一、CGI模式安裝安全

二、以Apache模塊安裝安全

當(dāng) PHP 以 Apache 模塊方式安裝時(shí)，它將繼承 Apache 用戶(hù)（通常為“nobody”）的權(quán)限。這對(duì)安全和認(rèn)證有一些影響。比如，如果用 PHP 來(lái)訪問(wèn)數(shù)據(jù)庫(kù)，除非數(shù)據(jù)庫(kù)有自己的訪問(wèn)控制，否則就要使“nobody”用戶(hù)可以訪問(wèn)數(shù)據(jù)庫(kù)。這意味著惡意的腳本在不用提供用戶(hù)名和密碼時(shí)就可能訪問(wèn)和修改數(shù)據(jù)庫(kù)。一個(gè) web Spider 也完全有可能偶然發(fā)現(xiàn)數(shù)據(jù)庫(kù)的管理頁(yè)面，并且刪除所有的數(shù)據(jù)庫(kù)?？梢酝ㄟ^(guò) Apache 認(rèn)證來(lái)避免此問(wèn)題，或者用 LDAP、.htaccess 等技術(shù)來(lái)設(shè)計(jì)自己的防問(wèn)模型，并把這些代碼作為 PHP 腳本的一部份
一個(gè)常犯的對(duì)安全性不利的錯(cuò)誤就是讓 Apache 擁有 root 權(quán)限，或者通過(guò)其它途徑斌予 Apache 更強(qiáng)大的功能。
把 Apache 用戶(hù)的權(quán)限提升為 root 是極度危險(xiǎn)的做法，而且可能會(huì)危及到整個(gè)系統(tǒng)的安全。所以除非是安全專(zhuān)家，否則決不要考慮使用 su，chroot 或者以 root 權(quán)限運(yùn)行。
除此之外還有一些比較簡(jiǎn)單的解決方案。比如說(shuō)可以使用 open_basedir 來(lái)限制哪些目錄可以被 PHP 使用。也可以設(shè)置 Apache 的專(zhuān)屬區(qū)域，從而把所有的 web 活動(dòng)都限制到非用戶(hù)和非系統(tǒng)文件之中。

三、文件系統(tǒng)安全

 PHP 遵從大多數(shù)服務(wù)器系統(tǒng)中關(guān)于文件和目錄權(quán)限的安全機(jī)制。這就使管理員可以控制哪些文件在文件系統(tǒng)內(nèi)是可讀的。必須特別注意的是全局的可讀文件，并確保每一個(gè)有權(quán)限的用戶(hù)對(duì)這些文件的讀取動(dòng)作都是安全的。
 PHP 被設(shè)計(jì)為以用戶(hù)級(jí)別來(lái)訪問(wèn)文件系統(tǒng)，所以完全有可能通過(guò)編寫(xiě)一段 PHP 代碼來(lái)讀取系統(tǒng)文件如 /etc/passwd，更改網(wǎng)絡(luò)連接以及發(fā)送大量打印任務(wù)等等。因此必須確保 PHP 代碼讀取和寫(xiě)入的是合適的文件。

兩個(gè)重要措施來(lái)防止此類(lèi)問(wèn)題。

# 只給 PHP 的 web 用戶(hù)很有限的權(quán)限。
# 檢查所有提交上來(lái)的變量。

$username = $_SERVER['REMOTE_USER']; // 使用認(rèn)證機(jī)制
$userfile   = $_POST['user_submitted_filename'];
$homedir = "/home/$username";

$filepath   = "$homedir/$userfile";
if (!ctype_alnum($username) || !preg_match('/^(?:[a-z0-9_-]|\.(?!\.))+$/iD', $userfile)) {
  die("Bad username/filename");
}

* Null字符問(wèn)題

由于 PHP 的文件系統(tǒng)操作是基于 C 語(yǔ)言的函數(shù)的，所以它可能會(huì)以您意想不到的方式處理 Null 字符。 Null字符在 C 語(yǔ)言中用于標(biāo)識(shí)字符串結(jié)束，一個(gè)完整的字符串是從其開(kāi)頭到遇見(jiàn) Null 字符為止。

# 會(huì)被 Null 字符問(wèn)題攻擊的代碼：

$file = $_GET['file']; // "http://www.cnblogs.com/etc/passwd\0"
if (file_exists('/home/wwwrun/'.$file.'.php')) {
  // file_exists will return true as the file /home/wwwrun/http://www.cnblogs.com/etc/passwd exists
  include '/home/wwwrun/'.$file.'.php';
  // the file /etc/passwd will be included
}

# 驗(yàn)證輸入的正確做法

$file = $_GET['file']; 

// 對(duì)字符串進(jìn)行白名單檢查
switch ($file) {
  case 'main':
  case 'foo':
  case 'bar':
    include '/home/wwwrun/include/'.$file.'.php';
    break;
  default:
    include '/home/wwwrun/include/main.php';
}

四、數(shù)據(jù)庫(kù)安全

* 設(shè)計(jì)數(shù)據(jù)庫(kù)

