随笔分类 - PHP
摘要：在共享主机环境中达到高级别的安全是不可能的。可是，通过小心的规划，你能避免一些常见的错误并防止一些最常用的攻击手段。虽然有些方法需要你的主机提供商提供协助，但也有一些其他的你自己就能做到的方法。 本章涉及伴随共享主机而产生的风险。尽管同样的安全措施可以用于防止很多攻击手段，但为了认识到问题的范围，多看一些范例是很有用的。 由于本书的焦点是应用的安全性而不是架构的安全性，我不会讨论加强服务器...
阅读全文
摘要：7.4. 永久登录 永久登录指的是在浏览器会话间进行持续验证的机制。换句话说，今天已登录的用户明天依然是处于登录状态，即使在多次访问之间的用户会话过期的情况下也是这样。 永久登录的存在降低了你的验证机制的安全性，但它增加了可用性。不是在用户每次访问时麻烦用户进行身份验证，而是提供了记住登录的选择。 图7-2. 攻击者通过重播用户的cookie进行未授权访问 据我观察，最常见的有...
阅读全文
摘要：7.3. 重播攻击 重播攻击，有时称为演示攻击，即攻击者重现以前合法用户向服务器所发送的数据以获取访问权或其它分配给该用户的权限。 与密码嗅探一样，防止重播攻击也需要你意识到数据的暴露。为防止重播攻击，你需要加大攻击者获取任何用于取得受限资源的访问权限的数据的难度。这主要要求做到避免以下做法： 设定受保护资源永久访问权的数据的使用； 设定受保护资源访问权的数据的暴露（甚至是只提供临时访...
阅读全文
摘要：7.2. 密码嗅探 尽管攻击者通过嗅探（察看）你的用户和应用间的网络通信并不专门用于访问控制，但要意识到数据暴露变得越来越重要，特别是对于验证信息。 使用SSL可以有效地防止HTTP请求和回应不被暴露。对任何使用https方案的资源的请求可以防止密码嗅探。最好的方法是一直使用SSL来发送验证信息，同时你可能还想用SSL来传送所有的包含会话标识的请求以防止会话劫持。 为防止用户验证信息不...
阅读全文
摘要：7.1. 暴力攻击 暴力攻击是一种不使用任何特殊手段而去穷尽各种可能性的攻击方式。它的更正式的叫法是穷举攻击——穷举各种可能性的攻击。 对于访问控制，典型的暴力攻击表现为攻击者通过大量的尝试去试图登录系统。在多数情况下，用户名是已知的，而只需要猜测密码。 尽管暴力攻击没有技巧性可言，但词典攻击似乎有一定的技巧性。最大的区别是在进行猜测时的智能化。词典攻击只会最可能的情况列表中进行穷举，...
阅读全文
摘要：很多Web应用被其糟糕的身份验证与授权机制所困扰。本章主要讨论相关这些机制的漏洞，传授一些帮助你不犯通病的方法。我将通过一些例子进一步说明这些方法，但请注意不要把这些示例与其上下文割裂开来看，理解其中包含的原则和方法是很重要的。只有到那个时候你才能对它们进行正确运用。 通过验证我们可以确定一个用户的身份。典型的做法是简单地使用用户名和密码进行检查。这样我们就能确定登录用户是一个授权用户。 ...
阅读全文
摘要：本章主要讨论伴随着文件与shell命令的使用所产生的风险。PHP有大量的文件系统函数，与直接执行shell命令只有少量的区别。在本章中，我会着重强调开发者在使用这些功能时常犯的错误。 总的来说，伴随这些功能所产生的风险类似于很多本书已提及的风险——使用被污染数据具有灾难性的副作用。尽管漏洞是不同的，但是用来对付它们的方法都是你已学过的方法。 6.1. 文件系统跨越 无论你用什么方法使...
阅读全文
摘要：随着PHP项目的增大，软件设计与组织在代码的可维护性上起着越来越重要的作用。尽管对于什么是最好的编程方式众说纷纭（关于面向对象优点的争论常常发生），但基本上每个开发者会理解和欣赏模块化设计的价值。 本章说明了使用包含时会面临的安全问题。脚本中include或require的文件把你的应用分成了逻辑上分离的两部分。我还会着重强调和纠正一些常见的误解，特别是有关于如何编程的问题。 小提示 ...
阅读全文
摘要：本章主要讨论会话和有状态的Web应用的内在风险。你会首先学习状态、cookies、与会话；然后我会讨论关于cookie盗窃、会话数据暴露、会话固定、及会话劫持的问题及防范它们的方法。 正如大家知道的，HTTP是一种无状态的协议。这说明了两个HTTP请求之间缺乏联系。由于协议中未提供任何让客户端标识自己的方法，因此服务器也就无法区分客户端。 虽然HTTP无状态的特性还是有一些好处，毕竟维护状...
