编写PHP的安全策略

php最初是被称作personal home page，后来随着php成为一种非常流行的脚本语言，名称也随之改变了，叫做professional hypertext preprocessor。以php4.2为例支持它的web服务器有：apache, microsoft internet information sereve, microsoft personal web server,aolserver,netscape enterprise 等等。

php是一种功能强大的语言和解释器，无论是作为模块方式包含到web服务器里安装的还是作为单独的cgi程序程序安装的，都能访问文件、执行命令或者在服务器上打开链接。而这些特性都使得php运行时带来安全问题。虽然ph p是特意设计成一种比用perl或c语言所编写的cgi程序要安全的语言，但正确使用编译时和运行中的一些配置选项以及恰当的应用编码将会保证其运行的安全性。

一、安全从开始编译php开始。

在编译php之前，首先确保操作系统的版本是最新的，必要的补丁程序必须安装过。另外使用编译的php也应当是最新的版本，关于php的安全漏洞也常有发现，请使用最新版本，如果已经安装过php请升级为最新版本：4.2.3

相关链接：http://security.e-matters.de/advisories/012002.html

安装编译php过程中要注意的3个问题：

1、只容许cgi文件从特定的目录下执行：首先把处理cgi脚本的默认句柄删除，然后在要执行cgi脚本的目录在http.conf 文件中加入scriptalias指令。

#addhadler cgi-script .cgi

scriptalias /cgi-bin/ "/usr/local/apache/cgi-bin/"

<directory "/usr/local/apache/cgi-bin'>

allowoverride none

options none

order allow,deny

allow from all

</directory>

<directory "/home/*/public_html/cgi-bin">

allowoverride none

options execcgi

order allow,deny

allow from all

</directory>
 

 

sriptalias的第一个参数指明在web中的可用相对路径，第二个参数指明脚本放在服务器的目录。应该对每个目录

别名都用directory，这样可使得除系统管理员之外的人不知道web服务器上cgi脚本的清单。

directory允许用户创建自己的cgi脚本。也可用sriptaliasmatch，但directory更容易使用。 允许用户创建自己

cgi脚本可能会导致安全问题，你可能不希望用户创建自己的cgi。 apache默认配置是注释掉cgi—script的处理句柄，但有／cgi-bin目录使用sriptalias和directory指令。 你也可禁止cgi执行，但仍允许执行php脚本。

2．把php解析器放在web目录外

把php解析器放在web目录树外是非常重要的做法。这样可以防止web服务器对php的解析器的滥用。特别是

不要把php解析器放在cgi－bin或允许执行cgi程序的目录下。然而，使用action解析脚本是不可能的，因为用action指令时，php解析器大多数要放在能够执行cgi的目录下只有当php脚本作为cgi程序执行时，才能把php解析器放在web目录树之外。

如果希望php脚本作为cgi程序执行(这们可以把php解析器放在web目录树之外)，可以这样：

( 1)所有的php脚本必须位于能执行cgi程序的目录里。

( 2)脚本必须是可执行的(仅在unix/linux机器里)。

(3)脚本必须在文件头包括php解析器的路径。

你可用下面命令使php脚本为可执行：

#chmod +x test.php4

这样使在当前目录下的文件名为test．php4的脚本变为可执行。 下面是一个能作为cgi程序运行的php脚的小例子。

#!/usr/local/bin/php

echo "this is a  my small cgi program”
 

3. 按apache模块方式安装:

当将php作为apache模块使用时，它将继承apche的用户权限(一般情况下用户为“nobody”)。这一点对于安全性和

验证有不少影响。例如，使用php访问数据库，除非数据库支持内建的访问控制，将不得不设置数据库对于用户“nobody”

的可访问权限。这将意味着恶意的脚本在没有访问用户名和密码，也能访问并修改数据库。通过apache验证来保护数据不被暴露，或者也可使用ldap、．htaccess文件等设计自己的访问控制模型，并在php脚本中将此代码作为其中部分引入。 通常，一旦安全性建立，此处php用户(此情形即apache用户)就风险大大降低了，会发现php护现在已被封禁了将可能的染毒文件写入用户目录的能力。 此处最常犯的安全性错误是赋予apache服务器根(root)权限。 将apache用户权限提升到根权限是极端危险的。可能会危及整个系统，因此要小心使用sudo，chroot安全隐患大的命令等。除非你对安全有绝对的掌握，否则不要让其以root权限运行。

