PHP安全配置(3)

金光

  5、文件上传 php的文件上传机制是把用户上传的文件保存在php.ini的upload_tmp_dir定义的临时目录（默认是系统的临时目
录，如：/tmp）里的一个类似phpxXuoXG的随机临时文件，程序执行结束，该临时文件也被删除。PHP给上传的文件定义了四个变
量：（如form变量名是file，而且register_globals打开） $file #就是保存到服务器端的临时文件（如/tmp/phpxXuoXG ）
$file_size #上传文件的大小 $file_name #上传文件的原始名称 $file_type #上传文件的类型 推荐使用： $HTTP_POST_FILES
['file']['tmp_name'] $HTTP_POST_FILES['file']['size'] $HTTP_POST_FILES['file']['name'] $HTTP_POST_FILES['file']
['type'] 这是一个最简单的文件上传代码： //test_5.php if(isset($upload) && $file != none) { copy($file,
/usr/local/apache/htdocs/upload/.$file_name); echo 文件.$file_name.上传成功！点击继续上传; exit; } ?>  上传文件:  
这样的上传代码存在读取任意文件和执行命令的重大问题。 下面的请求可以把/etc/passwd文档拷贝到web目
录/usr/local/apache/htdocs/test（注意：这个目录必须nobody可写）下的attack.txt文件里： http://victim/test_5.php?
upload=1&file=/etc/passwd&file_name=attack.txt 然后可以用如下请求读取口令文件： http://victim/test/attack.txt 攻
击者可以把php文件拷贝成其它扩展名，泄漏脚本源代码。 攻击者可以自定义form里file_name变量的值，上传覆盖任意有写权限
的文件。 攻击者还可以上传PHP脚本执行主机的命令。 解决方法： PHP-4.0.3以后提供了is_uploaded_file和
move_uploaded_file函数，可以检查操作的文件是否是用户上传的文件，从而避免把系统文件拷贝到web目录。 使用
$HTTP_POST_FILES数组来读取用户上传的文件变量。 严格检查上传变量。比如不允许是php脚本文件。 把PHP脚本操作限制在web
目录可以避免程序员使用copy函数把系统文件拷贝到web目录。move_uploaded_file不受open_basedir的限制，所以不必修改
php.ini里upload_tmp_dir的值。 把PHP脚本用phpencode进行加密，避免由于copy操作泄漏源码。 严格配置文件和目录的权限，
只允许上传的目录能够让nobody用户可写。 对于上传目录去掉PHP解释功能，可以通过修改httpd.conf实现： php_flag engine
off #如果是php3换成php3_engine off 重启apache，upload目录的php文件就不能被apache解释了，即使上传了php文件也没有问
题，只能直接显示源码。 6、命令执行 下面的代码片断是从PHPNetToolpack摘出，详细的描述见：
http://www.securityfocus.com/bid/4303 //test_6.php system(traceroute $a_query,$ret_strs); ?> 由于程序没有过滤
$a_query变量，所以攻击者可以用分号来追加执行命令。 攻击者输入如下请求可以执行cat /etc/passwd命令：
http://victim/test_6.php?a_query=www.example.com;cat /etc/passwd PHP的命令执行函数还有system(), passthru(), popen
()和``等。命令执行函数非常危险，慎用。如果要使用一定要严格检查用户输入。 解决方法： 要求程序员使用escapeshellcmd
()函数过滤用户输入的shell命令。 启用safe_mode可以杜绝很多执行命令的问题，不过要注意PHP的版本一定要是最新的，小于
PHP-4.2.2的都可能绕过safe_mode的限制去执行命令。 7、sql_inject 如下的SQL语句如果未对变量进行处理就会存在问题：
select * from login where user='$user' and pass='$pass' 攻击者可以用户名和口令都输入1' or 1='1绕过验证。 不过幸亏
PHP有一个默认的选项magic_quotes_gpc = On，该选项使得从GET, POST, COOKIE来的变量自动加了addslashes()操作。上面SQL
语句变成了： select * from login where user='1\' or 1=\'1' and pass='1\' or 1=\'1' 从而避免了此类sql_inject攻击。
对于数字类型的字段，很多程序员会这样写： select * from test where id=$id 由于变量没有用单引号扩起来，就会造成
sql_inject攻击。幸亏MySQL功能简单，没有sqlserver等数据库有执行命令的SQL语句，而且PHP的mysql_query()函数也只允许执
行一条SQL语句，所以用分号隔开多条SQL语句的攻击也不能奏效。但是攻击者起码还可以让查询语句出错，泄漏系统的一些信
息，或者一些意想不到的情况。 解决方法： 要求程序员对所有用户提交的要放到SQL语句的变量进行过滤。 即使是数字类型的
字段，变量也要用单引号扩起来，MySQL自己会把字串处理成数字。 在MySQL里不要给PHP程序高级别权限的用户，只允许对自己
的库进行操作，这也避免了程序出现问题被 SELECT INTO OUTFILE ... 这种攻击。 8、警告及错误信息 PHP默认显示所有的警告
及错误信息： error_reporting = E_ALL & ~E_NOTICE display_errors = On 在平时开发调试时这非常有用，可以根据警告信息
马上找到程序错误所在。 正式应用时，警告及错误信息让用户不知所措，而且给攻击者泄漏了脚本所在的物理路径，为攻击者的
进一步攻击提供了有利的信息。而且由于自己没有访问到错误的地方，反而不能及时修改程序的错误。所以把PHP的所有警告及错
误信息记录到一个日志文件是非常明智的，即不给攻击者泄漏物理路径，又能让自己知道程序错误所在。 修改php.ini中关于
Error handling and logging部分内容： error_reporting = E_ALL display_errors = Off log_errors = On error_log =
/usr/local/apache/logs/php_error.log 然后重启apache，注意文件/usr/local/apache/logs/php_error.log必需可以让nobody
用户可写。 9、disable_functions 如果觉得有些函数还有威胁，可以设置php.ini里的disable_functions（这个选项不能在
httpd.conf里设置），比如： disable_functions = phpinfo, get_cfg_var 可以指定多个函数，用逗号分开。重启apache后，
phpinfo, get_cfg_var函数都被禁止了。建议关闭函数phpinfo, get_cfg_var，这两个函数容易泄漏服务器信息，而且没有实际
用处。 10、disable_classes 这个选项是从PHP-4.3.2开始才有的，它可以禁用某些类，如果有多个用逗号分隔类
名。disable_classes也不能在httpd.conf里设置，只能在php.ini配置文件里修改。 11、open_basedir 前面分析例程的时候也
多次提到用open_basedir对脚本操作路径进行限制，这里再介绍一下它的特性。用open_basedir指定的限制实际上是前缀，不是
目录名。也就是说 open_basedir = /dir/incl 也会允许访问 /dir/include 和 /dir/incls，如果它们存在的话。如果要将访问
限制在仅为指定的目录，用斜线结束路径名。例如：open_basedir = /dir/incl/。 可以设置多个目录，在Windows中，用分号分
隔目录。在任何其它系统中用冒号分隔目录。作为Apache模块时，父目录中的open_basedir路径自动被继承。