第一步一般都是創(chuàng)建數(shù)據(jù)庫(kù)，除非是使用第三方的數(shù)據(jù)庫(kù)服務(wù)。當(dāng)創(chuàng)建一個(gè)數(shù)據(jù)庫(kù)的時(shí)候，會(huì)指定一個(gè)所有者來(lái)執(zhí)行和新建語(yǔ)句。通常，只有所有者（或超級(jí)用戶(hù)）才有權(quán)對(duì)數(shù)據(jù)庫(kù)中的對(duì)象進(jìn)行任意操作。如果想讓其他用戶(hù)使用，就必須賦予他們權(quán)限。
應(yīng)用程序永遠(yuǎn)不要使用數(shù)據(jù)庫(kù)所有者或超級(jí)用戶(hù)帳號(hào)來(lái)連接數(shù)據(jù)庫(kù)，因?yàn)檫@些帳號(hào)可以執(zhí)行任意的操作，比如說(shuō)修改數(shù)據(jù)庫(kù)結(jié)構(gòu)（例如刪除一個(gè)表）或者清空整個(gè)數(shù)據(jù)庫(kù)的內(nèi)容。
應(yīng)該為程序的每個(gè)方面創(chuàng)建不同的數(shù)據(jù)庫(kù)帳號(hào)，并賦予對(duì)數(shù)據(jù)庫(kù)對(duì)象的極有限的權(quán)限。僅分配給能完成其功能所需的權(quán)限，避免同一個(gè)用戶(hù)可以完成另一個(gè)用戶(hù)的事情。這樣即使攻擊者利用程序漏洞取得了數(shù)據(jù)庫(kù)的訪問(wèn)權(quán)限，也最多只能做到和該程序一樣的影響范圍。
鼓勵(lì)用戶(hù)不要把所有的事務(wù)邏輯都用 web 應(yīng)用程序（即用戶(hù)的腳本）來(lái)實(shí)現(xiàn)。最好用視圖（view）、觸發(fā)器（trigger）或者規(guī)則（rule）在數(shù)據(jù)庫(kù)層面完成。當(dāng)系統(tǒng)升級(jí)的時(shí)候，需要為數(shù)據(jù)庫(kù)開(kāi)辟新的接口，這時(shí)就必須重做所有的數(shù)據(jù)庫(kù)客戶(hù)端。除此之外，觸發(fā)器還可以透明和自動(dòng)地處理字段，并在調(diào)試程序和跟蹤事實(shí)時(shí)提供有用的信息。
 
* 連接數(shù)據(jù)庫(kù)

把連接建立在 SSL 加密技術(shù)上可以增加客戶(hù)端和服務(wù)器端通信的安全性，或者 SSH 也可以用于加密客戶(hù)端和數(shù)據(jù)庫(kù)之間的連接。如果使用了這些技術(shù)的話，攻擊者要監(jiān)視服務(wù)器的通信或者得到數(shù)據(jù)庫(kù)的信息是很困難的。

 
* 加密存儲(chǔ)模型

SSL/SSH 能保護(hù)客戶(hù)端和服務(wù)器端交換的數(shù)據(jù)，但 SSL/SSH 并不能保護(hù)數(shù)據(jù)庫(kù)中已有的數(shù)據(jù)。SSL 只是一個(gè)加密網(wǎng)絡(luò)數(shù)據(jù)流的協(xié)議。
如果攻擊者取得了直接訪問(wèn)數(shù)據(jù)庫(kù)的許可（繞過(guò) web 服務(wù)器），敏感數(shù)據(jù)就可能暴露或者被濫用，除非數(shù)據(jù)庫(kù)自己保護(hù)了這些信息。對(duì)數(shù)據(jù)庫(kù)內(nèi)的數(shù)據(jù)加密是減少這類(lèi)風(fēng)險(xiǎn)的有效途徑，但是只有很少的數(shù)據(jù)庫(kù)提供這些加密功能。
對(duì)于這個(gè)問(wèn)題，有一個(gè)簡(jiǎn)單的解決辦法，就是創(chuàng)建自己的加密機(jī)制，然后把它用在 PHP 程序內(nèi)。PHP 有幾個(gè)擴(kuò)展庫(kù)可以完成這個(gè)工作，比如說(shuō) Mcrypt 和 Mhash 等，它們包含多種加密運(yùn)算法則。腳本在插入數(shù)據(jù)庫(kù)之前先把數(shù)據(jù)加密，以后提取出來(lái)時(shí)再解密。
對(duì)某些真正隱蔽的數(shù)據(jù)，如果不需要以明文的形式存在（即不用顯示），可以考慮用散列算法。使用散列算法最常見(jiàn)的例子就是把密碼經(jīng)過(guò) MD5 加密后的散列存進(jìn)數(shù)據(jù)庫(kù)來(lái)代替原來(lái)的明文密碼。參見(jiàn) crypt() 和 md5()。
 
