Les vulnérabilités de sécurité courantes dans les applications PHP incluent l'injection SQL, les XSS, les vulnérabilités de téléchargement de fichiers et le CSRF. 1. Les instructions de prétraitement doivent être utilisées pour empêcher l'injection SQL, éviter l'épissage des cha?nes SQL et le filtrage de la somme de contr?le des entrées; 2. Empêcher les XSS de s'échapper du contenu avant la sortie, de définir les en-têtes HTTP appropriés et de ne faire confiance à aucune entrée utilisateur; 3. Empêchez les vulnérabilités de téléchargement de fichiers pour vérifier les types de fichiers, renommer et télécharger des fichiers et interdire les répertoires de téléchargement d'exécution des scripts; 4. Empêcher le CSRF doit utiliser des jetons uniques, vérifier les en-têtes des références et d'origine et utiliser des demandes de poste d'opérations sensibles. La sensibilisation à la sécurité doit être renforcée pendant le développement et le mécanisme intégré du cadre doit être utilisé raisonnablement pour améliorer la sécurité.

PHP est toujours le langage sous-jacent pour de nombreuses applications Web, en particulier dans les sites Web de petites et moyennes. Cependant, en raison de sa large portée d'application et de nombreux codes historiques, les programmes PHP sont plus susceptibles de devenir des cibles d'attaque. Si vous développez ou maintenez un site Web PHP, il est très nécessaire de comprendre les vulnérabilités de sécurité courantes et comment les empêcher.

Vulnérabilité d'injection (comme l'injection SQL)

Les vulnérabilités de la classe d'injection sont l'un des problèmes les plus courants et les plus dangereux dans les applications PHP. Par exemple, l'injection SQL signifie que l'utilisateur soumet des instructions SQL malveillantes via des bo?tes d'entrée, des paramètres d'URL, etc., en essayant de contourner la logique du programme et de fonctionner directement la base de données.

Comment l'empêcher?

• Utilisez des instructions préparées: que ce soit un APD ou MySQLI natif, les requêtes paramétrées sont prises en charge, ce qui peut effectivement empêcher l'injection de SQL.
• N'épissiez pas les cha?nes SQL: beaucoup de gens sont habitués à la construction de requêtes SQL par des cha?nes d'épissage, qui est un tabou.
• Filtrage de somme de contr?le des entrées: Par exemple, le champ de bo?te aux lettres doit être conforme au format de bo?te aux lettres, et le champ numérique doit être un entier.

Par exemple, si l'utilisateur entre ' OR '1'='1 , et que vous l'éplipez directement en SQL:

 $ query = "select * chez les utilisateurs où username = '". $ _POST [?Nom d'utilisateur?]. "'";

Cela deviendra:

 SELECT * FROM Users Where Username = '' ou '1' = '1'

Cela permettra de trouver toutes les données utilisateur. Alors, ne vous épelez pas SQL par vous-même et soyez honnête et pratique pour lier les paramètres.

XSS (attaque de script inter-sites)

XSS fait référence à un attaquant insérant un script malveillant dans une page. Lorsque d'autres utilisateurs parcourent la page, le script sera exécuté sur leur navigateur, volant ainsi les cookies, les sessions de détournement, etc.

Comment l'empêcher?

• échappez le contenu avant la sortie: utilisez htmlspecialchars() pour échapper à la sortie du contenu sur la page HTML.
• Définition des en-têtes HTTP appropriés: par exemple, la définition de l'en-tête de Content-Security-Policy pour limiter la page pour charger uniquement les scripts à partir de la source spécifiée.
• Ne faites confiance à aucune entrée utilisateur: y compris les formulaires, les paramètres d'URL, les cookies, etc.

Par exemple, si l'utilisateur quitte un message <script>alert(&#39;xss&#39;)</script> est écrit. Si vous ne vous échappez pas et ne l'affichez pas directement, la personne qui visite la page déclenchera le script. Après avoir été échappé avec htmlspecialchars() , il deviendra du texte normal et ne sera pas exécuté.

Vulnérabilité de téléchargement de fichiers

PHP doit souvent gérer la fonction de téléchargement de fichiers, mais si la vérification n'est pas stricte, elle peut être téléchargée sur des chevaux de Troie, des scripts de porte dérobée, etc., ce qui conduira le serveur piégé.

Comment l'empêcher?

• Vérifiez le type de fichier dans la liste blanche: ne regardez pas seulement l'extension, il est préférable de juger en combinant le type MIME ou l'en-tête de fichier de lecture.
• Renommer le fichier de téléchargement: éviter les utilisateurs téléchargement des fichiers .php ou .phtml et y accéder directement.
• Le répertoire où les fichiers téléchargés sont stockés interdisent l'exécution des scripts: il peut être implémenté en configurant des règles .htaccess (apache) ou nginx.

Par exemple, si un utilisateur télécharge un fichier nommé image.php.jpg , certains systèmes détectent uniquement la dernière extension, qui est facilement contournée. La bonne fa?on consiste à contr?ler strictement le nom du fichier entier, ou simplement à modifier le nom en une cha?ne aléatoire.

CSRF (contrefa?on de demande croisée)

CSRF est un attaquant incitant les utilisateurs à cliquer sur des liens et à les permettre de terminer certaines opérations sans les conna?tre, telles que le transfert d'argent, la suppression de données, etc.

Comment l'empêcher?

• Utilisez un jeton unique: générez un jeton avant chaque opération importante et vérifiez-la du c?té du serveur.
• Vérifiez les en-têtes d'origine et d'origine: bien qu'il ne puisse pas être entièrement invoqué, il peut ajouter une couche de protection.
• Les opérations sensibles utilisent les demandes de poste: les demandes de GET sont plus susceptibles d'être forgées.

Par exemple, si un lien pour supprimer un article est une demande de GET et qu'il n'y a pas de vérification de jeton, l'attaquant doit uniquement induire l'utilisateur à accéder à un lien d'image pour terminer l'opération de suppression.

Ces vulnérabilités ne sont pas rares, mais des problèmes auxquels presque tous les projets PHP sont confrontés. La clé est d'être en sécurité pendant le processus de développement et de ne pas écrire du "code rapide" afin d'économiser des problèmes. Maintenant, de nombreux cadres (comme Laravel) ont de nombreux mécanismes de protection intégrés, mais s'ils sont développés manuellement, vous devez faire ces détails par vous-même. Fondamentalement, tout cela n'est pas compliqué mais facile à ignorer.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!