[1. 서버측 구성]
안전, PHP 코드 작성은 한 측면이며 PHP 구성은 매우 중요합니다.
PHP를 수동으로 설치했습니다. PHP의 기본 구성 파일은 /usr/local/apache2/conf/php.ini에 있습니다. 가장 중요한 것은 PHP에서 콘텐츠를 구성하는 것입니다. ini를 사용하면 PHP를 더 안전하게 실행할 수 있습니다. PHP 전체의 보안 설정은 주로 phpshell 및 SQL 주입 공격을 방지하기 위한 것입니다. 먼저 편집 도구를 사용하여 /etc/local/apache2/conf/php.ini를 엽니다. 다른 방법으로 설치하면 구성 파일이 이 디렉터리에 없을 수 있습니다.
(1) PHP의 안전 모드 켜기
php의 안전 모드는 일부 PHP를 제어할 수 있는 매우 중요한 내장 보안 메커니즘입니다. system(),
과 같은 기능도 많은 파일 작업 기능의 권한을 제어하고 /etc/passwd, 과 같은 특정 키 파일을 허용하지 않습니다.
그러나 기본 php.ini는 안전 모드를 활성화하지 않으므로 다음과 같이 활성화합니다.
safe_mode = on
(2) 사용자 그룹 보안
safe_mode가 켜지면 safe_mode_gid가 꺼지면 php 스크립트가 해당 파일에 접근할 수 있고, 마찬가지
그룹 사용자도 파일에 접근할 수 있습니다.
다음으로 설정하는 것이 좋습니다:
safe_mode_gid = off
그렇지 않은 경우 설정하지 않으면, 예를 들어
파일을 작동해야 하는 경우와 같이 더 이상 서버 웹사이트의 디렉토리에 있는 파일을 작동할 수 없습니다.
(3) 안전 모드에서 프로그램을 실행하기 위한 홈 디렉토리
안전 모드를 켰지만 특정 프로그램을 실행해야 하는 경우 , 실행할 프로그램의 홈 디렉터리를 지정할 수 있습니다:
safe_mode_exec_dir = D:/usr/bin
일반적인 상황에서는 아무 프로그램도 실행할 필요가 없으므로 시스템 프로그램 디렉터리는 실행하지 않는 것이 좋습니다.
디렉터리를 가리킨 후 실행해야 하는 프로그램을 복사하면 됩니다. , 예:
safe_mode_exec_dir = D:/tmp/cmd
그러나 어떤 프로그램도 실행하지 않는 것이 좋습니다. 웹 디렉토리에:
safe_mode_exec_dir = D:/usr/www
(4) 안전 모드에서 파일 포함
안전 모드 공용 파일에 특정 파일을 포함하려면 다음 옵션을 수정하세요.
safe_mode_include_dir = D:/usr/www/include/
사실 일반적으로 PHP 스크립트에 포함되어 있습니다. 파일은 모두 프로그램 자체에 작성되며 특정 필요에 따라 설정할 수 있습니다.
(5) PHP 스크립트가 액세스할 수 있는 디렉터리를 제어합니다.
open_basedir 옵션을 사용하여 PHP 스크립트가 지정된 디렉터리에만 액세스할 수 있도록 제어합니다. PHP 스크립트가 액세스해서는 안 되는
파일에 액세스하지 못하도록 하여 phpshell의 피해를 어느 정도 제한합니다. 일반적으로 웹사이트 디렉토리에만 액세스하도록 설정할 수 있습니다. 🎜>
open_basedir = D:/usr/www
(6) 위험한 기능 끄기
안전 모드가 켜져 있으면 차단 기능이 필요하지 않지만 안전상의 이유로 이를 고려합니다. 예를 들어
명령을 실행할 수 있는 system()이나 볼 수 있는
phpinfo() 및 기타 기능을 비활성화할 수 있습니다:
disable_functions = system, passthru, exec, shell_exec, popen, phpinfo
파일 및 디렉터리 작업을 비활성화하려면 많은 파일 작업을 끌 수 있습니다.
disable_functions = chdir,chroot,dir,getcwd,opendir,readdir,scandir ,fopen,연결 해제,삭제,복사,mkdir, rmdir,이름 바꾸기,파일,file_get_contents,fputs,fwrite,chgrp,chmod,chown
위는 일반적으로 사용되지 않는 일부 파일 처리 기능만 나열합니다. 위의 실행 명령 기능을 이 기능과 결합할 수도 있습니다.