二、让php的使用更安全。

1、以安全模式运行php

以安全模式运行php是使php脚本安全使用的好方法，特别是在允许用户使用自己开发的php脚本时。使用安全模式会使php在运行函数时检查是否存在安全问题。 include、readfile、fopen、file、unlink、rmdir等等：被包含的文件或者该文件所在目录的所有者必须是正在运行的脚本的所有者； exec、system、passthm等等：要执行的程序必须位于特定的目录(默认为／usr/local／php/bin)。编译php时可以用—with-exe-dir选项设定这个值。

mysql—connect：这个函数用可选的用户名连接mysql数据库。在安全模式下，用户名必须是当前被执行的脚本的所有者，或运行httpd的用户名(通常是nobody)。

http authentication：包含http验证代码脚本所有者的用户id(数字型)会自动加到验证域。这样可以防止有人通过抓取密码的程序来欺骗同一个服务器上的http验证脚本。

2、使用 用户识别和验证

有时需要唯一地确认一个用户。用户通常由请求和响应系统确认。用户名／口令组合就是这种系统的一个很好的例子，比如系统要求给出a1i的口令，响应的是ali的口令。这样验证是因为只有ali才知道这个口令。

（1）服务器端用户验征

这是用于服务端上对php程序要求最小的验证方法。只要让apache来管理对用户的验证就行了。

authname      "secret page"      # the realm

authtype      basic

# the password file has been placed outside the web tree

authuserfile   /home/car2002/website.pw

<limit get post>

require      valid-user

</limit>
 

你需要把上述文件(文件名为.htaccess)放在需要保护的地方。用apache的htpasswd程序，可以建立包含用户名和口令组合的文件。把这个文件放在web目录树之外，只让该文件的拥有者查看和修改这个文件。当然，web服务器必须能够读取这个文件。

如果想读取被保护的目录，web服务器要求浏览器提供用户名和密码。浏览器弹出对话框，用户可以输入他们的用户名和密码。如果用户名和密码与口令文件中相符合，就允许用户读取被保护的页面；反之，将得到错误页面，告诉用户没有通过验证。被保护的域会显示出来以便用户知道输入那个用户名和密码。

（2）在php中进行用户识别和验证

和在apache服务器端进行用户识别和验证相比，在php进行用户识别和验证有以下优点：

a、可注销。

b、可失效。如用户登录后40分钟没有浏览你的网站，你可强制他们重新通过验证。

c、可定制。

d、可基于数据库。你可以用保存在各种各样的数据库里的数据来验证用户，并且记录访问者访问网站的详细日志。

e、可用于每个页面。你可在每个页面上决定是否需要验证。

f、你也可以使浏览器弹出对话框。下面的例子显示了怎样从，mysql数据库中检索用名和口令：让用户填人用户名和口令。

<?

if(!isset($php_auth_user)) {

header("www-authenticate: basic realm=\"restricted area\"");

header( "http/i.0 401 unauthorized");

echo "you failed to provide the correct password...\n";

exit;

} else {

mysql_select_db("users") ;

$user_id = strtolower($php^auth_user);

$result = mysql_query("select password from users " .

"where username = '$username'") ;

$row = mysql_fetch_array($result) ;

if ($php_auth_pw != $row["password"]) {

header( "www-authenticate: basic realm=\"restricted area\"

header( "http/i.0 401 unauthorized");

echo "you failed to provide the correct password...\n" ;

exit;

}

  }

?>

only users with a working username/password combination can see this
 

 

(3) 检测ip地址

一般人们普遍认为一个ip地址唯一地确定一个访问者。但实际上并不是这样的。代理服务器可用相同的ip地址发送不同用户的请求。另外ip地址的盗用也普遍存在。检测 ip地址有它们的用处，但相当有限。例如你是一个论坛版主，你发现某个用户粘贴一些不健康的、违法的内容。你可以找到他的ip地址，把从这个ip连进来的用户逐出论坛。使用下面一行命令将会得到某个特定请求的源ip地址：

