个人中心
文章发布
退出
作者热门文章
- android - RelativeLayout 背景可绘制重叠内容
- android - 如何链接 cpufeatures lib 以获取 native android 库？
- java - OnItemClickListener 不起作用，但 OnLongItemClickListener 在自定义 ListView 中起作用
- java - Android 文件转字符串
24
4
我正在编写一个由 PHP 和 MySQL 提供支持的动态站点(将在 WAMP 服务器上运行)。我目前担心的是网站的安全性，但是它没有保存任何用户输入然后为任何用户(管理员除外)输出的功能，所以我并不是真的担心 XSS。我主要关心的是防止 SQL 注入(inject)攻击和保护管理员登录门户免受彩虹表/暴力破解。
1) 结合使用 mysql_real_escape_string 和 sprintf() 是否可以防止 SQL 注入(inject)？例如，
$thing = mysql_real_escape_string($_REQUEST['thing'])
$query = sprintf("SELECT * FROM table WHERE thing='%s'", $thing);
$result = mysql_query($query);
这足够安全吗？当然，没有系统是绝对安全的，但我知道准备好的语句应该是防止 SQL 注入(inject)的最佳方法。但是，如果我的代码“足够安全”，那么我认为没有理由进行更改。我在某处读到，出于安全原因，mysql_query 默认情况下每次调用只允许一个 MySQL 查询，对吗？如果是这样，我看不出如何对我的代码进行任何注入(inject)，但请让我知道我的逻辑是否存在缺陷。
2) 我正在为该网站编写一个管理门户，以便它的所有者可以在网站上以一种简单、用户友好的方式操作 MySQL 数据库(从一个没有从任何地方链接到的登录 HTML 文件在网站上)。我在这里对安全性的关注是登录过程，它由两个页面组成。首先，收集用户登录信息:
<!DOCTYPE HTML PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<html xml:lang="en" xmlns="http://www.w3.org/1999/xhtml" lang="en">
<head>
<title>Admin Portal</title>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<meta name="robots" content="noindex, nofollow">
<link rel="stylesheet" type="text/css" href="http://www.anotherdomain.com/my.css">
<script type="text/javascript" src="http://www.anotherdomain.com/my.js"></script>
</head>
<form method="post" action="admin/login.php">
<table align="center">
<tr><th>Admin Login Form</th></tr>
<tr><td>Name</td><td><input type="text" name="Name" size="30" onKeyPress="return aJSFunctionToStopEnterKeyFromWorking(event)"></td></tr>
<tr><td>Password</td><td><input type="password" name="Password" size="30" onKeyPress="return aJSFunctionToStopEnterKeyFromWorking(event)"></td></tr>
<tr><td></td><td><input type="reset" value="Clear Form"> <input type="submit" value="Login"></td></tr>
</table>
</form>
二、实际登录脚本:
<?php
$inputusername = $_POST['Name'];
$inputpassword = $_POST['Password'];
$username = "a username that is not obvious";
$password = "a password that is at least 10 characters long";
$salt = hash('sha512', "a messed up string with weird characters that I wrote");
$hashword = hash('sha512', $password . $salt);
$inputhashword = hash('sha512', $inputpassword . $salt);
if($username == $inputusername && $hashword == $inputhashword) {
session_start();
$_SESSION['valid'] = 1;
header('Location: portal.php');
exit;
}
else {echo "Invalid username or password";}
?>
然后在登录过程之后，每个页面都会有以下内容以确保管理员已登录:
<?php
session_start();
if(!$_SESSION['valid']) {header('Location: ../admin.html');}
?>
Portal page goes here
由于没有创建新用户，门户网站永远只有一个用户。我只是想知道这种登录方法对彩虹表和暴力破解等攻击的安全性如何？我假设，因为我将哈希字和盐都设置得非常大，所以即使用户名不知何故是已知的，它也应该很安全地免受此类攻击。
我也想知道这是否可以防止 session 劫持，因为这是我听说过的一个术语，但我不太了解......我知道我从来没有扔过 session ID 或任何类似的东西，所以它看起来很安全。
3) 我应该知道/考虑的任何其他安全问题？
我非常感谢在这方面得到的任何帮助!