은 대부분의 phpshell에 저항할 수 있습니다.
(7) http 헤더에서 PHP 버전 정보 유출을 차단합니다.
해커가 http 헤더에서 PHP 버전 정보를 얻는 것을 방지합니다. 서버에서 http 헤더의 정보 램프를 끌 수 있습니다:
expose_php = Off
예를 들어, 해커가 www를 텔넷으로 연결할 때 .12345.com 80이면 PHP 정보를 볼 수 없습니다.
(8) 전역 변수 등록 끄기
POST 또는 GET을 사용하여 제출된 변수를 포함하여 PHP로 제출된 변수는 자동으로 등록됩니다. 전역 변수로 직접 접근할 수 있습니다.
이는 서버에 매우 안전하지 않으므로 전역 변수로 등록할 수 없으므로 전역 등록을 해제합니다. 변수 옵션:
register_globals = Off
물론 이것이 설정되면 합리적인 방법을 사용하여 해당 변수를 가져와야 하며, 예를 들어 GET var,
에서 제출한 변수를 얻으려면 $_GET['var']를 사용해야 합니다. PHP 프로그래머는 이에 주의해야 합니다.
(9) SQL 주입을 방지하려면 Magic_quotes_gpc를 켜세요
SQL 주입은 작은 경우에는 매우 위험한 문제입니다. 심하면 서버 전체가 무너지니
조심하세요. php.ini에는 다음과 같은 설정이 있습니다.
magic_quotes_gpc = Off
기본적으로 꺼져 있습니다. 사용자가 자동으로 제출하는 SQL 쿼리
를 '로'로 변환하는 등의 작업이 SQL 삽입 방지에 중요한 역할을 합니다. 따라서 다음과 같이 설정하는 것이 좋습니다.
magic_quotes_gpc = On
(10) 오류 메시지 제어
일반적으로 PHP는 데이터베이스에 연결되지 않거나 다른 상황에서 오류 메시지를 표시합니다. 일반적으로 오류 메시지에는 PHP 스크립트
앞의 경로 정보가 포함됩니다. 쿼리 SQL 문 및 기타 정보는 해커에게 제공된 후에는 안전하지 않으므로 일반적으로 서버에서 오류 메시지를 비활성화하는 것이 좋습니다.
display_errors = Off
오류 정보를 표시하려면 표시 오류 수준을 설정해야 합니다. 예를 들어 경고 위의 정보만 표시합니다.
error_reporting = E_WARNING & E_ERROR
물론, 여전히 오류 프롬프트를 끄는 것이 좋습니다.
(11) 오류 로그
서버 작동 이유를 쉽게 찾을 수 있도록 display_errors를 닫은 후 오류 정보를 기록하는 것이 좋습니다.
log_errors = On
동시에 오류 로그가 저장되는 디렉터리도 설정하는 것이 좋습니다. 루트 아파치 로그는 함께 저장됩니다:
error_log = D:/usr/local/apache2/logs/php_error.log
참고: 파일은 Apache 사용자 및 그룹이 쓰기 권한을 갖도록 허용해야 합니다.
MYSQL 권한 다운로드
mysqlstart와 같은 새 사용자 만들기
net user mysqlstart fuckmicrosoft /add
net localgroup 사용자 mysqlstart /del
어떤 그룹에도 속하지 않습니다
MYSQL이 d:mysql에 설치된 경우 mysqlstart에 전체 제어 권한을 부여한 다음
시스템 서비스에서 MYSQL 서비스 속성을 설정하고 이 사용자 mysqlstart를 선택합니다. 비밀번호를 입력하세요. OK.
MYSQL 서비스를 다시 시작하면 MYSQL이 낮은 권한으로 실행됩니다.
Apache가 Windows 플랫폼을 기반으로 구축된 경우 한 가지 주의할 점은 Apache가 기본적으로 시스템 권한으로 실행된다는 것입니다. 이것은 사람들을 매우 불편하게 만듭니다. 그러면 아파치의 권한을 낮추겠습니다.
net user apache fuckmicrosoft /add
net localgroup users apache /del
알겠습니다. 모든 그룹 userapche.
컴퓨터 관리자를 열고 서비스를 선택한 다음 Apache 서비스 속성을 클릭하고 로그온을 선택한 다음 이 계정을 선택하고 위에서 만든 계정과 비밀번호를 입력합니다.
