公司網站常見安全漏洞及防御方法
2015-01-05 分類： 網站建設
目前，基于PHP的網站開發(fā)已經成為目前網站開發(fā)的主流，創(chuàng)新小編從PHP網站攻擊與安全防范方面進行探究，旨在減少網站漏洞，希望對大家有所幫助!
一、常見PHP網站安全漏洞
對于PHP的漏洞，目前常見的漏洞有五種。分別是Session文件漏洞、SQL注入漏洞、腳本命令執(zhí)行漏洞、全局變量漏洞和文件漏洞。這里分別對這些漏洞進行簡要的介紹。
1、session文件漏洞
Session攻擊是黑客最常用到的攻擊手段之一。當一個用戶訪問某一個網站時，為了免客戶每進人一個頁面都要輸人賬號和密碼，PHP設置了Session和Cookie用于方便用戶的使用和訪向。
2、SQL注入漏洞
在進行網站開發(fā)的時候，程序員由于對用戶輸人數(shù)據(jù)缺乏全面判斷或者過濾不嚴導致服務器執(zhí)行一些惡意信息，比如用戶信息查詢等。黑客可以根據(jù)惡意程序返回的結果獲取相應的信息。這就是月行胃的SQL注入漏洞。
3、腳本執(zhí)行漏洞
腳本執(zhí)行漏洞常見的原因是由于程序員在開發(fā)網站時對用戶提交的URL參數(shù)過濾較少引起的，用戶提交的URL可能包含惡意代碼導致跨站腳本攻擊。腳本執(zhí)行漏洞在以前的PHP網站中經常存在，但是隨著PHP版本的升級，這些間題已經減少或者不存在了。
4、全局變量漏洞
PHP中的變量在使用的時候不像其他開發(fā)語言那樣需要事先聲明，PHP中的變量可以不經聲明就直接使用，使用的時候系統(tǒng)自動創(chuàng)建，而且也不需要對變 量類型進行說明，系統(tǒng)會自動根據(jù)上下文環(huán)境自動確定變量類型。這種方式可以大大減少程序員編程中出錯的概率，使用起來非常的方便。
5、文件漏洞
文件漏洞通常是由于網站開發(fā)者在進行網站設計時對外部提供的數(shù)據(jù)缺乏充分的過濾導致黑客利用其中的漏洞在Web進程上執(zhí)行相應的命令。假如在 lsm.php中包含這樣一段代碼:include($b.”/aaa.php”.)，這對黑客來說，可以通過變量$b來實現(xiàn)遠程攻擊，可以是黑客自已的代碼，用來實現(xiàn)對網站的攻擊?？梢韵蚍掌魈峤籥.php include=http://lZ7.0.0. 1/b.php,然后執(zhí)行b.php的指令。
二、PHP常見漏洞的防范措施
1、對于Session漏洞的防范
從前面的分析可以知道，Session攻擊最常見的就是會話劫持，也就是黑客通過各種攻擊手段獲取用戶的Session ID，然后利用被攻擊用戶的身份來登錄相應網站。為此，這里可以用以下幾種方法進行防范:一是定期更換Session ID，更換Session ID可以用PHP自帶函數(shù)來實現(xiàn)；二是更換Session名稱，通常情況下Session的默認名稱是PHPSESSID，這個變量一般是在cookie中保存的，如果更改了它的名稱，就可以阻檔黑客的部分攻擊;三是對透明化的Session ID進行關閉處理，所謂透明化也就是指在http請求沒有使用cookies來制定Session id時，Sessioin id使用鏈接來傳遞.關閉透明化Session ID可以通過操作PHP.ini文件來實現(xiàn)；四是通過URL傳遞隱藏參數(shù)，這樣可以確保即使黑客獲取了session數(shù)據(jù)，但是由于相關參數(shù)是隱藏的，它也很難獲得Session ID變量值。
2、對SQL注入漏洞的防范
黑客進行SQL注入手段很多，而且靈活多變，但是SQL注人的共同點就是利用輸入過濾漏洞。因此，要想從根本上防止SQL注入，根本解決措施就是加強對請求命令尤其是查詢請求命令的過濾。具體來說，包括以下幾點:一是把過濾性語句進行參數(shù)化處理，也就是通過參數(shù)化語句實現(xiàn)用戶信息的輸入而不是直接把用戶輸入嵌入到語句中。二是在網站開發(fā)的時候盡可能少用解釋性程序，黑客經常通過這種手段來執(zhí)行非法命令；三是在網站開發(fā)時盡可能避免網站出現(xiàn)bug，否則黑客可能利用這些信息來攻擊網站；僅僅通過防御SQL注入還是不夠的，另外還要經常使用專業(yè)的漏洞掃描工具對網站進行漏洞掃描。