* SQL注入

很多 web 開(kāi)發(fā)者沒(méi)有注意到 SQL 查詢(xún)是可以被篡改的，因而把 SQL 查詢(xún)當(dāng)作可信任的命令。殊不知道，SQL 查詢(xún)可以繞開(kāi)訪問(wèn)控制，從而繞過(guò)身份驗(yàn)證和權(quán)限檢查。更有甚者，有可能通過(guò) SQL 查詢(xún)?nèi)ミ\(yùn)行主機(jī)操作系統(tǒng)級(jí)的命令。
直接 SQL 命令注入就是攻擊者常用的一種創(chuàng)建或修改已有 SQL 語(yǔ)句的技術(shù)，從而達(dá)到取得隱藏?cái)?shù)據(jù)，或覆蓋關(guān)鍵的值，甚至執(zhí)行數(shù)據(jù)庫(kù)主機(jī)操作系統(tǒng)命令的目的。這是通過(guò)應(yīng)用程序取得用戶(hù)輸入并與靜態(tài)參數(shù)組合成 SQL 查詢(xún)來(lái)實(shí)現(xiàn)的。下面將會(huì)給出一些真實(shí)的例子。
由于在缺乏對(duì)輸入的數(shù)據(jù)進(jìn)行驗(yàn)證，并且使用了超級(jí)用戶(hù)或其它有權(quán)創(chuàng)建新用戶(hù)的數(shù)據(jù)庫(kù)帳號(hào)來(lái)連接，攻擊者可以在數(shù)據(jù)庫(kù)中新建一個(gè)超級(jí)用戶(hù)。

Example #1 一段實(shí)現(xiàn)數(shù)據(jù)分頁(yè)顯示的代碼……也可以被用作創(chuàng)建一個(gè)超級(jí)用戶(hù)（PostgreSQL系統(tǒng)）。

<?php
$offset = $argv[0]; // 注意，沒(méi)有輸入驗(yàn)證！
$query = "SELECT id, name FROM products ORDER BY name LIMIT 20 OFFSET $offset;";
$result = pg_query($conn, $query);
?>

一般的用戶(hù)會(huì)點(diǎn)擊 $offset已被斌值的“上一頁(yè)”、“下一頁(yè)”的鏈接。原本代碼只會(huì)認(rèn)為 $offset是一個(gè)數(shù)值。然而，如果有人嘗試把以下語(yǔ)句先經(jīng)過(guò) urlencode()處理，然后加入U(xiǎn)RL中的話：

0;
insert into pg_shadow(usename,usesysid,usesuper,usecatupd,passwd)
    select 'crack', usesysid, 't','t','crack'
    from pg_shadow where usename='postgres';
--那么他就可以創(chuàng)建一個(gè)超級(jí)用戶(hù)了。注意那個(gè) 0;只不過(guò)是為了提供一個(gè)正確的偏移量以便補(bǔ)充完整原來(lái)的查詢(xún)，使它不要出錯(cuò)而已。

Note:

-- 是 SQL 的注釋標(biāo)記，一般可以使用來(lái)它告訴 SQL 解釋器忽略后面的語(yǔ)句。

對(duì)顯示搜索結(jié)果的頁(yè)面下手是一個(gè)能得到密碼的可行辦法。攻擊者所要做的只不過(guò)是找出哪些提交上去的變量是用于 SQL 語(yǔ)句并且處理不當(dāng)?shù)?。而這類(lèi)的變量通常都被用于 SELECT查詢(xún)中的條件語(yǔ)句，如 WHERE, ORDER BY, LIMIT 和 OFFSET。如果數(shù)據(jù)庫(kù)支持 UNION構(gòu)造的話，攻擊者還可能會(huì)把一個(gè)完整的 SQL 查詢(xún)附加到原來(lái)的語(yǔ)句上以便從任意數(shù)據(jù)表中得到密碼。因此，對(duì)密碼字段加密是很重要的。

Example #2 顯示文章……以及一些密碼（任何數(shù)據(jù)庫(kù)系統(tǒng)）

可以在原來(lái)的查詢(xún)的基礎(chǔ)上添加另一個(gè) SELECT查詢(xún)來(lái)獲得密碼：

'
union select '1', concat(uname||'-'||passwd) as name, '1971-01-01', '0' from usertable;
--假如上述語(yǔ)句（使用 ' 和 --）被加入到 $query中的任意一個(gè)變量的話，那么就麻煩了。

SQL 中的 UPDATE 也會(huì)受到攻擊。這種查詢(xún)也可能像上面的例子那樣被插入或附加上另一個(gè)完整的請(qǐng)求。但是攻擊者更愿意對(duì) SET子句下手，這樣他們就可以更改數(shù)據(jù)表中的一些數(shù)據(jù)。這種情況下必須要知道數(shù)據(jù)庫(kù)的結(jié)構(gòu)才能修改查詢(xún)成功進(jìn)行?？梢酝ㄟ^(guò)表單上的變量名對(duì)字段進(jìn)行猜測(cè)，或者進(jìn)行暴力破解。對(duì)于存放用戶(hù)名和密碼的字段，命名的方法并不多。