阅读全文
摘要：PHP的作用常常是沟通各种数据源及用户的桥梁。事实上，有些人认为PHP更像是一个平台而不是一个编程语言。基于这些原因，PHP频繁用于与数据库的交流。 PHP可以很好的胜任这个任务，其原因特别是由于它能与很多种数据库连接。下面列举了PHP支持的小部分数据库： DB2 ODBC SQLite InterBase Oracle Sybase MySQL PostgreSQL DBM 与任何...
阅读全文
摘要：2.7. HTTP请求欺骗 一个比欺骗表单更高级和复杂的攻击方式是HTTP请求欺骗。这给了攻击者完全的控制权与灵活性，它进一步证明了不能盲目信任用户提交的任何数据。 为了演示这是如何进行的，请看下面位于http://example.org/form.php的表单： CODE: Please select a color: 如果用户选择了Red并点击了Se...
阅读全文
摘要：制造一个欺骗表单几乎与假造一个URL一样简单。毕竟，表单的提交只是浏览器发出的一个HTTP请求而已。请求的部分格式取决于表单，某些请求中的数据来自于用户。 大多数表单用一个相对URL地址来指定action属性： 当表单提交时，浏览器会请求action中指定的URL，同时它使用当前的URL地址来定位相对URL。例如，如果之前的表单是对http://example.org/path/...
阅读全文
摘要：2.5. 跨站请求伪造 跨站请求伪造(CSRF)是一种允许攻击者通过受害者发送任意HTTP请求的一类攻击方法。此处所指的受害者是一个不知情的同谋，所有的伪造请求都由他发起，而不是攻击者。这样，很你就很难确定哪些请求是属于跨站请求伪造攻击。事实上，如果没有对跨站请求伪造攻击进行特意防范的话，你的应用很有可能是有漏洞的。 请看下面一个简单的应用，它允许用户购买钢笔或铅笔。界面上包含下面的表...
阅读全文
摘要：2.4. 跨站脚本攻击 跨站脚本攻击是众所周知的攻击方式之一。所有平台上的Web应用都深受其扰，PHP应用也不例外。 所有有输入的应用都面临着风险。Webmail，论坛，留言本，甚至是Blog。事实上，大多数Web应用提供输入是出于更吸引人气的目的，但同时这也会把自己置于危险之中。如果输入没有正确地进行过滤和转义，跨站脚本漏洞就产生了。 以一个允许在每个页面上录入评论的应用为例，它使用...
阅读全文
摘要：2.3. 文件上传攻击 有时在除了标准的表单数据外，你还需要让用户进行文件上传。由于文件在表单中传送时与其它的表单数据不同，你必须指定一个特别的编码方式multipart/form-data： CODE: 一个同时有普通表单数据和文件的表单是一个特殊的格式，而指定编码方式可以使浏览器能按该可格式的要求去处理。 允许用户进行选择文件并上传的表单元素是很简单的： CODE: 该元素...
阅读全文
摘要：2.2. 语义URL攻击 好奇心是很多攻击者的主要动机，语义URL攻击就是一个很好的例子。此类攻击主要包括对URL进行编辑以期发现一些有趣的事情。例如，如果用户chris点击了你的软件中的一个链接并到达了页面http://example.org/private.php?user=chris, 很自然地他可能会试图改变user的值，看看会发生什么。例如，他可能访问http://examp...
阅读全文
摘要：2.1. 表单与数据 在典型的PHP应用开发中，大多数的逻辑涉及数据处理任务，例如确认用户是否成功登录，在购物车中加入商品及处理信用卡交易。 数据可能有无数的来源，做为一个有安全意识的开发者，你需要简单可靠地区分两类数据： l 已过滤数据 l 被污染数据 所有你自己设定的数据可信数据，可以认为是已过滤数据。一个你自己设定...
阅读全文
摘要：1.3. 方法 就像上一节中的原则一样，开发安全应用时，还有很多方法可以使用。下面提到的所有方法同样是我认为比较重要的。 某些方法是抽象的，但每一个都有实例说明如何应用及其目的。 1.3.1. 平衡风险与可用性 用户操作的友好性与安全措施是一对矛盾，在提高安全性的同时，通常会降低可用性。在你为不合逻辑的使用者写代码时，必须要考虑到符合逻辑的正常使用者。要达到适...
阅读全文
摘要：1.2.原则 你可以列出一大堆开发安全应用的原则，但在本处我选取了我认为对PHP开发者最重要的几个原则。 这些原则有意的写得抽象和理论化。这样做的目的是帮助你从大处着眼，不拘泥于细节。你需要把它们看成是你行动的指南。 1.2.1. 深度防范 深度防范原则是安全专业人员人人皆知的原则，它说明了冗余安全措施的价值，这是被历史所证明的。 深度防范原则可以...
阅读全文
摘要：一：php功能： PHP有许多适合于WEB开发的功能。一些在其它语言中很难实现的普通工作在PHP中变得易如反掌，这有好处也有坏处。有一个功能比其它功能来更引人注目，这个功能就是register_globals。 1.1.1. 全局变量注册 如果您还能记起早期WEB应用开发中使用C开发CGI程序的话，一定会对繁琐的表单处理深有体会。当PHP的register_glob...
阅读全文