아파치 서비스를 다시 시작하세요. 아파치가 낮은 권한으로 실행 중입니다.
실제로 Apache 사용자가 원하는 작업만 수행할 수 있도록 각 폴더의 권한을 설정하고 각 디렉토리에 대해 별도의 읽기-쓰기 디렉토리를 생성할 수도 있습니다. .
이 역시 많은 가상 호스트 제공업체에서 널리 사용하는 구성 방법이지만 이를 방지하기 위해 사용하면 과잉입니다.
[2. PHP 코드 작성]
아직도 많은 국내 PHP 프로그래머들이 SQL 인젝션을 방지하기 위해 추가 래시(addlash)에 의존하고 있지만, 중국어에서는 SQL 인젝션을 방지하기 위해 모두가 점검을 강화하는 것이 좋습니다. addlashes의 문제점은 해커가 0xbf27을 사용하여 작은따옴표를 대체할 수 있는 반면, addlashes는 0xbf27을 0xbf5c27로만 변경하므로 유효한 멀티바이트 문자가 됩니다. 0xbf5c는 여전히 작은따옴표로 간주되므로 addlashes는 성공적으로 가로챌 수 없습니다.
물론 addlashes는 쓸모가 없습니다. 단일 바이트 문자열을 처리하는 데 사용됩니다. 다중 바이트 문자의 경우 mysql_real_escape_string을 사용합니다.
또한 PHP 설명서의 get_magic_quotes_gpc 예는 다음과 같습니다.
if (!get_magic_quotes_gpc()) {
$lastname = addlashes($ _POST['성']);
} else {
$lastname = $_POST['성'];
}
magic_quotes_gpc가 이미 열려 있는 경우 $_POST['lastname']을 확인하는 것이 가장 좋습니다.
mysql_real_escape_string과 mysql_escape_string 두 함수의 차이점에 대해 이야기해 보겠습니다.
mysql_real_escape_string은 (PHP 4 >= 4.3.0, PHP 5) 사용 환경에서 사용해야 합니다. . 그렇지 않으면 mysql_escape_string만 사용할 수 있습니다. 둘 사이의 차이점은 mysql_real_escape_string은 연결의
문자 세트를 고려하지만 mysql_escape_string은 고려하지 않습니다.
요약하자면:
* addlashes()는 필수 추가 항목입니다.
* mysql_real_escape_string()은 문자 집합을 결정하지만, PHP 버전 요구 사항의 경우
* mysql_escape_string은 연결의 현재 문자 집합을 고려하지 않습니다.
---------------------------- ------------------------------------- ------
PHP로 코딩할 때 기본적인 보안 문제를 고려한다면 우선
변수를 초기화하세요
왜 그러세요? 다음 코드를 살펴보겠습니다.
PHP 코드
if ($admin)
{
echo '로그인 성공! ';
include('admin.php') {
echo '당신은 관리자가 아니어서 관리할 수 없습니다! '; 불법 매개변수를 제출하면 어떤 영향이 있나요? 예를 들어, 우리 페이지가 http://daybook.diandian.com/login.php이고 다음을 제출합니다: http://daybook.diandian.com/login.php?admin=1, 하하, 생각해 보세요. 귀하가 직접 관리자이거나 직접 관리할 수 있습니다. <… 초기화되지 않은 $skin 변수가 있어서 나중에 일련의 문제가 발생하기 때문입니다. 그렇다면 위의 문제를 어떻게 피할 수 있습니까? 먼저 php.ini로 시작하여 php.ini에서 Register_global =off를 설정합니다. 이는 등록된 모든 변수가 전역 변수가 아니라는 의미이므로 이를 피할 수 있습니다. 하지만 우리는 서버 관리자가 아니며 코드를 개선할 수만 있습니다. 그렇다면 위 코드를 어떻게 개선할 수 있을까요? 다음과 같이 다시 작성합니다:
PHP 코드
$admin = 0; // 변수 초기화
if ($_POST['admin_user'] && $_POST['admin_pass'])
{
// 제출된 관리자 결정 user 해당 처리 코드는 이름과 비밀번호가 맞는지 여부입니다. >
그 외 🎜 > {
echo '로그인 성공! ';
include('admin.php') {
echo '당신은 관리자가 아니어서 관리할 수 없습니다! '; .php?admin=1은 처음에 변수를 $admin = 0으로 초기화했기 때문에 사용하기 쉽지 않습니다. 그러면 이 취약점을 통해 관리자 권한을 얻을 수 없습니다.