Example #3 從重設(shè)密碼……到獲得更多權(quán)限（任何數(shù)據(jù)庫(kù)系統(tǒng)）

但是惡意的用戶(hù)會(huì)把 ' or uid like'%admin%'; --作為變量的值提交給 $uid 來(lái)改變 admin 的密碼，或者把 $pwd 的值提交為 "hehehe', admin='yes', trusted=100 "（后面有個(gè)空格）去獲得更多的權(quán)限。這樣做的話，查詢(xún)語(yǔ)句實(shí)際上就變成了：

下面這個(gè)可怕的例子將會(huì)演示如何在某些數(shù)據(jù)庫(kù)上執(zhí)行系統(tǒng)命令。

Example #4 攻擊數(shù)據(jù)庫(kù)所在主機(jī)的操作系統(tǒng)（MSSQL Server）

如果攻擊提交 a%' exec master..xp_cmdshell 'net user test testpass /ADD' --作為變量 $prod的值，那么 $query將會(huì)變成

MSSQL 服務(wù)器會(huì)執(zhí)行這條 SQL 語(yǔ)句，包括它后面那個(gè)用于向系統(tǒng)添加用戶(hù)的命令。如果這個(gè)程序是以 sa運(yùn)行而 MSSQLSERVER 服務(wù)又有足夠的權(quán)限的話，攻擊者就可以獲得一個(gè)系統(tǒng)帳號(hào)來(lái)訪問(wèn)主機(jī)了。

Note:

雖然以上的例子是針對(duì)某一特定的數(shù)據(jù)庫(kù)系統(tǒng)的，但是這并不代表不能對(duì)其它數(shù)據(jù)庫(kù)系統(tǒng)實(shí)施類(lèi)似的攻擊。使用不同的方法，各種數(shù)據(jù)庫(kù)都有可能遭殃。

預(yù)防措施

也許有人會(huì)自我安慰，說(shuō)攻擊者要知道數(shù)據(jù)庫(kù)結(jié)構(gòu)的信息才能實(shí)施上面的攻擊。沒(méi)錯(cuò)，確實(shí)如此。但沒(méi)人能保證攻擊者一定得不到這些信息，一但他們得到了，數(shù)據(jù)庫(kù)有泄露的危險(xiǎn)。如果你在用開(kāi)放源代碼的軟件包來(lái)訪問(wèn)數(shù)據(jù)庫(kù)，比如論壇程序，攻擊者就很容得到到相關(guān)的代碼。如果這些代碼設(shè)計(jì)不良的話，風(fēng)險(xiǎn)就更大了。
這些攻擊總是建立在發(fā)掘安全意識(shí)不強(qiáng)的代碼上的。所以，永遠(yuǎn)不要信任外界輸入的數(shù)據(jù)，特別是來(lái)自于客戶(hù)端的，包括選擇框、表單隱藏域和 cookie。就如上面的第一個(gè)例子那樣，就算是正常的查詢(xún)也有可能造成災(zāi)難。
•永遠(yuǎn)不要使用超級(jí)用戶(hù)或所有者帳號(hào)去連接數(shù)據(jù)庫(kù)。要用權(quán)限被嚴(yán)格限制的帳號(hào)。

•檢查輸入的數(shù)據(jù)是否具有所期望的數(shù)據(jù)格式。PHP 有很多可以用于檢查輸入的函數(shù)，從簡(jiǎn)單的變量函數(shù)和字符類(lèi)型函數(shù)（比如 is_numeric()，ctype_digit()）到復(fù)雜的 Perl 兼容正則表達(dá)式函數(shù)都可以完成這個(gè)工作。
•如果程序等待輸入一個(gè)數(shù)字，可以考慮使用 is_numeric()來(lái)檢查，或者直接使用 settype() 來(lái)轉(zhuǎn)換它的類(lèi)型，也可以用 sprintf() 把它格式化為數(shù)字。

Example #5 一個(gè)實(shí)現(xiàn)分頁(yè)更安全的方法

•使用數(shù)據(jù)庫(kù)特定的敏感字符轉(zhuǎn)義函數(shù)（比如 mysql_escape_string() 和 sql_escape_string()）把用戶(hù)提交上來(lái)的非數(shù)字?jǐn)?shù)據(jù)進(jìn)行轉(zhuǎn)義。如果數(shù)據(jù)庫(kù)沒(méi)有專(zhuān)門(mén)的敏感字符轉(zhuǎn)義功能的話 addslashes() 和 str_replace()可以代替完成這個(gè)工作?？纯吹谝粋€(gè)例子，此例顯示僅在查詢(xún)的靜態(tài)部分加上引號(hào)是不夠的，查詢(xún)很容易被攻破。
•要不擇手段避免顯示出任何有關(guān)數(shù)據(jù)庫(kù)的信心，尤其是數(shù)據(jù)庫(kù)結(jié)構(gòu)。參見(jiàn)錯(cuò)誤報(bào)告和錯(cuò)誤處理函數(shù)。
•也可以選擇使用數(shù)據(jù)庫(kù)的存儲(chǔ)過(guò)程和預(yù)定義指針等特性來(lái)抽象數(shù)庫(kù)訪問(wèn)，使用戶(hù)不能直接訪問(wèn)數(shù)據(jù)表和視圖。但這個(gè)辦法又有別的影響。
除此之外，在允許的情況下，使用代碼或數(shù)據(jù)庫(kù)系統(tǒng)保存查詢(xún)?nèi)罩疽彩且粋€(gè)好辦法。顯然，日志并不能防止任何攻擊，但利用它可以跟蹤到哪個(gè)程序曾經(jīng)被嘗試攻擊過(guò)。日志本身沒(méi)用，要查閱其中包含的信息才行。畢竟，更多的信息總比沒(méi)有要好。

