PHP アプリケーションのセキュリティ -- 違反できない 4 つのセキュリティ ルール_PHP チュートリアル

ユーザー名

パスワード
;/p>

このフォームはユーザー名とパスワードのユーザー入力を受け入れ、そのユーザー入力を verify.php というファイルに送信します。このファイルでは、PHP は以下に示すようにログイン フォームからのデータを処理します。

リスト 6. 安全でない PHP フォーム処理コード

$okay = 0;
$username = $_POST['user '];
$pw = $_POST['pw'];

$sql = "ユーザー名='".$username."' およびパスワード='" の制限として count(*) を選択します。 1";

$result = mysql_query($sql);

while ($data = mysql_fetch_object($result)){
if ($data->ctr == 1){
//彼らは大丈夫ですアプリケーションを入力してください。
$ ok = 1;
}}

($ ok) {
$ _Session ['loginokay'] = true
header ("index.php"); Else {{
Header(" login.php");
}
?>

このコードは問題ありませんね?世界中の数百 (数千ではないにしても) の PHP/MySQL サイトがこのようなコードを使用しています。どうしたの？ 「ユーザー入力は信頼できない」ということを覚えておいてください。ここではユーザーからの情報はエスケープされないため、アプリケーションは脆弱なままになります。具体的には、あらゆる種類の SQL インジェクション攻撃が発生する可能性があります。

たとえば、ユーザーがユーザー名として foo を入力し、パスワードとして ' または '1'='1 を入力すると、実際には次の文字列が PHP に渡され、クエリが MySQL に渡されます。 php
$sql = "select count(*) as ctr from users where username='foo' and password='' or '1'='1' limit 1"; このクエリは常にカウントを返します。値 1 なので、PHP はアクセスを許可します。ハッカーは、パスワード文字列の末尾に悪意のある SQL を挿入することで、正規のユーザーになりすますことができます。

この問題の解決策は、PHP の組み込み mysql_real_escape_string() 関数をユーザー入力のラッパーとして使用することです。この関数は文字列内の文字をエスケープするため、文字列内でアポストロフィなどの特殊文字を渡すことができなくなり、MySQL が特殊文字を操作できるようになります。リスト 7 はエスケープされたコードを示しています。

リスト 7. 安全な PHP フォーム処理コード

$username = $_POST['user']
$pw = $_POST['pw']; = "ユーザー名='".mysql_real_escape_string($username)."' およびパスワード='" から count(*) を CTR として選択します。mysql_real_escape_string($pw)."' 制限 1

$result = mysql_query ( $sql);

while ($data = mysql_fetch_object($result)){
if ($data->ctr == 1){
//アプリケーションに入っても大丈夫です
$okay = 1 ;
}
}

if ($okay){
$_SESSION['loginokay'] = true;
}else{
header("login.php"); ?>

ユーザー入力への悪意のある SQL インジェクションを回避するために、ユーザー入力のラッパーとして mysql_real_escape_string() を使用します。ユーザーが SQL インジェクション経由で不正なパスワードを渡そうとすると、次のクエリがデータベースに渡されます:

select count(*) as ctr from users where username='foo' and passwd='' or '1'= '1' 制限 1"

そのようなパスワードに一致するデータベースはありません。たった 1 つの簡単な手順を実行するだけで、Web アプリケーションの大きな穴が塞がれました。ここでの教訓は、常に SQL クエリを使用し、ユーザー入力をエスケープする必要があるということです。

ただし、ブロックする必要があるセキュリティ ホールがいくつかあります。次の項目は、ユーザーによる GET 変数の操作を防止することです




前のセクションでは、ユーザーが不正な形式のパスワードを使用してログインすることを防止しました。 SQL ステートメントへのすべてのユーザー入力が確実にエスケープされるようにするために、学習した方法を適用する必要があります。これでユーザーは有効なパスワードで安全にログインできるようになります。多くの機会が存在します。たとえば、アプリケーションでは、ユーザーが template.php?pid=33 や template.php?pid=321 などの特殊なコンテンツを表示できるようにする場合があります。URL の疑問符の後の部分はクエリと呼ばれます。クエリ文字列は URL に直接配置されるため、PHP では、register_globals が無効になっている場合は、template.php で $_GET[.pid'] を使用してアクセスできます。例 template.php

$pid = $_GET['pid. '];

//架空のクラス Page
$obj のオブジェクトを作成します。 = new Page;
$content = $obj->fetchPage($pid);
//これで、ページを表示するバッチができました



まず、何が問題なのでしょうか?これは、ブラウザからの GET 変数 pid が安全であると暗黙的に信じていることになります。しかし、ほとんどのユーザーがセマンティック攻撃を構築するのが苦手な場合、ブラウザの URL 位置フィールドに pid=33 が表示されると、問題が発生する可能性があります。別の数字を入力した場合はおそらく問題ありませんが、SQL コマンドやファイル名 (/etc/passwd など) を入力したり、3,000 文字を入力したりするなど、他の何かを入力した場合は問題ありません。値、何が起こるでしょうか？

この場合、ユーザー入力を信用しないという基本的なルールを思い出してください。アプリケーション開発者は、template.php で受け入れられる個人識別子 (PID) が数値である必要があることを知っているため、以下に示すように、PHP の is_numeric() 関数を使用して、数値以外の PID が受け入れられないようにすることができます。 ) GET 変数を制限するには

$pid = $_GET['pid'];

if (is_numeric($pid)){
//架空のクラス Page のオブジェクトを作成します
$obj = new Page;
$content = $obj->fetchPage($pid);
//これで、ページを表示する PHP のバッチが完成しました
}else{
// is_numeric() テストに合格しませんでした、何か他のことをしてください!
}
?>

このメソッドは有効であるように見えますが、次の入力は is_numeric() チェックを簡単に通過できます:

100 (有効)
100.1 (小数点以下の桁を含めないでください)
+ 0123.45 e6 (科学表記 - 悪い)
0xff33669f (16 進数 - 危険! 危険!)

