Sql 漏洞注入防护

  • 数字型的注入漏洞防护
  1. is_numeric(),ctype_digit(),intval() 正则表达式
  2. str_length()限制输入的字符长度

 

  • 字符型的注入漏洞防护
  1. mysql_real_escape_string()过滤
  2. str_length()限制输入的字符长度

 

  • 如何挖掘sql注入漏洞

常见获取变量

$_GET $_POST $_COOKIE $_SERVER

数据库操作函数

mysql_query()

@过滤到报错信息,不显示

 

挖掘执行命令漏洞 | 常见执行命令函数

system()、passthru()、popen()、exec()等函数

搜索

exec,system,popen,passthru,proc_open,shell_exec
						

执行命令管道符%、|、>

测试

0 | dir c:

如何防止命令执行漏洞

escapeshellarg、escapeshellcmd

 

PHP本身的安全配置

PHP
的配置非常灵活,可以通过php.ini, httpd.conf, .htaccess文件(该目录必须设置了AllowOverride AllOptions)进行设置,还可以在脚本程序里使用ini_set()及其他的特定的函数进行设置。通过phpinfo()get_cfg_var()函数可以得到配置选项的各个值。

如果配置选项是唯一PHP_INI_SYSTEM属性的,必须通过php.inihttpd.conf来修改,它们修改的是PHPMaster值,但修改之后必须重启apache才能生效。其中php.ini设置的选项是对Web服务器所有脚本生效,httpd.conf里设置的选项是对该定义的目录下所有脚本生效。

如果还有其他的PHP_INI_USER,  PHP_INI_PERDIR, PHP_INI_ALL属性的选项就可以使用.htaccess文件设置,也可以通过在脚本程序自身用ini_set()函数设定,它们修改的是Local值,改了以后马上生效。但是.htaccess只对当前目录的脚本程序生效,ini_set()函数只对该脚本程序设置ini_set()函数以后的代码生效。各个版本的选项属性可能不尽相同,可以用如下命令查找当前源代码的main.c文件得到所有的选项,以及它的属性:

 

对于上传目录去掉PHP解释功能,可以通过修改httpd.conf实现:

<Directory /usr/local/apache/htdocs/upload>
      php_flag engine off
      #
如果是php3换成php3_engine off
</Directory>

重启apacheupload目录的php文件就不能被apache解释了,即使上传了php文件也没有问题,只能直接显示源码。并不会执行    

 

攻击者可以用户名和口令都输入1' or 1='1绕过验证。

不过幸亏PHP有一个默认的选项magic_quotes_gpc = On,该选项使得从GET, POST, COOKIE来的变量自动加了addslashes()操作。上面SQL语句变成了:

select * from login where user='1\' or 1=\'1' and pass='1\' or 1=\'1'

解决方法:

要求程序员对所有用户提交的要放到SQL语句的变量进行过滤intvalisnumbericmysql escape
即使是数字类型的字段,变量也要用单引号扩起来,MySQL自己会把字串处理成数字。
MySQL里不要给PHP程序高级别权限的用户,只允许对自己的库进行操作,这也避免了程序出现问题被 SELECT INTO OUTFILE ... 这种攻击。

 

警告及错误信息

PHP
默认显示所有的警告及错误信息:

error_reporting  =  E_ALL & ~E_NOTICE
display_errors = On

在平时开发调试时这非常有用,可以根据警告信息马上找到程序错误所在。
正式应用时,警告及错误信息让用户不知所措,而且给攻击者泄漏了脚本所在的物理路径,为攻击者的进一步攻击提供了有利的信息。而且由于自己没有访问到错误的地方,反而不能及时修改程序的错误。所以把PHP的所有警告及错误信息记录到一个日志文件是非常明智的,即不给攻击者泄漏物理路径,又能让自己知道程序错误所在。

修改php.ini中关于Error handling and logging部分内容:

error_reporting  =  E_ALL
display_errors = Off
log_errors = On
error_log = /usr/local/apache/logs/php_error.log

然后重启apache,注意文件/usr/local/apache/logs/php_error.log必需可以让nobody用户可写。

9
disable_functions

如果觉得有些函数还有威胁,可以设置php.ini里的disable_functions(这个选项不能在httpd.conf里设置),比如:

disable_functions = phpinfo, get_cfg_var

可以指定多个函数,用逗号分开。重启apache后,phpinfo, get_cfg_var函数都被禁止了。建议关闭函数phpinfo, get_cfg_var,这两个函数容易泄漏服务器信息,而且没有实际用处。

 

文章来源:刘俊涛的博客 欢迎关注公众号、留言、评论,一起学习。

__________________________________________________________________________________

若有帮助到您,欢迎捐赠支持,您的支持是对我坚持最好的肯定(*^_^*)

posted @ 2019-12-31 17:29  刘俊涛的博客  阅读(379)  评论(0)    收藏  举报