首页 > > 网络编程 > Php编程 >

系统的讲解 - PHP WEB 安全防御

2019-04-30 23:43:35来源：博客园阅读 ()

常见漏洞
SQL注入攻击
XSS攻击
SSRF攻击
CSRF攻击
文件上传漏洞
信息泄露
越权
设计缺陷
小结

常见漏洞

看到上图的漏洞是不是特别熟悉，如果不进行及时防御，就会产生蝴蝶效应。

往下看，可能会找到你要的答案。

SQL注入攻击

定义

SQL注入攻击是通过WEB表单提交，在URL参数提交或Cookie参数提交，将怀有恶意的“字符串”，提交给后台数据库，欺骗服务器执行恶意的SQL语句。

案例

//以用户登录为例，当验证用户名和密码是否正确时
$sql = "SELECT * FROM user WHERE 
        username = '".$_GET['username']."' AND 
        password = '".$_GET['password']."'";

用户恶意输入：

$_GET['username'] = "' or 1=1 -- '";
$_GET['password'] = "123456";

注入后的Sql语句：

$sql = "SELECT * FROM user WHERE username = '' 
        or 1=1 -- ''AND password = '123456'";

执行注入后的Sql语句，可以返回 user 表的全部数据。

平时我们可以进行自测，比如使用单引号、双引号，如果是数字进行+1或-1。

SQL注入的危害很大，利用SQL注入可以进行，拖库、删库、删表、UDF提权、读取文件、...

推荐一个开源的自动化的SQL注入工具。

SQLmap：http://sqlmap.org/

支持各种数据库管理系统（MySql、Oracle、SQL Server、SQLite ... ）。
支持自动识别密码哈希格式并通过字典破解密码哈希。
支持枚举用户、密码、哈希、权限、角色、数据库、数据表和列。
支持完全地下载某个数据库中的某个表、某个列。
支持在数据库管理系统中搜索指定的数据库名、表名或列名。
支持下载或上传文件。
支持执行任意命令并回现标准输出。
支持布尔型盲注、时间型盲注、基于错误信息的注入、联合查询注入和堆查询注入。

尝试着利用工具，注入自己的项目，发现问题，然后解决问题。

SQL注入的危害，远比我们想象的要大！

防御

推荐解决方案是使用 PDO 或 MySQLi 的数据库扩展。

PHP官方文档中介绍，MySQL扩展自PHP 5.5.0起已废弃，并在自PHP7.0.0开始被移除。

如果已经在用MySQL扩展了，可以对传入的每个参数做验证，并使用框架的ORM进行查询。

另外：addslashes 和 mysql_real_escape_string 这种转义是不安全的！

XSS攻击

定义

XSS攻击是一种经常出现在WEB应用中的计算机安全漏洞，通过WEB表单提交或在URL参数提交将代码植入在用户的使用页面上。

分类

存储型

注入的恶意代码存储在服务器上（常用于留言板、论坛帖子、CRM），受害者请求服务器获取信息的时候，这些恶意代码就被浏览器成功执行。

反射型

注入的恶意代码没有存储在服务器上，通过引诱用户点击一个链接到目标网站进行实施攻击。

DOM型

注入的恶意代码并未显式的包含在web服务器的响应页面中，但会被页面中的js脚本以变量的形式来访问到的方式来进行实施攻击。

案例

存储型：论坛帖子界面input输入框中，输入 /><script>alert("xss")</script> 进行提交。

反射型：在浏览器输入框中，输入 /xxx.php?name=<script>alert(/xss/)</script>

//DOM型，代码举例
<script>
var temp = document.URL;
var temp_new = temp+'test'
document.write(decodeURI(temp_new));
</script>

XSS的危害有很多，包括盗号，挂马，控制受害者机器想其他网站发起攻击 ...

自测的方法，看见输入框就输入：/><script>alert("xss")</script> 进行提交。

推荐一个专门针对浏览器攻击的框架。

BeEF ：https://beefproject.com/

防御

简单的防御可以对style、script、image、src、a等等不安全的因素进行过滤或转义。

可以自己封装一个方法，也可以使用框架的自带方法，比如 xss_clean 。

可以利用一些模板引擎避免XSS攻击，比如Laravel框架使用的Blade，还有twig，Smarty等。

可以利用HTTP-only，将cookie设置成HTTP-only防止XSS攻击。

//设置Cookie
setcookie($name, $value, $expire, $path, $domain, $secure, $httponly); 

//然后服务端通过使用 $_COOKIE 进行验证。

可以使用Content Security Policy，它的实质就是白名单制度。

入门教程请参考：http://www.ruanyifeng.com/blog/2016/09/csp.html

SSRF攻击

定义

SSRF（Server-Side Request Forgery：服务器端请求伪造）是攻击者伪造服务器端发起的请求，虽然攻击者无法从外网访问内网的系统，但是它通过注入恶意代码从服务端发起，通过服务端就再访问内网的系统，然后获取不该获取的数据。

案例

漏洞主要产生在包含这些方法的代码中，比如 curl、file_get_contents、fsockopen。

//代码片段
<?php
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $_GET['url']);
curl_setopt($ch, CURLOPT_HEADER, false);
curl_exec($ch);
curl_close($ch);

请求地址：http://www.xxx.com/demo.php?url=xxx

将url参数修改成，file:///etc/passwd，可以获取敏感文件的信息。

将url参数修改成，dict://127.0.0.1:3306/info，可以获取目标主机3306端口运行的应用。

除了 file协议，dict协议，还可以利用gopher协议和 http/https 协议进行攻击。

可以攻击redis，memcache，内网应用，还可以查看一下敏感文件的信息等等。