转自：  http://edu.chinaz.com

金光

  5、文件上传 php的文件上传机制是把用户上传的文件保存在php.ini的upload_tmp_dir定义的临时目录（默认是系统的临时目
录，如：/tmp）里的一个类似phpxXuoXG的随机临时文件，程序执行结束，该临时文件也被删除。PHP给上传的文件定义了四个变
量：（如form变量名是file，而且register_globals打开） $file #就是保存到服务器端的临时文件（如/tmp/phpxXuoXG ）
$file_size #上传文件的大小 $file_name #上传文件的原始名称 $file_type #上传文件的类型 推荐使用： $HTTP_POST_FILES
['file']['tmp_name'] $HTTP_POST_FILES['file']['size'] $HTTP_POST_FILES['file']['name'] $HTTP_POST_FILES['file']
['type'] 这是一个最简单的文件上传代码： //test_5.php if(isset($upload) && $file != none) { copy($file,
/usr/local/apache/htdocs/upload/.$file_name); echo 文件.$file_name.上传成功！点击继续上传; exit; } ?>  上传文件:  
这样的上传代码存在读取任意文件和执行命令的重大问题。 下面的请求可以把/etc/passwd文档拷贝到web目
录/usr/local/apache/htdocs/test（注意：这个目录必须nobody可写）下的attack.txt文件里： http://victim/test_5.php?
upload=1&file=/etc/passwd&file_name=attack.txt 然后可以用如下请求读取口令文件： http://victim/test/attack.txt 攻
击者可以把php文件拷贝成其它扩展名，泄漏脚本源代码。 攻击者可以自定义form里file_name变量的值，上传覆盖任意有写权限
的文件。 攻击者还可以上传PHP脚本执行主机的命令。 解决方法： PHP-4.0.3以后提供了is_uploaded_file和
move_uploaded_file函数，可以检查操作的文件是否是用户上传的文件，从而避免把系统文件拷贝到web目录。 使用
$HTTP_POST_FILES数组来读取用户上传的文件变量。 严格检查上传变量。比如不允许是php脚本文件。 把PHP脚本操作限制在web
目录可以避免程序员使用copy函数把系统文件拷贝到web目录。move_uploaded_file不受open_basedir的限制，所以不必修改
php.ini里upload_tmp_dir的值。 把PHP脚本用phpencode进行加密，避免由于copy操作泄漏源码。 严格配置文件和目录的权限，
只允许上传的目录能够让nobody用户可写。 对于上传目录去掉PHP解释功能，可以通过修改httpd.conf实现： php_flag engine
off #如果是php3换成php3_engine off 重启apache，upload目录的php文件就不能被apache解释了，即使上传了php文件也没有问
题，只能直接显示源码。 6、命令执行 下面的代码片断是从PHPNetToolpack摘出，详细的描述见：
http://www.securityfocus.com/bid/4303 //test_6.php system(traceroute $a_query,$ret_strs); ?> 由于程序没有过滤
$a_query变量，所以攻击者可以用分号来追加执行命令。 攻击者输入如下请求可以执行cat /etc/passwd命令：
http://victim/test_6.php?a_query=www.example.com;cat /etc/passwd PHP的命令执行函数还有system(), passthru(), popen
()和``等。命令执行函数非常危险，慎用。如果要使用一定要严格检查用户输入。 解决方法： 要求程序员使用escapeshellcmd
()函数过滤用户输入的shell命令。 启用safe_mode可以杜绝很多执行命令的问题，不过要注意PHP的版本一定要是最新的，小于