五、錯(cuò)誤報(bào)告

對(duì)于 PHP 的安全性來(lái)說(shuō)錯(cuò)誤報(bào)告是一把雙刃劍。一方面可以提高安全性，另一方面又有害。

攻擊系統(tǒng)時(shí)經(jīng)常使用的手法就是輸入不正確的數(shù)據(jù)，然后查看錯(cuò)誤提示的類(lèi)型及上下文。這樣做有利于攻擊者收集服務(wù)器的信息以便尋找弱點(diǎn)。比如說(shuō)，如果一個(gè)攻擊者知道了一個(gè)頁(yè)面所基于的表單信息，那么他就會(huì)嘗試修改變量：

Example #1 用自定義的 HTML 頁(yè)面攻擊變量

通常 PHP 所返回的錯(cuò)誤提示都能幫助開(kāi)發(fā)者調(diào)試程序，它會(huì)提出哪個(gè)文件的哪些函數(shù)或代碼出錯(cuò)，并指出錯(cuò)誤發(fā)生的在文件的第幾行，這些就是 PHP 本身所能給出的信息。很多 PHP 開(kāi)發(fā)者會(huì)使用 show_source()、highlight_string()或者 highlight_file()函數(shù)來(lái)調(diào)試代碼，但是在正式運(yùn)行的網(wǎng)站中，這種做法可能會(huì)暴露出隱藏的變量、未檢查的語(yǔ)法和其它的可能危及系統(tǒng)安全的信息。在運(yùn)行一些具有內(nèi)部調(diào)試處理的程序，或者使用通用調(diào)試技術(shù)是很危險(xiǎn)的。如果讓攻擊者確定了程序是使用了哪種具體的調(diào)試技術(shù)，他們會(huì)嘗試發(fā)送變量來(lái)打開(kāi)調(diào)試功能：

Example #2 利用變量打開(kāi)調(diào)式功能

不管錯(cuò)誤處理機(jī)制如何，可以探測(cè)系統(tǒng)錯(cuò)誤的能力會(huì)給攻擊者提供更多信息。

比如說(shuō)，PHP 的獨(dú)有的錯(cuò)誤提示風(fēng)格可以說(shuō)明系統(tǒng)在運(yùn)行 PHP。如果攻擊者在尋找一個(gè) .html 為頁(yè)面，想知道其后臺(tái)的技術(shù)（為了尋找系統(tǒng)弱點(diǎn)），他們就會(huì)把錯(cuò)誤的數(shù)據(jù)提交上去，然后就有可以得知系統(tǒng)是基于 PHP 的了。
一個(gè)函數(shù)錯(cuò)誤就可能暴露系統(tǒng)正在使用的數(shù)據(jù)庫(kù)，或者為攻擊者提供有關(guān)網(wǎng)頁(yè)、程序或設(shè)計(jì)方面的有用信息。攻擊者往往會(huì)順藤摸瓜地找到開(kāi)放的數(shù)據(jù)庫(kù)端口，以及頁(yè)面上某些 bug 或弱點(diǎn)等。比如說(shuō)，攻擊者可以一些不正常的數(shù)據(jù)使程序出錯(cuò)，來(lái)探測(cè)腳本中認(rèn)證的順序（通過(guò)錯(cuò)誤提示的行號(hào)數(shù)字）以及腳本中其它位置可能泄露的信息。
一個(gè)文件系統(tǒng)或者 PHP 的錯(cuò)誤就會(huì)暴露 web 服務(wù)器具有什么權(quán)限，以及文件在服務(wù)器上的組織結(jié)構(gòu)。開(kāi)發(fā)者自己寫(xiě)的錯(cuò)誤代碼會(huì)加劇此問(wèn)題，導(dǎo)致泄漏了原本隱藏的信息。
有三個(gè)常用的辦法處理這些問(wèn)題。第一個(gè)是徹底地檢查所有函數(shù)，并嘗試彌補(bǔ)大多數(shù)錯(cuò)誤。第二個(gè)是對(duì)在線系統(tǒng)徹底關(guān)閉錯(cuò)誤報(bào)告。第三個(gè)是使用 PHP 自定義的錯(cuò)誤處理函數(shù)創(chuàng)建自己的錯(cuò)誤處理機(jī)制。根據(jù)不同的安全策略，三種方法可能都適用。
一個(gè)能提前阻止這個(gè)問(wèn)題發(fā)生的方法就是利用 error_reporting() 來(lái)幫助使代碼更安全并發(fā)現(xiàn)變量使用的危險(xiǎn)之處。在發(fā)布程序之前，先打開(kāi) E_ALL 測(cè)試代碼，可以幫你很快找到變量使用不當(dāng)?shù)牡胤?。一旦?zhǔn)備正式發(fā)布，就應(yīng)該把 error_reporting() 的參數(shù)設(shè)為 0 來(lái)徹底關(guān)閉錯(cuò)誤報(bào)告或者把 php.ini中的 display_errors 設(shè)為 off 來(lái)關(guān)閉所有的錯(cuò)誤顯示以將代碼隔絕于探測(cè)。當(dāng)然，如果要遲一些再這樣做，就不要忘記打開(kāi) ini 文件內(nèi)的 log_errors 選項(xiàng)，并通過(guò) error_log 指定用于記錄錯(cuò)誤信息的文件。

