让系统运行的更安全

2013-07-18 08:16 phpor 阅读(310) 评论(0) 编辑收藏举报

一 php

1 php的错误处理机制很可能会将一些重要的信息暴露给攻击者，所以在系统发布之前应该做到1、彻底关闭错误报告，可利用将error_reporting()的参数设为0的方式，还可以将php配置文件中display_errors设为off关闭状态或指定错误输入文件。2、使用php自定义的错误处理函数创建自己的错误处理机制。

2 使用的变量，尤其是用于安全策略的变量，最好是要进行初始化，默认的设置为false。因为如果register_globals设为on的话（现在的版本已经默认为off），可以通过url传递变量的方式可以设置变量的值，例如

<?php
// 当用户合法的时候，赋值 $authorized = true
if (authenticated_user() ) {
    $authenrized = true;    
}

// 由于并没有事先把 $authorized 初始化为 false，
// 当 register_globals 打开时，可能通过GET auth.php?authorized=1 来定义该变量值
// 所以任何人都可以绕过身份验证
if ($authorized) {
    include "/highly/sensitive/data.php";
}
?>

所以初始化代码是一个很好的习惯，如果在上面的代码执行之前加入$authorized = false 的话，无论 register_globals 是 on 还是off 都可以，因为用户状态被初始化为未经认证。

3 明确数据来源，如果事先确切知道变量是哪里来的，就可以检查所提交的数据是否是从不正当的方式提交而来

<?php
if (isset($_COOKIE['MAGIC_COOKIE'])) {

    // MAGIC_COOKIE 来自 cookie
    // 这样做是确保是来自 cookie 的数据

} elseif (isset($_GET['MAGIC_COOKIE']) || isset($_POST['MAGIC_COOKIE'])) {

   echo "Security violation, admin has been alerted.";
   exit;

} else {

   // 这一次请求中并没有设置 MAGIC_COOKIE 变量

}
?>

4 永远要验证用户数据和对变量进行初始化

//危险的变量用法
<?php
// 从用户目录中删除一个文件，或者……能删除更多的东西？
unlink ($evil_var);

// 记录用户的登陆，或者……能否在 /etc/passwd 添加数据？
fwrite ($fp, $evil_var);

// 执行一些普通的命令，或者……可以执行 rm -rf * ？
system ($evil_var);
exec ($evil_var);

?>