# ip = $remote_addr

4、使用php加密技术

在php中，加密技术主要用来加密信息、产生校验和和摘要。使用加密技术可大大地增强安全性能。 这里只讲述使用加密技术的一些概念。如果你想进一步了解，应参考一些好的加密技术资料。加密技术的标准是bmce schneier的应用加密技术，非常值得一读。他的网站(www.counterpane.com/labs.html )是在互联网上查找加密技术资料的好起点。数据加密是一个非常复杂的话题，这里只简单介绍一下。

php中大多数的加密函数由mcrypt库和mhash库提供。你需要在系统中装上这两个库，在编译时加上--ith-mcrypt和--ith-hash选项。php从 3．013版本开始支持mcrypt库。

5、使用具有ssl技术

ssi是英文server side includes的缩写。使用具有ssl(安全套接字协议层)功能的web服务器，可以不用改变一行代码而提高网站的安全性能。ssi使用加密方法来保护web服务器和浏览器之间的信息流。ssl不仅用于加密在互联网上传递的数据流，而且还提供双方身份验证。这样，你就可以安全地在线购物而不必担心别人矢随你的信用卡的信息。这种特性使得ssl适用于那些交换重要信息的地方，像电子商务和基于web的邮件。

ssl使用公共密钥加密技术，服务器在连接结束时给客户端发送公用密钥用来加密信息，而加密的信息只有服务器用它自己持有的专用密钥才能解开。客户端用公用密钥加密数据，并且发送给服务端自己的密钥，以唯一确定自己，防止在系统两端之间有人冒充服务端或客户端进行欺骗。

加密的http连接用443端口号代替80端口号，以区别于普通的不加密的http。客户端使用加密http连接时会自动使用443端口而不是80端口。这使得服务端更容易作出相应的响应。

在apache服务器下，可以通过直接编辑服务器配置文件或者在需要使用ssi的目录中创建.htaccess文件来启动ssi。登录到服务器，找到配置文件的存放目录，使用文字编辑器打开文件srm.conf，找到以下几行： 

# if you want to use server side includes, or cgi outside
# scriptaliased directories, uncomment the following lines.
#addtype text/x-server-parsed-html .shtml
#addtype application/x-httpd-cgi .cgi
 

将以addtype开头的两行并且去掉每一行最前面的"#"符号即可。保存所做的修改，然后再打开文件access.conf。

　　　　＜directory /usr/local/etc/httpd/htdocs＞
　　　　# this may also be "none", "all", or any combination of "indexes",
　　　　# "includes", or "followsymlinks"
　　　　options indexes followsymlinks
　　　　＜/directory＞

　　　　将其中的options indexes followsymlinks改为:options indexes followsymlinks includes 即可。
 

6、使用apache的suexec机制

通常cgi程序或php脚本只能以启动web服务器的用户权限来运行(通常为www或nobody)，这样会出现的情况之一是可以读写和修改由另一个用户的cgi和php脚本生成的文件(如脚本和密码文件)。也可能使用户可以连接到其他用户的数据库，但这与数据库的配置有关。如mysql的默认配置便是允许的，但可以通过强制数据库进行口令验证来弥补此不足。php的safe—mode减少了这些问题，但所有的脚本仍然以相同的用户标识运行。apache可以解决这个问题。suexec(在执行前改变用户标识)是一个小工具，允许以任意用户标识运行cgi程序，当然也包括php脚本，但根用户除外。而且可以和usedir和virtualhost项一起使用。

所以suexec也叫cgi封装。这意味着在脚本运行之前它需要通过一系列规定的安全检查。随apache2。0版发布的suexec有26个检查点。suexec能解决一些安全问题，同时允许用户开发和更安全地执行自己的脚本。但是suexec会降低服务性能，因为suexec只能运行在cgi版本的php上，而cgi版本比模块版本运行速度慢。原因是模块版本使用了线程，而使用cgi版本的是进程。在不同线程之间的环境转换和访问公用的存储区域显然要比在不同的进程之间要快得多。使用suexec的另外一个问题是它增加了编写和使用php脚本的难度。你要确保脚本能通过suexec的检验。否则，你的脚本不会被执行。我们建议在你对安全性能要求比较高时使用suexec ,为此你还要以牺牲速度为代价。

