系统的讲解 - PHP WEB 安全防御
常见漏洞
看到上图的漏洞是不是特别熟悉，如果不进行及时防御，就会产生蝴蝶效应。
往下看，可能会找到你要的答案。
sql注入攻击
定义
sql注入攻击是通过web表单提交，在url参数提交或cookie参数提交，将怀有恶意的“字符串”，提交给后台数据库，欺骗服务器执行恶意的sql语句。
案例
//以用户登录为例，当验证用户名和密码是否正确时
$sql = "select * from user where
username = '".$_get['username']."' and
password = '".$_get['password']."'";
用户恶意输入：
$_get['username'] = "' or 1=1 -- '"; $_get['password'] = "123456";
注入后的sql语句：
$sql = "select * from user where username = ''
or 1=1 -- ''and password = '123456'";
执行注入后的sql语句，可以返回 user 表的全部数据。
平时我们可以进行自测，比如使用单引号、双引号，如果是数字进行+1或-1。
sql注入的危害很大，利用sql注入可以进行，拖库、删库、删表、udf提权、读取文件、...
推荐一个开源的自动化的sql注入工具。
sqlmap：
- 支持各种数据库管理系统（mysql、oracle、sql server、sqlite ... ）。
- 支持自动识别密码哈希格式并通过字典破解密码哈希。
- 支持枚举用户、密码、哈希、权限、角色、数据库、数据表和列。
- 支持完全地下载某个数据库中的某个表、某个列。
- 支持在数据库管理系统中搜索指定的数据库名、表名或列名。
- 支持下载或上传文件。
- 支持执行任意命令并回现标准输出。
- 支持布尔型盲注、时间型盲注、基于错误信息的注入、联合查询注入和堆查询注入。
尝试着利用工具，注入自己的项目，发现问题，然后解决问题。
sql注入的危害，远比我们想象的要大！
防御
推荐解决方案是使用 pdo 或 mysqli 的数据库扩展。
php官方文档中介绍，mysql扩展自php 5.5.0起已废弃，并在自php7.0.0开始被移除。
如果已经在用mysql扩展了，可以对传入的每个参数做验证，并使用框架的orm进行查询。
另外：addslashes 和 mysql_real_escape_string 这种转义是不安全的！
xss攻击
定义
xss攻击是一种经常出现在web应用中的计算机安全漏洞，通过web表单提交或在url参数提交将代码植入在用户的使用页面上。
分类
存储型
注入的恶意代码存储在服务器上（常用于留言板、论坛帖子、crm），受害者请求服务器获取信息的时候，这些恶意代码就被浏览器成功执行。
反射型
注入的恶意代码没有存储在服务器上，通过引诱用户点击一个链接到目标网站进行实施攻击。
dom型
注入的恶意代码并未显式的包含在web服务器的响应页面中，但会被页面中的js脚本以变量的形式来访问到的方式来进行实施攻击。
案例
存储型：论坛帖子界面input输入框中，输入 /><script>alert("xss")</script> 进行提交。
反射型：在浏览器输入框中，输入 /xxx.php?name=<script>alert(/xss/)</script>
//dom型，代码举例 <script> var temp = document.url; var temp_new = temp+'test' document.write(decodeuri(temp_new)); </script>
xss的危害有很多，包括盗号，挂马，控制受害者机器想其他网站发起攻击 ...
自测的方法，看见输入框就输入：/><script>alert("xss")</script> 进行提交。
推荐一个专门针对浏览器攻击的框架。
beef ：
防御
简单的防御可以对style、script、image、src、a等等不安全的因素进行过滤或转义。
可以自己封装一个方法，也可以使用框架的自带方法，比如 xss_clean 。
可以利用一些模板引擎避免xss攻击，比如laravel框架使用的blade，还有twig，smarty等。
可以利用http-only，将cookie设置成http-only防止xss攻击。
//设置cookie setcookie($name, $value, $expire, $path, $domain, $secure, $httponly); //然后服务端通过使用 $_cookie 进行验证。
可以使用content security policy，它的实质就是白名单制度。
入门教程请参考：
ssrf攻击
定义
ssrf（server-side request forgery：服务器端请求伪造） 是攻击者伪造服务器端发起的请求，虽然攻击者无法从外网访问内网的系统，但是它通过注入恶意代码从服务端发起，通过服务端就再访问内网的系统，然后获取不该获取的数据。
案例
漏洞主要产生在包含这些方法的代码中，比如 curl、file_get_contents、fsockopen。
//代码片段 <?php $ch = curl_init(); curl_setopt($ch, curlopt_url, $_get['url']); curl_setopt($ch, curlopt_header, false); curl_exec($ch); curl_close($ch);
请求地址：
将url参数修改成，。
将url参数修改成，。
除了 file协议，dict协议，还可以利用gopher协议 和 http/https 协议进行攻击。
可以攻击redis，memcache，内网应用，还可以查看一下敏感文件的信息 等等。
防御
对 curl、file_get_contents、fsockopen 这些方法中的参数进行严格验证！
限制协议只能为http或https，禁止进行跳转。
如果有白名单，解析参数中的url，判断是否在白名单内。
如果没有白名单，解析参数中的url，判断是否为内网ip。
csrf攻击
定义
csrf（cross-site request forgery：跨站请求伪造）是攻击者通过伪装成受信任的用户，盗用受信任用户的身份，用受信任用户的身份发送恶意请求。
从上图看出，完成一次csrf攻击，需要完成两个步骤：
1.登录受信任网站a，本地生成网站a的cookie。
2.未退出网站a的情况下，访问危险网站b。
危害
具体危害要看受信任网站是做什么的，如果是社交网站可以操控发广告，如果是电商网站可以操控购物，如果是银行网站甚至还可以操控转账，......
