news.55.la - 我拉站长咨询网

站长资讯通告:
搜索: 您的位置主页 > 网络编程 > PHP编程 > 阅读资讯:PHP安全配置(3)

PHP安全配置(3)

2012-09-06 18:44:57 来源: 【 评论: 作者:admin
摘要: 5、文件上传 php的文件上传机制是把用户上传的文件保留在php.ini的upload_tmp_dir定义的临时目录(默认是系统的临时目录,如:/tmp)里的一个类似phpxXuoXG的随机临时文件,程序履行结束,
5、文件上传

php的文件上传机制是把用户上传的文件保留在php.ini的upload_tmp_dir定义的临时目录(默认是系统的临时目录,如:/tmp)里的一个类似phpxXuoXG的随机临时文件,程序履行结束,该临时文件也被删除。PHP给上传的文件定义了四个变量:(如form变量名是file,而且register_globals打开)

$file #就是保留到服务器真个临时文件(如/tmp/phpxXuoXG )
$file_size #上传文件的大小
$file_name #上传文件的原始名称
$file_type #上传文件的类型



推荐应用:

$HTTP_POST_FILES['file']['tmp_name']
$HTTP_POST_FILES['file']['size']
$HTTP_POST_FILES['file']['name']
$HTTP_POST_FILES['file']['type']



这是一个最简略的文件上传代码:

//test_5.php
if(isset($upload) && $file != 'none') {
copy($file, '/usr/local/apache/htdocs/upload/'.$file_name);
echo '文件'.$file_name.'上传成功!点击持续上传';
exit;
}
?>



content='text/html; charset=gb2312'>








这样的上传代码存在读取任意文件和履行命令的重大标题。

下面的恳求可以把/etc/passwd文档拷贝到web目录/usr/local/apache/htdocs/test(留心:这个目录必需nobody可写)下的attack.txt文件里:

http://victim/test_5.php?upload=1&file=/etc/passwd&file_name=attack.txt

然后可以用如下恳求读取口令文件:

http://victim/test/attack.txt

攻击者可以把php文件拷贝成其它扩大名,泄漏脚本源代码。

攻击者可以自定义form里file_name变量的值,上传笼罩任意有写权限的文件。

攻击者还可以上传PHP脚本履行主机的命令。

解决方法:

PHP-4.0.3以后供给了is_uploaded_file和move_uploaded_file函数,可以检查把持的文件是否是用户上传的文件,从而避免把系统文件拷贝到web目录。

应用$HTTP_POST_FILES数组来读取用户上传的文件变量。

严格检查上传变量。比如不答应是php脚本文件。

把PHP脚本把持限制在web目录可以避免程序员应用copy函数把系统文件拷贝到web目录。move_uploaded_file不受open_basedir的限制,所以不必修正php.ini里upload_tmp_dir的值。

把PHP脚本用phpencode进行加密,避免由于copy把持泄漏源码。

严格配置文件和目录的权限,只答应上传的目录能够让nobody用户可写。

对于上传目录往掉PHP说明功效,可以通过修正httpd.conf实现:


php_flag engine off
#假如是php3换成php3_engine off




重启apache,upload目录的php文件就不能被apache说明了,即使上传了php文件也没有标题,只能直接显示源码。

6、命令履行

下面的代码片段是从PHPNetToolpack摘出,具体的描写见:

http://www.securityfocus.com/bid/4303

//test_6.php
system('traceroute $a_query',$ret_strs);
?>



由于程序没有过滤$a_query变量,所以攻击者可以用分号来追加履行命令。

攻击者输进如下恳求可以履行cat /etc/passwd命令:

http://victim/test_6.php?a_query=www.example.com;cat /etc/passwd

PHP的命令履行函数还有system(), passthru(), popen()和``等。命令履行函数非常危险,慎用。假如要应用必定要严格检查用户输进。

解决方法:

