資訊專(zhuān)欄INFORMATION COLUMN
摘要：文件系統(tǒng)安全如果具有權(quán)限，且在腳本中允許用戶(hù)刪除文件，那么用戶(hù)提交數(shù)據(jù)，不進(jìn)行過(guò)濾，就非常有可能刪除系統(tǒng)文件從用戶(hù)目錄中刪除指定的文件上面的代碼，假設(shè)用戶(hù)提交的值是，那么目錄就會(huì)被刪除防范文件系統(tǒng)攻擊，策略如下只給有限的權(quán)限用戶(hù)提交上來(lái)的變
文件系統(tǒng)安全
php如果具有root權(quán)限，且在腳本中允許用戶(hù)刪除文件，那么用戶(hù)提交數(shù)據(jù)，不進(jìn)行過(guò)濾，就非常有可能刪除系統(tǒng)文件
上面的代碼，假設(shè)用戶(hù)提交的$userfile值是 ../etc/，那么/etc目錄就會(huì)被刪除
防范文件系統(tǒng)攻擊，策略如下
只給php有限的權(quán)限
用戶(hù)提交上來(lái)的變量要監(jiān)測(cè)和過(guò)濾，不能包含文件路徑等特殊字符
盡量避免使用PHP操作文件（刪除），如果有這方面的需求，那用戶(hù)可刪除文件也必須是系統(tǒng)生成的隨機(jī)名稱(chēng)，不可被用戶(hù)控制
數(shù)據(jù)庫(kù)安全數(shù)據(jù)庫(kù)安全主要防范的是sql injection，即sql注入攻擊，
提升數(shù)據(jù)庫(kù)安全的策略如下：
不用使用root帳號(hào)或者數(shù)據(jù)庫(kù)所有者帳號(hào)連接數(shù)據(jù)庫(kù)，連接數(shù)據(jù)庫(kù)限定連接用戶(hù)的ip
使用php的pdo擴(kuò)展，有效防止sql注入，除了安全方面的優(yōu)勢(shì)，php的pdo擴(kuò)展在性能方面有有很大優(yōu)勢(shì)
請(qǐng)參看 http://php.net/manual/en/pdo.prepared-statements.php
對(duì)一些敏感信息進(jìn)行加密，常見(jiàn)的比如對(duì)密碼進(jìn)行加密
用戶(hù)數(shù)據(jù)過(guò)濾對(duì)用戶(hù)數(shù)據(jù)過(guò)濾，可以防范XSS和CSRF攻擊
使用白名單（用戶(hù)輸入是固定模式）的方式
比如用戶(hù)名只能使用數(shù)字字母，那么可以使用函數(shù)ctype_alnum判斷
對(duì)用戶(hù)輸入使用函數(shù) htmlentities或者h(yuǎn)tmlspecialchars進(jìn)行處理，輸入url不允許傳入非http協(xié)議
用戶(hù)身份驗(yàn)證使用令牌 token(csrf)
http://htmlpurifier.org/ HTML Purifier 是開(kāi)源的防范xss攻擊的有效解決方案，
線上環(huán)境關(guān)閉錯(cuò)誤報(bào)告(error_reporting,dislay_erros，可在php.ini中配置error_log路徑，記錄錯(cuò)誤信息，這樣有助于發(fā)現(xiàn)可能的用戶(hù)攻擊)
Register Globals,棄用（移除）的特性，不要使用
魔術(shù)引號(hào)特性，不要開(kāi)啟，在PHP-5.4中已經(jīng)被移除
盡量使用PHP的最新版本，最新版本修復(fù)了已知的很多安全漏洞和bug
代碼中嚴(yán)格遵守上述策略，基本能保證代碼不會(huì)有太多的安全漏洞，能防范常見(jiàn)攻擊。
歡迎補(bǔ)充。
文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請(qǐng)注明本文地址：http://m.hztianpu.com/yun/20699.html
摘要：三哪些會(huì)受到同源策略限制對(duì)于瀏覽器來(lái)說(shuō)，除了會(huì)受到同源策略的限制外，瀏覽器加載的一些第三方插件也有各自的同源策略。九的現(xiàn)代瀏覽器允許腳本直連一個(gè)地址而不管同源策略。 一、Origin（源） 源由下面三個(gè)部分組成： 域名 端口 協(xié)議 兩個(gè) URL ，只有這三個(gè)都相同的情況下，才可以稱(chēng)為同源。 下來(lái)就以 http://www.example.com/page.html 這個(gè)鏈接來(lái)比較說(shuō)...
摘要：性能問(wèn)題一般不會(huì)超過(guò)占整個(gè)項(xiàng)目性能的，一般在。內(nèi)置函數(shù)的性能優(yōu)劣。幾乎與在函數(shù)中調(diào)用局部變量的速度相當(dāng)。遞增一個(gè)全局變量要比遞增一個(gè)局部變量慢倍。類(lèi)似的方法調(diào)用所花費(fèi)的時(shí)間接近于次的局部變量遞增操作。 php性能怎么優(yōu)化?性能是網(wǎng)站運(yùn)行是否良好的關(guān)鍵因素， 網(wǎng)站的性能與效率影響著公司的運(yùn)營(yíng)成本及長(zhǎng)遠(yuǎn)發(fā)展，編寫(xiě)出高質(zhì)高效的代碼是我們每個(gè)開(kāi)發(fā)人員必備的素質(zhì),也是我們良好...
摘要：于是乎同源策略應(yīng)運(yùn)而生主要限制在于和無(wú)法讀取。怎么繞過(guò)同源策略首先一般來(lái)說(shuō)協(xié)議和端口造成的跨域問(wèn)題大部分方法是沒(méi)有辦法繞過(guò)的。二級(jí)域名是寄存在主域名之下的域名。當(dāng)主域名受到懲罰二級(jí)域名也會(huì)連帶懲罰。 前言 這是一道前端跨不過(guò)躲不掉面試必備的知識(shí),掙扎多年沒(méi)能做到刻骨銘心深入脊髓,只能好好寫(xiě)篇博文記錄起來(lái)了; 什么是跨域？ 廣義來(lái)說(shuō),A域執(zhí)行的文檔腳本試圖去請(qǐng)求B域下的資源是不被允許的,...
閱讀 961·2021-10-27 14:19
閱讀 1186·2021-10-15 09:42
閱讀 1616·2021-09-14 18:02
閱讀 802·2019-08-30 13:09
閱讀 3046·2019-08-29 15:08
閱讀 2157·2019-08-28 18:05
閱讀 1009·2019-08-26 10:25
閱讀 2851·2019-08-23 16:28