7、创建安全的php脚本

有很多编程技巧使php脚本更安全地运行。其中最重要的一条是使用一些安全常识。运行php比运行cgi脚本更安全，但它仍然有许多出现错误的地方。转换到安全运行模式能够限制出错所产生的结果。如果你的php脚本中有错误，可能会被人找到并且利用它来破坏站点甚至数据库。所以经常备份也是必要的。

（1）安全设置软件

基于web的应用程序，如在线目录，通常都在无人密切监视的情况下运行。如果发生错误时，你不可能立即采取行动。通常访问者最先注意到所发生的问题，你应该使他们很容易地报告所发生的问题。更进一步，可以由构成这个网站的脚本来跟踪这些问题。例如，你的访问者可能做一些你想不到的事情。也可能你对于重要函数所返回值没有检查，脚本可能会以不可预料的方式运行。

写出更加安全的程序，就可以避免这些问题。例如你应该检查数据库函数的返回值，如果数据库崩溃，显示给用户的应该是出错的信息页面而不是满屏幕的错误。你甚至可以让脚本在发生严重问题，如数据库崩溃、硬盘空间已满的时候自动通知你。你也应该检查从用户传来的所有数据。显然后者更重要。 如果你的程序能够应付各种错误，那么你的程序不仅更加可靠，而且可以花更少的时间来维护。这些时间可大大弥补你开发程序时所花的额外时间。

（2）存储和交换敏感信息

显然，你应尽量避免在互联网上以get、post、cookie或url编码的形式传递敏感信息，这样使信息很容易被窃取。使用支持ssl的web服务器能够做到这一点，因为它加密站点和访问者浏览器之间所有的信息流。

如果你没有支持ssl的web服务器，那么你需要其他的办法。比如没有必要总是发送数据到浏览器；把数据保存在数据库中，只向浏览器发送关键字，这样也很容易查找到所需要的数据；并以加密的形式发送所有的数据等等。实现这种功能的最简单的办法是使用session。 php4支持本地化的session功能，php3则要使用phpmb库。

http 协议是一种无状态协议，它不负责为好连接的状态信息，因此无法跟踪客户端的各种信息，session的出现改变这一状况。当用户浏览一个支持session功能的cgi脚本时，在他离开这个网页前可以将用户信息保存在同意session id之下，也就是可以在不同的网页之间偕同存取用户信息。

如果不使用php的安全模式或在suexec下以cgi方式运行php，那么监视你的文件的内容就不可能实现。此时唯一防止别人读取数据的方法是尽快把数据保存到数据库中。

（3）检查用户输入

per1语言有个特性叫污点检测(taint checking)。当污点检测生效时，即使没有发生重大错误，你也不能运行含有可疑变量的函数。一个变量，当它的值是用户提供数据的一部分或全部时就变成可疑的了，因为这些数据被认为是不安全的。这样可提高系统安性。 php没有这个特性，但php有escapeshellcmd函数，可以达到同样的效果。另一个不让用户滥用脚本的方法是只允许使用经过严格检查的输入。

（4）使用最新的php版本 4.2.xx

在很长一段时间内，php作为服务器端脚本语言的最大卖点之一就是会为从表单提交的值自动建立一个全局变量。在php 4.1中，php的制作者们推荐了一个访问提交数据的替代手段。在php 4.2中，他们取消了那种老的做法。在php 4.1中，添加了一组特殊数据以访问外部数据。这些数组可以在任何范围内调用，这使得外部数据的访问更方便。在php 4.2中，register_globals被默认关闭以鼓励使用这些数组以避免无经验的开发者编写出不安全的php代码。作出这样的变化是出于安全性的考虑的。

三、总结

彻底安全的系统从理论上讲不可能，因此我们所指安全性只是在代价与可用性间作平衡。若是用户提交的每一个变量都要求有生物学验证(如指纹鉴定)，则将获得极高水平的可靠性。但是也会造成用户填写一个表格就要几十分钟。这时用户就会采取绕过安全验证的方法。一个系统的可靠性只能由整个链条中最薄弱的环节来决定。在任何安全系统里面，人是最脆弱的连接，单单技术本身不能让系统安全。

php 还处在不断发展的过程中，你需要经常关注他的安全信息。这里笔者推荐你经常关注安全焦点(www.security-focus.com )和packetstorm(www.packetstorm.com )。