这样危害会造成个人信息的泄露和财产的损失。
防御
cookie hashing，表单提交或ajax提交，必须使用csrf token。
对于不确定是否有csrf风险的请求，可以使用验证码（尽管体验会变差）。
对于一些重要的操作（修改密码、修改邮箱），必须使用二次验证。
文件上传漏洞
定义
文件上传漏洞是攻击者上传了一个可执行的文件到服务器上执行。
可执行文件包括有病毒、木马、恶意脚本等。
危害
文件上传漏洞与sql注入或xss相比，其风险更大，如果存在上传漏洞攻击者甚至可以直接上传一个webshell脚本到服务器上。
防御
- 文件扩展名检测
- 文件 mime 验证
- 文件重命名
- 文件目录设置不可执行权限
- 设置单独域名的文件服务器
信息泄露
定义
信息泄露主要指用户的手机号、邮箱、密码、身份证、地址等敏感数据泄露，还有服务器上的文件和环境变量等敏感数据泄露，还包括将直接将企业源码上传到开发平台。
案例
比如开发接口时，接口返回明文的手机号。
比如调试代码时，代码中提交了一些调试信息，未进行删除。
......
防御
- 敏感数据脱敏（比如手机号、身份证、邮箱、地址）。
- 服务器上不允许提交包含打印 phpinfo 、$_server 和 调试信息等代码。
- 定期从开发平台扫描关于企业相关的源码项目。
越权
定义
“超出了你自己所拥有的权限，干了你本来不可能干的事情。”
水平越权：用户a未授权可以访问用户b的数据。
垂直越权：未登录用户可以访问需要授权的应用。
举例，本来用户a只能查看自己的订单数据，但是他通过修改url参数就能查看到用户b的订单数据。
未登录的用户，可以访问到后台模块并进行操作。
防御
对于所有涉及到用户数据的操作，必须严格判断当前用户的身份。
对于所有需要权限控制的位置，必须严格检验用户权限级别。
设计缺陷
返回信息过多
举例，登录时进行验证，当用户不存在时，返回“用户不存在”，当用户被禁用时，返回“用户已被禁用”。
避免攻击者进行恶意尝试，不应该返回过多的信息，可以统一返回“用户名或密码错误”。
短信接口被恶意攻击
举例，注册或登录时用户输入手机号码就可直接触发短信接口，这块最容易被攻击者进行短信轰炸。
应该进行增加接口调用限制：
- 设置同一手机号短信发送间隔
- 设置每个ip地址每日最大发送量
- 设置每个手机号每日最大发送量
- 升级验证码，采用滑动拼图、文字点选、图表点选...
- 升级短信接口的验证方法
小结
文章主要讲解了 sql注入攻击、xss攻击、ssrf攻击、csrf攻击、文件上传漏洞、信息泄露、越权、设计缺陷等八大方面，通过这次的梳理，也使我自己对php web安全防御有了一个全面了解。
同时还要时刻保持警惕，所有用户输入的数据都是不值得信任的，接收到的数据必须经过校验和过滤。
也不要轻易相信从网络上发现的代码，在使用第三方类库或代码时抱有怀疑的态度，要多进行调试和验证，看起来没问题的代码可能隐藏了很多的安全隐患。
最后，推荐一款开源的漏洞演示平台，包含了100多个漏洞。
这个是安装在本地的，大家尝试注入恶意代码，同时也警醒自己不要犯这样的错误。
bwapp：
本文欢迎转发，转发请注明作者和出处，谢谢！