3、對腳本執(zhí)行漏洞的防范
黑客利用腳本執(zhí)行漏洞進行攻擊的手段是多種多樣的，而且是靈活多變的，對此，必須要采用多種防范方法綜合的手段，才能有效防止黑客對腳本執(zhí)行漏洞進行攻擊。這里常用的方法方法有以下四種。一是對可執(zhí)行文件的路徑進行預先設定?？梢酝ㄟ^safe_moade_exec_dir來實現(xiàn);二是對命令參數(shù)進行處理，一般用escapeshellarg函數(shù)實現(xiàn);三是用系統(tǒng)自帶的函數(shù)庫來代替外部命令;四是在操作的時候進可能減少使用外部命令。
4、對全局變量漏洞防范
對于PHP全局變量的漏洞問題，以前的PHP版本存在這樣的問題，但是隨著PHP版本升級到5.5以后，可以通過對php.ini的設置來實現(xiàn)，設置ruquest_order為GPC。另外在php.ini配置文件中，可以通過對Magic_quotes_runtime進行布爾值設置是否對外部引人的數(shù)據(jù)中的溢出字符加反斜線。為了確保網站程序在服務器的任何設置狀態(tài)下都能運行?？梢栽谡麄€程序開始的時候用get_magic_quotes_runtime檢測設置狀態(tài)決定是否要手工處理，或者在開始(或不需要自動轉義的時候)用set_magic_quotes_runtime(0)關掉。
5、對文件漏洞的防范
對于PHP文件漏桐可以通過對服務器進行設置和配置來達到防范目的。這里具體的操作如下:一是把PHP代碼中的錯誤提示關閉，這樣可以避免黑客通過錯誤提示獲取數(shù)據(jù)庫信息和網頁文件物理路徑;二是對open_basedir盡心設置，也就是對目錄外的文件操作進行禁止處理;這樣可以對本地文件或者遠程文件起到保護作用，防止它們被攻擊，這里還要注意防范Session文件和上載文件的攻擊;三是把safe-made設置為開啟狀態(tài)，從而對將要執(zhí)行的命令進行規(guī)范，通過禁止文件上傳，可以有效的提高PHP網站的安全系數(shù)。
網站名稱：公司網站常見安全漏洞及防御方法
瀏覽地址：http://jinyejixie.com/news29/32879.html
成都網站建設公司_創(chuàng)新互聯(lián)，為您提供ChatGPT、面包屑導航、用戶體驗、定制開發(fā)、網站策劃、軟件開發(fā)
聲明：本網站發(fā)布的內容（圖片、視頻和文字）以用戶投稿、用戶轉載內容為主，如果涉及侵權請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內容未經允許不得轉載，或轉載時需注明來源： 創(chuàng)新互聯(lián)
猜你還喜歡下面的內容
- 互聯(lián)網+時代,企業(yè)建立一個網站的必要性 2015-01-05
- 高端網站的建設和設計,為什么比模板類網站貴的多? 2015-09-15
- 如何才可以讓訪客喜歡自己公司的網站 2015-01-05
- 拿到一個新做的網站后，到底該怎么開始運營 2015-01-05
- 國外服務器租用如何防范可能的風險 2015-01-04
- 網站關鍵詞怎么選擇才更有效果 2016-02-20
- 關于加強域名實名命名審核工作的通知 2015-01-03
- 建設英文網站時字體運用技巧 2015-01-05
- 新設計制作的網站網站如何做Seo優(yōu)化? 2015-09-14
- Matrix讓云世界化繁為簡 2015-01-04
- 如何讓你的PHP網站變得更安全 2015-01-04
- 當網站小編技能:撰寫搜索引擎喜愛的標題 2015-01-04
- 成都網站優(yōu)化哪家公司好,成都做優(yōu)化比價好的公司 2016-02-20
- 淺析今年網頁設計十大趨勢 2015-09-14
- robots.txt協(xié)議如何使用及寫作語法 2015-01-03
- PHPMailer+php完美實現(xiàn)在線發(fā)送郵件 2015-01-03
- 分享網站優(yōu)化過程中常犯的八大細節(jié)錯誤 2016-02-20
- 什么是JS特效？ 2015-01-02
- 常見的幾種數(shù)據(jù)庫的介紹 2015-01-02