PHP-4.2.2的都可能绕过safe_mode的限制去执行命令。 7、sql_inject 如下的SQL语句如果未对变量进行处理就会存在问题：
select * from login where user='$user' and pass='$pass' 攻击者可以用户名和口令都输入1' or 1='1绕过验证。 不过幸亏
PHP有一个默认的选项magic_quotes_gpc = On，该选项使得从GET, POST, COOKIE来的变量自动加了addslashes()操作。上面SQL
语句变成了： select * from login where user='1\' or 1=\'1' and pass='1\' or 1=\'1' 从而避免了此类sql_inject攻击。
对于数字类型的字段，很多程序员会这样写： select * from test where id=$id 由于变量没有用单引号扩起来，就会造成
sql_inject攻击。幸亏MySQL功能简单，没有sqlserver等数据库有执行命令的SQL语句，而且PHP的mysql_query()函数也只允许执
行一条SQL语句，所以用分号隔开多条SQL语句的攻击也不能奏效。但是攻击者起码还可以让查询语句出错，泄漏系统的一些信
息，或者一些意想不到的情况。 解决方法： 要求程序员对所有用户提交的要放到SQL语句的变量进行过滤。 即使是数字类型的
字段，变量也要用单引号扩起来，MySQL自己会把字串处理成数字。 在MySQL里不要给PHP程序高级别权限的用户，只允许对自己
的库进行操作，这也避免了程序出现问题被 SELECT INTO OUTFILE ... 这种攻击。 8、警告及错误信息 PHP默认显示所有的警告
及错误信息： error_reporting = E_ALL & ~E_NOTICE display_errors = On 在平时开发调试时这非常有用，可以根据警告信息
马上找到程序错误所在。 正式应用时，警告及错误信息让用户不知所措，而且给攻击者泄漏了脚本所在的物理路径，为攻击者的
进一步攻击提供了有利的信息。而且由于自己没有访问到错误的地方，反而不能及时修改程序的错误。所以把PHP的所有警告及错
误信息记录到一个日志文件是非常明智的，即不给攻击者泄漏物理路径，又能让自己知道程序错误所在。 修改php.ini中关于
Error handling and logging部分内容： error_reporting = E_ALL display_errors = Off log_errors = On error_log =
/usr/local/apache/logs/php_error.log 然后重启apache，注意文件/usr/local/apache/logs/php_error.log必需可以让nobody
用户可写。 9、disable_functions 如果觉得有些函数还有威胁，可以设置php.ini里的disable_functions（这个选项不能在
httpd.conf里设置），比如： disable_functions = phpinfo, get_cfg_var 可以指定多个函数，用逗号分开。重启apache后，
phpinfo, get_cfg_var函数都被禁止了。建议关闭函数phpinfo, get_cfg_var，这两个函数容易泄漏服务器信息，而且没有实际
用处。 10、disable_classes 这个选项是从PHP-4.3.2开始才有的，它可以禁用某些类，如果有多个用逗号分隔类
名。disable_classes也不能在httpd.conf里设置，只能在php.ini配置文件里修改。 11、open_basedir 前面分析例程的时候也
多次提到用open_basedir对脚本操作路径进行限制，这里再介绍一下它的特性。用open_basedir指定的限制实际上是前缀，不是
目录名。也就是说 open_basedir = /dir/incl 也会允许访问 /dir/include 和 /dir/incls，如果它们存在的话。如果要将访问
限制在仅为指定的目录，用斜线结束路径名。例如：open_basedir = /dir/incl/。 可以设置多个目录，在Windows中，用分号分
隔目录。在任何其它系统中用冒号分隔目录。作为Apache模块时，父目录中的open_basedir路径自动被继承。


转自：  http://edu.chinaz.com