请求程序员应用escapeshellcmd()函数过滤用户输进的shell命令。

启用safe_mode可以杜尽很多履行命令的标题,不过要留心PHP的版本必定要是最新的,小于PHP-4.2.2的都可能绕过safe_mode的限制往履行命令。

7、sql_inject

如下的SQL语句假如未对变量进行处理就会存在标题:

select * from login where user='$user' and pass='$pass'



攻击者可以用户名和口令都输进1' or 1='1绕过验证。

不过幸亏PHP有一个默认的选项magic_quotes_gpc = On,该选项使得从GET, POST, COOKIE来的变量主动加了addslashes()把持。上面SQL语句变成了:

select * from login where user='1\' or
1=\'1' and pass='1\' or 1=\'1'



从而避免了此类sql_inject攻击。

对于数字类型的字段,很多程序员会这样写:

select * from test where id=$id



由于变量没有用单引号扩起来,就会造成sql_inject攻击。幸亏MySQL功效简略,没有sqlserver等数据库有履行命令的SQL语句,而且PHP的mysql_query()函数也只答应履行一条SQL语句,所以用分号隔开多条SQL语句的攻击也不能奏效。但是攻击者最少还可以让查询语句出错,泄漏系统的一些信息,或者一些意想不到的情况。

解决方法:

请求程序员对所有用户提交的要放到SQL语句的变量进行过滤。

即使是数字类型的字段,变量也要用单引号扩起来,MySQL自己会把字串处理成数字。

在MySQL里不要给PHP程序高级别权限的用户,只答应对自己的库进行把持,这也避免了程序呈现标题被 SELECT INTO OUTFILE ... 这种攻击。

8、警告及错误信息

PHP默认显示所有的警告及错误信息:

error_reporting = E_ALL & ~E_NOTICE
display_errors = On



在平时开发调试时这非常有用,可以根据警告信息马上找到程序错误所在。

正式利用时,警告及错误信息让用户不知所措,而且给攻击者泄漏了脚本所在的物理路径,为攻击者的进一步攻击供给了有利的信息。而且由于自己没有拜访到错误的处所,反而不能及时修正程序的错误。所以把PHP的所有警告及错误信息记录到一个日志文件是非常明智的,即不给攻击者泄漏物理路径,又能让自己知道程序错误所在。

修正php.ini中关于Error handling and logging部分内容:

error_reporting = E_ALL
display_errors = Off
log_errors = On
error_log = /usr/local/apache/logs/php_error.log



然后重启apache,留心文件/usr/local/apache/logs/php_error.log必需可以让nobody用户可写。

9、disable_functions

假如感到有些函数还有要挟,可以设置php.ini里的disable_functions(这个选项不能在httpd.conf里设置),比如:

disable_functions = phpinfo, get_cfg_var



可以指定多个函数,用逗号离开。重启apache后,phpinfo, get_cfg_var函数都被禁止了。建议封闭函数phpinfo, get_cfg_var,这两个函数轻易泄漏服务器信息,而且没有实际用处。

10、disable_classes

这个选项是从PHP-4.3.2开端才有的,它可以禁用某些类,假如有多个用逗号分隔类名。disable_classes也不能在httpd.conf里设置,只能在php.ini配置文件里修正。

11、open_basedir

前面分析例程的时候也多次提到用open_basedir对脚本把持路径进行限制,这里再先容一下它的特征。用open_basedir指定的限制实际上是前缀,不是目录名。也就是说 'open_basedir = /dir/incl' 也会答应拜访 '/dir/include' 和 '/dir/incls',假如它们存在的话。假如要将拜访限制在仅为指定的目录,用斜线结束路径名。例如:'open_basedir = /dir/incl/'。

可以设置多个目录,在Windows中,用分号分隔目录。在任何其它系统中用冒号分隔目录。作为Apache模块时,父目录中的open_basedir路径主动被持续。
顶一下
(2)
66.7%
踩一下
(1)
33.3%
Tags:
责任编辑:我拉网编辑
收藏】 【挑错】 【推荐】 【打印
发表评论
请自觉遵守互联网相关的政策法规,严禁发布色情、暴力、反动的言论。
评价:
表情:
验证码:点击我更换图片