Example #3 用 E_ALL 來(lái)查找危險(xiǎn)的變量

六、使用Register Globals
 
可能 PHP 中最具爭(zhēng)議的變化就是從 PHP » 4.2.0版開(kāi)始配置文件中 register_globals的默認(rèn)值從 on 改為 off 了。對(duì)此選項(xiàng)的依賴(lài)是如此普遍以至于很多人根本不知道它的存在而以為 PHP 本來(lái)就是這么工作的。本節(jié)會(huì)解釋用這個(gè)指令如何寫(xiě)出不安全的代碼，但要知道這個(gè)指令本身沒(méi)有不安全的地方，誤用才會(huì)。

當(dāng) register_globals 打開(kāi)以后，各種變量都被注入代碼，例如來(lái)自 HTML 表單的請(qǐng)求變量。再加上 PHP 在使用變量之前是無(wú)需進(jìn)行初始化的，這就使得更容易寫(xiě)出不安全的代碼。這是個(gè)很艱難的抉擇，但 PHP 社區(qū)還是決定默認(rèn)關(guān)閉此選項(xiàng)。當(dāng)打開(kāi)時(shí)，人們使用變量時(shí)確實(shí)不知道變量是哪里來(lái)的，只能想當(dāng)然。但是 register_globals 的關(guān)閉改變了這種代碼內(nèi)部變量和客戶(hù)端發(fā)送的變量混雜在一起的糟糕情況。下面舉一個(gè)錯(cuò)誤使用 register_globals 的例子：

Example #1 錯(cuò)誤使用 register_globals = on 的例子

當(dāng) register_globals = on 的時(shí)候，上面的代碼就會(huì)有危險(xiǎn)了。如果是 off，$authorized 就不能通過(guò)如 URL 請(qǐng)求等方式來(lái)改變，這樣就好多了，盡管初始化變量是一個(gè)良好的編程習(xí)慣。比如說(shuō)，如果在上面的代碼執(zhí)行之前加入 $authorized = false 的話，無(wú)論 register_globals 是 on 還是 off 都可以，因?yàn)橛脩?hù)狀態(tài)被初始化為未經(jīng)認(rèn)證。

另一個(gè)例子是關(guān)于會(huì)話的。當(dāng) register_globals = on 的時(shí)候，$username 也可以用在下面的代碼中，但要意識(shí)到 $username 也可能會(huì)從其它途徑進(jìn)來(lái)，比如說(shuō)通過(guò) URL 的 GET。

Example #2 使用會(huì)話時(shí)同時(shí)兼容 register_globals on 和 off 的例子

采取相應(yīng)的預(yù)防措施以便在偽造變量輸入的時(shí)候給予警告是完全有可能的。如果事先確切知道變量是哪里來(lái)的，就可以檢查所提交的數(shù)據(jù)是否是從不正當(dāng)?shù)谋韱翁峤欢鴣?lái)。不過(guò)這不能保證變量未被偽造，這需要攻擊者去猜測(cè)應(yīng)該怎樣去偽造。如果不在乎請(qǐng)求數(shù)據(jù)來(lái)源的話，可以使用 $_REQUEST 數(shù)組，它包括了 GET、POST 和 COOKIE 的所有數(shù)據(jù)。詳情可參見(jiàn)本手冊(cè)的來(lái)自 PHP 之外的變量。

Example #3 探測(cè)有害變量

當(dāng)然，單純地關(guān)閉 register_globals 并不代表所有的代碼都安全了。對(duì)于每一段提交上來(lái)的數(shù)據(jù)，都要對(duì)其進(jìn)行具體的檢查。永遠(yuǎn)要驗(yàn)證用戶(hù)數(shù)據(jù)和對(duì)變量進(jìn)行初始化！把 error_reporting() 設(shè)為 E_NOTICE 級(jí)別可以檢查未初始化的變量。

更多關(guān)于模擬 register_globals 為 on 或 off 的信息，請(qǐng)見(jiàn)此 FAQ。

Note: Superglobal 可用性說(shuō)明:

