PHP对于飞速发展的动态网站来说是一门恐怖的语言。它对于新手来说也有很多友好的性质，比如变量不需要定义就可以直接使用。但是，一些类似的这种性质使程序员不会注意到在网站应用方面的一些安全问题。一个非常著名的邮件列表就充满很多条了对PHP应用有漏洞的例子，但一旦你理解了PHP应用中这些基本的漏洞，PHP将变得比其他任何语言都安全。

在这篇文章中，我会详细的说说明在一般PHP程序中常见的导致安全问题的错误。而且会展示给你什么是不能做的，还有这些特殊的漏洞是怎么被发现的，我希望你不但可以懂得怎么来避免这些特殊的错误，而且可以知道它们为什么会导致安全问题。了解每种可能出现的漏洞能帮助你避免在编写PHP程序时发生同样的错误。安全是一个过程，而不是一个产品，通过在开发应用程序的过程中了解安全问题可以让你编出更高效更健壮的代码。

Unvalidated Input Errors 不受重视的输入错误
最常见的PHP安全问题之一就是对用户输入过滤的漏洞。一般用户提交数据都是不可信任的。你应该假设所有所有访问你网站的用户都是恶意的。非正常输入是很多PHP应用程序漏洞的最根本的原因，我们将在后面进行讨论。
现在给大家一个例子，你可以写下面这段代码来允许用户看到可以一个通过执行UNIX中的cal命令来显示特殊月份。

$month = $_GET[month];
$year = $_GET[year];

exec("cal $month $year", $result);
print "<PRE>";
foreach ($result as $r) { print "$r<BR>"; }
print "</PRE>";

这段代码有很多安全问题。比如$_GET[month]和$_GET[year]没有过滤就直接赋给了$month和$year，如果用户输入的月份是1到12之间，而且年份是4位数字当然是没有问题。不过，恶意的用户会在年份后面加上一个";ls -la"，这样他就可以以列表的方式看到你网站的所有目录。更加极端的用户会在年份后面加上";rm -rf"，这样就能删掉你的整个网站！
改正这个安全问题的最好的方法是在接收用户输入的数据时进行检测，使他成为你所希望的格式。不要使用JS来验证，这种验证很容易就能绕过，比如建立一个自己的表单来提交数据，或者用浏览器禁用JS。你应该用PHP代码来确保输入的年份和月份是数字，而且必须是数字。就象下面的代码这样：

$month = $_GET[month];
$year = $_GET[year];

if (!preg_match("/^[0-9]$/", $month)) die("Bad month, please re-enter.");
if (!preg_match("/^[0-9]$/", $year)) die("Bad year, please re-enter.");

exec("cal $month $year", $result);
print "<PRE>";
foreach ($result as $r) { print "$r<BR>"; }
print "</PRE>";

这样的代码就能安全的使用，而不用考虑用户提交的数据会使你的应用程序产生错误，或导致服务器运行用户提交的非法代码。正则表达式是验证数据的一个非常有效的工具。虽然他很难完全掌握，但在这种情况下还是非常实用的。
你应该验证用户提交的数据，来拒绝所有非法的数据。一定不要在没有验证之前接收任何数据，除非你可以确定它一定是安全的数据。这是一个常见的安全问题。但有时，恶意的用户会通过一些方法来提交一些特定的数据，这样可以绕过你的验证，而且会起到有害的作用。
所以你应该严格的验证提交的数据，如果一些字符是不需要的，那么你应该过滤掉这些字符或者直接拒绝接收这些的数据。

Access Control Flaws 非法控制漏洞
这是一个对PHP应用程序来说非必要的验证，但却是十分重要的，就是非法控制。比如有一个管理页，在这个页中可以修改网站的配置，或会显示一些敏感的信息。
你应该在执行每一个PHP应用页面时对用户的权限进行检查。如果你只在首页检查了用户的权限，那么恶意的用户可以直接在地址栏输入地址来进入后面的那些没有进行权限判断的页面。
建议进行严格的检查。如果可能的话，你可以根据用户的IP来判断他们的权限。另一个好的方法是把把你不想让别人访问到的页面放到一个特殊的目录，并用apache中的.htaccess来保护这个目录。
把网站的配置文件放在网站可以直接访问的目录之外。这种配置文件包括数据库的密码和其他一些会让恶意用户利用来攻击你的网站的信息。用PHP的include函数来包含这些文件。虽然做这些事感觉有点多余，但对于网站的安全还是有积极的作用的。
例如我写的PHP应用程序。所有的自定义的函数库都放在一个includes的文件夹中。一般把这些被包含的文件取一个以.php为后缀的文件名，这样就算你所做的保护措施都被绕过了，服务器也会把这些文件当做PHP文件来解析，而不会显示这些文件的内容。www和admin文件夹是唯一的可以通过URL直接访问的文件夹。admin文件夹受到.htaccess的保护，只允许知道储存在.htpasswd中的用户名和密码的用户可以访问。
/home
/httpd
/www.example.com
.htpasswd
/includes
cart.class.php
config.php
/logs
access_log
error_log
/www
index.php
/admin
.htaccess
index.php
你应该设置你的apache的默认主页名是index.php并且确保每个目录都有index.php这个文件。当别人访问这些你不想让别人访问的目录时让他转向到网站的主页，比如存放图片的目录或其他类似的。
千万不要把你的备份文件取文件名为.bak的后缀，并放在可以直接通过URL访问的目录。如果你这样做了，那么在这些文件中的PHP代码将不会被解析，甚至可能会被用户通过URL直接下载。如果这些文件包含密码或其他敏感的信息，那么有可能会被别人知道，甚至可能被搜索引擎，比如GOOGLE，直接搜索到而显示在页面上。一定要把这些文件重新命名为 .bak.php 为后缀的文件，这样会安全一些，不过最好的解决方法还是用象CVS那样控制。CVS学起来有一些复杂，不过你学习的所花的时间会在以后得到回报。这样的系统可以让你把每个不同版本的程序保存在不同的文件夹，如果你的程序以后出了问题，这些以前保存的版本可能会成为你无价的资源。.

[1] [2] [3] 下一页