是Web应用安全的基础。它是你验证数据合法性的过程。通过在输入时确认对所有的数据进行过滤，你可以避免被污染（未过滤）数据在你的程序中被误信及误用。大多数流行的PHP应用的漏洞最终都是因为没有对输入进行恰当过滤造成的。 输入转义 输出转义具体分为三步： l ? ? ? ?识别输出 l ? ? ? ?输出转义 l ? ? ? ?区分已转义与未转义数据 1、表单与数据 任何来自远程数据源的数据都是输入，而所有的输入数据都是被污染的，必须在要在使用前对其进行过滤。 2、语义url攻击 这类攻击主要包括对URL进行编辑以至发现一些有趣的事情。 例如，如果用户chris点击了你的软件中的一个链接并到达了页面/private.php?user=chris, 很自然地他可能会试图改变user的值，看看会发生什么。例如，他可能访问/private.php?user=admin来看一下他是否能看到其他人的信息。对用户输入的不信任做法是防止你的应用产生漏洞的关键。 3、文件上传攻击 比如：隐藏的表单变量MAX_FILE_SIZE告诉了浏览器最大允许上传的文件大小。与很多客户端限制相同，这一限制很容易被攻击者绕开，但它可以为合法用户提供向导。在服务器上进行该限制才是可靠的。 它可以让访问者在服务器上放置（即上传）文件。这会造成例如，删除服务器文件、数据库，获取用户信息等一系列问题。你可以使用PHP来禁止文件上传，或编写更安全的代码（如检验用户输入，只允许上传png、gif这些图片格式） 4、XSS(跨站点脚本攻击) 于这种风险只在你输出了被污染数据时发生，所以只要确保做到如第一章所述的过滤输入及转义输出即可，最起码你要用htmlentities( )对任何你要输出到客户端的数据进行转义。 由用户输入一些数据到你的网站，其中包括客户端脚本(通常JavaScript)。如果你没有过滤就输出数据到另一个web页面，这个脚本将被执行。 攻击者可以使远程服务器打开文件，运行任何PHP代码，然后上传或删除文件，安装后门。可以通过取消远程文件执行的设置来防范。 5、跨站请求伪造 跨站请求伪造(CSRF)是一种允许攻击者通过受害者发送任意HTTP请求的一类攻击方法。它是指所有攻击者通过伪造他人的H