2. SQL 인젝션 방지(sql 인젝션)
SQL 인젝션은 ASP부터 PHP까지 포함해 현재 가장 유해한 프로그램이어야 하며, 기본적으로는 모두 국산이다. 지난 2년간 대중화된 기술의 기본 원리는 제출된 변수를 필터링하지 않고 주입 지점을 형성한 후 악의적인 사용자가 일부 SQL 쿼리 문을 제출하도록 하여 중요한 데이터를 도난당하거나 데이터가 손실 또는 손상되거나 침입당하는 것입니다. 백엔드 관리에 들어갑니다.
그럼 이제 기본적인 주입 침입 방법을 알아보았으니 어떻게 예방할 수 있을까요? 코드부터 시작해야 합니다.
웹에 데이터를 제출하는 방법에는 두 가지가 있다는 것을 알고 있습니다. 하나는 get이고 다른 하나는 post입니다. 따라서 많은 일반적인 SQL 주입은 get 메서드에서 시작하며 주입 문은 반드시 일부 sql 문이 포함되어 있는데 어떻게 진행해야 할까요? sql 문은 크게 4가지(select, update, delete, insert)가 있습니다. 그러면 제출한 데이터를 필터링하면 이러한 문제를 피할 수 있을까요?
그래서 정규식을 사용하여 다음 함수를 구성합니다.
PHP 코드
function inject_check($sql_str)
{
return eregi('select|insert|update|delete|'|
기능 verify_id($id=null) > elseif (!is_numeric($id )) { exit('제출된 매개변수가 불법입니다!') } // 수치 판단 프로그램 코드는 다음과 같습니다.
PHP 코드
if (inject_check($_GET['id']))
{exit( '제출한 데이터가 불법입니다. 확인하고 다시 제출하세요! '); 🎜> $id = verify_id($_GET['id']); // $id를 필터링하기 위해 여기에 필터 함수가 인용되었습니다. 제출된 데이터는 합법적입니다. 계속하세요! '; 제출된 데이터, 대용량 데이터는 어떻습니까?
예를 들어 '_', '%' 등의 일부 문자는 데이터베이스에 해를 끼칠 수 있는데, 이러한 문자는 특별한 의미를 갖고 있는데 이를 제어하면 어떻게 될까요? 또 다른 요점은 php.ini에서 Magic_quotes_gpc = off일 때 데이터베이스 규칙을 준수하지 않는 제출된 데이터가 자동으로 앞에 ''를 추가하지 않는다는 것입니다. 그런 다음 이러한 문제를 제어해야 하므로 다음과 같이 빌드합니다.
PHP 코드 { | ~ 🎜>
$str = str_replace("%", "%", $str) // '%' 필터링
$str 반환
}
?>
서버가 해킹당할 위험을 다시 한 번 피했습니다.
마지막으로 게시, 기사 작성, 뉴스 작성과 같은 대규모 데이터 배치를 고려해보세요. 위의 기능을 기반으로 다음을 빌드하는 데 도움이 되는 기능이 필요합니다. 기능:
PHP 코드
$post = addlashes ($post) // Magic_quotes_gpc가 열리지 않을 때 제출된 데이터 필터링 $post = str_replace("_", "_", $post); // '_' 필터링
$post = str_replace("%", "%", $ post); // '%' 필터링
$post = nl2br($post); // 변환 입력
$post= htmlspecialchars($ post); // HTML 태그 변환 🎜> 하하, 기본적으로 지금까지 몇 가지 상황에 대해 이야기를 나눴습니다. 사실 적어도 두 가지 측면에 대해서만 이야기한 것이 거의 없고 내용도 거의 없는 것 같습니다. 보안 전체에 대해 생각해 보세요. PHP 보안 구성, Apache 보안 등을 포함하여 우리의 보안이 전체적으로 통합되어 가장 안전할 수 있도록 한 번에 이야기해 보겠습니다.
마지막으로 위에서 표현한 내용을 말씀드리겠습니다. 1. 변수를 초기화합니다. 2. 변수를 반드시 필터링하세요.
![[웹 프런트엔드] Node.js 빠른 시작](https://img.php.cn/upload/course/000/000/067/662b5d34ba7c0227.png)