それでは、セキュリティを意識した PHP 開発者は何をすべきでしょうか?長年の経験から、以下に示すように、正規表現を使用して GET 変数全体が数値で構成されていることを確認するのがベスト プラクティスであることがわかっています。

リスト 10. 正規表現を使用して GET 変数を制限する

$pid = $ _GET['pid'];

if (strlen($pid)){
if (!ereg("^[0-9]+$",$pid)){
//おそらく適切な処理を行いますログアウトするか、ホームページに送り返す
}} Else {
// $ pid が空なので、ホームページに送り返す}}

// ファイル Age のオブジェクトを作成します。これは現在
/ /悪意のあるユーザー入力から適度に保護されています
$obj = new Page;
$content = $obj->fetchPage($pid);
?>
;必要なのは、strlen() を使用して変数の長さがゼロでないかどうかを確認することだけです。そうである場合は、すべて数値の正規表現を使用して、データ要素が有効であることを確認します。 PID に文字、スラッシュ、ピリオド、または 16 進数に類似したものが含まれている場合、このルーチンはそれを捕捉し、ユーザーのアクティビティからページをブロックします。 Page クラスの舞台裏を見ると、以下に示すように、セキュリティを意識した PHP 開発者がユーザー入力 $pid をエスケープし、それによって fetchPage() メソッドを保護していることがわかります。エスケープするメソッド

class Page{
function fetchPage($pid){
$sql = "pid='のページからpid、title、desc、kw、content、statusを選択します".mysql_real_escape_string ($pid )."'";
}
}
?>

「PID が数値であることを確認したのに、なぜそれをエスケープする必要があるのか​​?」と疑問に思うかもしれません。この場合、 fetchPage() メソッドが使用されます。このメソッドが呼び出されるすべての場所で保護を提供する必要があり、メソッド内でのエスケープは多層防御の意味を具体化します。

ユーザーが最大 1000 文字などの非常に長い値を入力してバッファ オーバーフロー攻撃を開始しようとした場合はどうなりますか?次のセクションでこれについて詳しく説明しますが、ここでは別のチェックを追加して、入力 PID が正しい長さであることを確認できます。データベースの pid フィールドの最大長は 5 桁であることがわかっているため、以下のチェックを追加できます。

リスト 12. 正規表現と長さチェックを使用して GET 変数を制限する

$pid = $_GET['pid'];

if (strlen($pid)){
if (!ereg ( "^[0-9]+$",$pid) && strlen($pid) > 5){
// ログアウトするかホームページに戻すなど、適切な操作を行います
{
//空$pid なので、ホームページに送り返してください
}
//架空のクラス Page のオブジェクトを作成します。これは
//悪意のあるユーザー入力からさらに保護されます
$obj = new Page
; $content = $obj->fetchPage($pid);
//これで、ページを表示する PHP のバッチができました
?> これで、データベース アプリケーションに 5,000 ビットの値を詰め込むことはできません - 少なくともここでは GET 文字列が関係します。アプリケーションに侵入しようとしてイライラしているハッカーが歯ぎしりしているところを想像してみてください。また、エラー報告がオフになっているため、ハッカーによる偵察が困難になります。




バッファ オーバーフロー攻撃

バッファ オーバーフロー攻撃は、PHP アプリケーション (より正確には、Apache または基盤となるオペレーティング システム) のメモリ割り当てバッファをオーバーフローさせようとします。 Web アプリケーションを PHP などの高級言語で作成している場合でも、最終的には C を呼び出すことになる (Apache の場合) ことに注意してください。ほとんどの低レベル言語と同様、C にはメモリ割り当てに関する厳密なルールがあります。

バッファ オーバーフロー攻撃は、大量のデータをバッファに送信し、データの一部を隣接するメモリ バッファにオーバーフローさせ、バッファを破壊したりロジックを書き換えたりする攻撃です。これにより、サービス拒否、データの破損、またはリモート サーバー上で悪意のあるコードの実行が発生する可能性があります。

バッファ オーバーフロー攻撃を防ぐ唯一の方法は、すべてのユーザー入力の長さをチェックすることです。たとえば、ユーザー名を必要とするフォーム要素がある場合は、このフィールドに値 40 の maxlength 属性を追加し、バックエンドで substr() を使用してチェックします。リスト 13 に、フォームと PHP コードの簡単な例を示します。

リスト 13. ユーザー入力の長さを確認する

if ($_POST['submit'] == "go"){
$name = substr($_POST['name'],0, 40 );
?>

名前

名前