自 PHP 4.1.0 起可以使用 Superglobal 數(shù)組，例如 $_GET，$_POST，和$_SERVER，等等。更多信息請(qǐng)閱讀手冊(cè)中的 superglobals 章節(jié)。

七、用戶(hù)提交的數(shù)據(jù)

很多 PHP 程序所存在的重大弱點(diǎn)并不是 PHP 語(yǔ)言本身的問(wèn)題，而是編程者的安全意識(shí)不高而導(dǎo)致的。因此，必須時(shí)時(shí)注意每一段代碼可能存在的問(wèn)題，去發(fā)現(xiàn)非正確數(shù)據(jù)提交時(shí)可能造成的影響。

Example #1 危險(xiǎn)的變量用法

必須時(shí)常留意你的代碼，以確保每一個(gè)從客戶(hù)端提交的變量都經(jīng)過(guò)適當(dāng)?shù)臋z查，然后問(wèn)自己以下一些問(wèn)題：

•此腳本是否只能影響所預(yù)期的文件？
•非正常的數(shù)據(jù)被提交后能否產(chǎn)生作用？
•此腳本能用于計(jì)劃外的用途嗎？
•此腳本能否和其它腳本結(jié)合起來(lái)做壞事？
•是否所有的事務(wù)都被充分記錄了？
在寫(xiě)代碼的時(shí)候問(wèn)自己這些問(wèn)題，否則以后可能要為了增加安全性而重寫(xiě)代碼了。注意了這些問(wèn)題的話，也許還不完全能保證系統(tǒng)的安全，但是至少可以提高安全性。

還可以考慮關(guān)閉 register_globals，magic_quotes 或者其它使編程更方便但會(huì)使某個(gè)變量的合法性，來(lái)源和其值被搞亂的設(shè)置。在開(kāi)發(fā)時(shí)，可以使用 error_reporting(E_ALL) 模式幫助檢查變量使用前是否有被檢查或被初始化，這樣就可以防止某些非正常的數(shù)據(jù)的撓亂了。

八、魔術(shù)引號(hào)

* 魔術(shù)引號(hào)

當(dāng)打開(kāi)時(shí)，所有的 '（單引號(hào)），"（雙引號(hào)），\（反斜線）和 NULL 字符都會(huì)被自動(dòng)加上一個(gè)反斜線進(jìn)行轉(zhuǎn)義。這和 addslashes() 作用完全相同。

一共有三個(gè)魔術(shù)引號(hào)指令：
■magic_quotes_gpc  影響到 HTTP 請(qǐng)求數(shù)據(jù)（GET，POST 和 COOKIE）。不能在運(yùn)行時(shí)改變。在 PHP 中默認(rèn)值為 on。 參見(jiàn) get_magic_quotes_gpc()。
■magic_quotes_runtime  如果打開(kāi)的話，大部份從外部來(lái)源取得數(shù)據(jù)并返回的函數(shù)，包括從數(shù)據(jù)庫(kù)和文本文件，所返回的數(shù)據(jù)都會(huì)被反斜線轉(zhuǎn)義。該選項(xiàng)可在運(yùn)行的時(shí)改變，在 PHP 中的默認(rèn)值為 off。 參見(jiàn) set_magic_quotes_runtime() 和 get_magic_quotes_runtime()。
■magic_quotes_sybase  如果打開(kāi)的話，將會(huì)使用單引號(hào)對(duì)單引號(hào)進(jìn)行轉(zhuǎn)義而非反斜線。此選項(xiàng)會(huì)完全覆蓋 magic_quotes_gpc。如果同時(shí)打開(kāi)兩個(gè)選項(xiàng)的話，單引號(hào)將會(huì)被轉(zhuǎn)義成 ''。而雙引號(hào)、反斜線 和 NULL 字符將不會(huì)進(jìn)行轉(zhuǎn)義。 如何取得其值參見(jiàn) ini_get()。

* 魔術(shù)引號(hào)的作用

優(yōu)點(diǎn)：

■ 對(duì)初學(xué)者很有用 魔術(shù)引號(hào)在 PHP 中用來(lái)實(shí)現(xiàn)避免初學(xué)者的代碼更危險(xiǎn)。盡管 SQL 注入在魔術(shù)引號(hào)打開(kāi)的情況下仍然有可能實(shí)現(xiàn)，但起碼系統(tǒng)的風(fēng)險(xiǎn)減少很多了。
■ 方便使用 當(dāng)向數(shù)據(jù)庫(kù)中插入數(shù)據(jù)時(shí)，魔術(shù)引號(hào)所做的就是自動(dòng)對(duì)所有的 GET、POST、COOKIE 數(shù)據(jù)運(yùn)用 addslashes() 函數(shù)

缺點(diǎn)：

■可移植性 編程時(shí)認(rèn)為其打開(kāi)或并閉都會(huì)影響到移植性?？梢杂?get_magic_quotes_gpc() 來(lái)檢查是否打開(kāi)，并據(jù)此編程。
■ 性能 由于并不是每一段被轉(zhuǎn)義的數(shù)據(jù)都要插入數(shù)據(jù)庫(kù)的，如果所有進(jìn)入 PHP 的數(shù)據(jù)都被轉(zhuǎn)義的話，那么會(huì)對(duì)程序的執(zhí)行效率產(chǎn)生一定的影響。在運(yùn)行時(shí)調(diào)用轉(zhuǎn)義函數(shù)（如 addslashes()）更有效率。 盡管 php.ini-dist 默認(rèn)打開(kāi)了這個(gè)選項(xiàng)，但是 php.ini-recommended 默認(rèn)卻關(guān)閉了它，主要是出于性能的考慮。
■ 不便 由于不是所有數(shù)據(jù)都需要轉(zhuǎn)義，在不需要轉(zhuǎn)義的地方看到轉(zhuǎn)義的數(shù)據(jù)就很煩。比如說(shuō)通過(guò)表單發(fā)送郵件，結(jié)果看到一大堆的 \'。針對(duì)這個(gè)問(wèn)題，可以使用 stripslashes() 函數(shù)處理

* 關(guān)閉魔術(shù)引號(hào)

magic_quotes_gpc指令只能在系統(tǒng)級(jí)關(guān)閉，不能在運(yùn)行時(shí)。也就是說(shuō)不能用 ini_set()。

 
Example #1 在服務(wù)器端關(guān)閉魔術(shù)引號(hào)

下面是一個(gè)通過(guò) php.ini 文件把這些選項(xiàng)設(shè)為 Off的范例。更多信息請(qǐng)參見(jiàn)本手冊(cè)的怎樣修改配置設(shè)定。

; Magic quotes
;

; Magic quotes for incoming GET/POST/Cookie data.
magic_quotes_gpc = Off

; Magic quotes for runtime-generated data, e.g. data from SQL, from exec(), etc.
magic_quotes_runtime = Off

; Use Sybase-style magic quotes (escape ' with '' instead of \').
magic_quotes_sybase = Off
如果不能修改服務(wù)器端的配置文件，使用 .htaccess 也可以。范例如下：

php_flag magic_quotes_gpc Off
 

為了能寫(xiě)出移植性較強(qiáng)的代碼（可以運(yùn)行于任何環(huán)境），例如不能修改服務(wù)器配置的情況，下面的例子可以在運(yùn)行時(shí)關(guān)閉 magic_quotes_gpc。但是這樣做比較低效，適當(dāng)?shù)男薷呐渲貌攀歉玫霓k法。

Example #2 在運(yùn)行時(shí)關(guān)閉魔術(shù)引號(hào)

九、隱藏PHP

一般而言，通過(guò)隱藏的手段提高安全性被認(rèn)為是作用不大的做法。但某些情況下，盡可能的多增加一份安全性都是值得的。

一些簡(jiǎn)單的方法可以幫助隱藏 PHP，這樣做可以提高攻擊者發(fā)現(xiàn)系統(tǒng)弱點(diǎn)的難度。在 php.ini 文件里設(shè)置 expose_php = off ，可以減少他們能獲得的有用信息。

另一個(gè)策略就是讓 web 服務(wù)器用 PHP 解析不同擴(kuò)展名。無(wú)論是通過(guò) .htaccess 文件還是 Apache 的配置文件，都可以設(shè)置能誤導(dǎo)攻擊者的文件擴(kuò)展名：

Example #1 把 PHP 隱藏為另一種語(yǔ)言

# 使PHP看上去像其它的編程語(yǔ)言
AddType application/x-httpd-php .asp .py .pl或者干脆徹底隱藏它：

Example #2 使用未知的擴(kuò)展名作為 PHP 的擴(kuò)展名

# 使 PHP 看上去像未知的文件類(lèi)型
AddType application/x-httpd-php .bop .foo .133t或者把它隱藏為 HTML 頁(yè)面，這樣所有的 HTML 文件都會(huì)通過(guò) PHP 引擎，會(huì)為服務(wù)器增加一些負(fù)擔(dān)：

Example #3 用 HTML 做 PHP 的文件后綴

# 使 PHP 代碼看上去像 HTML 頁(yè)面
AddType application/x-httpd-php .htm .html要讓此方法生效，必須把 PHP 文件的擴(kuò)展名改為以上的擴(kuò)展名。這樣就通過(guò)隱藏來(lái)提高了安全性，雖然防御能力很低而且有些缺點(diǎn)。

十、保持更新

PHP 和其它的大型系統(tǒng)一樣，在持續(xù)的研究和改進(jìn)中。每一個(gè)版本都會(huì)有或多或少的改進(jìn)來(lái)增強(qiáng)安全性和修復(fù)任何缺陷，配置問(wèn)題以及任何會(huì)影響到整個(gè)系統(tǒng)安全與性能的問(wèn)題。

和其它系統(tǒng)級(jí)的腳本語(yǔ)言一樣，最好的途徑是經(jīng)常更新，并時(shí)刻留意最新版本及其改變