最佳答案
其他需要考虑的点:
<强>1。你很容易受到暴力攻击
字典攻击会破解您的密码。由于绝大多数用户的密码不安全，这只是时间问题。使用验证码，或记录无效条目。或者在密码不正确时增加一些延迟。
正如 Col. Shrapnel 所说，彩虹表对您来说不是问题，因为当有人拥有一堆哈希值并想要破解它们时会用到它们。盐用于获得一些防止彩虹 table 的保护，这不是你的情况。
<强>2。您正在以明文形式发送密码
如果有人嗅探到您的登录信息(例如 wifi)，您就完蛋了。有一些 javascript 库可以使用公钥加密任何东西。如果你不想使用SSL，将登录/密码加密，发送到服务器，使用私钥解密，你更安全。
<强>3。考虑在 MySQL 上使用准备好的语句
使用准备好的语句有助于防止 SQL 注入(inject)，因为即使有恶意输入，它也可以安全运行:
$dbc = new mysqli("mysql_server_ip", "mysqluser", "mysqlpass", "dbname");
$statement = $db_connection->prepare("SELECT * FROM table WHERE thing='?'");
$statement->bind_param("i", $thing);
$statement->execute();
<强>4。不要依赖客户端验证
在您的登录表单上，您依赖于阻止 Enter 键运行的 javascript 函数。如果我禁用 Javascript 怎么办？您可以使用隐藏字段(例如 < input type='hidden' name='FormIsValid' value='0' >)，使用您的函数来防止输入键，并使用 onSubmit() 函数将 FormIsValid 更改为 1 之前发送表格。在您的服务器中，验证 FormIsValid。
<强>5。您很容易受到 session 劫持
您的 session 保存在一个 cookie 上，默认名为 PHPSESSID。如果攻击者可以获得该 cookie，它可以将其发送到您的服务器并窃取您的 session 。为防止这种情况，您可以在 session 中保存用户 IP 地址和用户代理，并比较每次请求时从 session 中收到的值。如果值不匹配，则用户 IP 可能已更改或 session 可能已被劫持。
6.您可能容易受到 session 固定的影响
如上所述，如果有人说服您的管理员访问某个站点，并且该站点向您的站点发送请求并在请求中包含 PHPSESSID，您的站点将创建 session 、处理登录名/密码，并声明凭据是错误的。到现在为止还不错。
稍后，您的管理员登录到您的门户， session 已经存在，登录名和密码匹配， session 已更新。变量 valid 现在是 1。
一旦变量被更新，攻击者就可以完全访问您的门户，因为他知道 PHPSESSID，您的站点不会阻止 session 劫持或 session 固定。
要避免 session 固定和劫持，请参阅#5。
关于php - 动态网站安全问题(PHP+MySQL)，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/5651761/
24
4
0
我在 JavaScript 文件中运行 PHP，例如...... var = '';). 我需要使用 JavaScript 来扫描字符串中的 PHP 定界符(打开和关闭 PHP 的 )。 我已经知道使
我希望能够做这样的事情: php --determine-oldest-supported-php-version test.php 并得到这个输出: 7.2 也就是说，php 二进制检查 test.
我正在开发一个目前不使用任何框架的大型 php 站点。我的大问题是，随着时间的推移慢慢尝试将框架融入应用程序是否可取，例如在创建的新部件和更新的旧部件中？ 比如所有的页面都是直接通过url服务的，有几
下面是我的源代码，我想在同一页面顶部的另一个 php 脚本中使用位于底部 php 脚本的变量 $r1。我需要一个简单的解决方案来解决这个问题。我想在代码中存在的更新查询中使用该变量。 $name)
我正在制作一个网站，根据不同的情况进行大量 PHP 重定向。就像这样...... header("Location: somesite.com/redirectedpage.php"); 为了安全起见
我有一个旧网站，我的 php 标签从 因为短标签已经显示出安全问题，并且在未来的版本中将不被支持。 关于php - 如何避免在 php 文件中写入
我有一个用 PHP 编写的配置文件，如下所示， 所以我想用PHP开发一个接口(interface)，它可以编辑文件值，如$WEBPATH , $ACCOUNTPATH和 const值(value)观
我试图制作一个登录页面来学习基本的PHP，首先我希望我的独立PHP文件存储HTML文件的输入(带有表单)，但是当我按下按钮时(触发POST到PHP脚本) )我一直收到令人不愉快的错误。 我已经搜索了S
我正在寻找一种让 PHP 以一种形式打印任意数组的方法，我可以将该数组作为赋值包含在我的(测试)代码中。 print_r 产生例如: Array ( [0] => qsr-part:1285 [1]
这个问题已经有答案了: 已关闭11 年前。 Possible Duplicate: What is the max key size for an array in PHP? 正如标题所说，我想知道
我正在寻找一种让 PHP 以一种形式打印任意数组的方法，我可以将该数组作为赋值包含在我的(测试)代码中。 print_r 产生例如: Array ( [0] => qsr-part:1285 [1]
关闭。这个问题需要多问focused 。目前不接受答案。 想要改进此问题吗？更新问题，使其仅关注一个问题 editing this post . 已关闭 9 年前。 Improve this ques
我在 MySQL 数据库中有一个表，其中存储餐厅在每个工作日和时段提供的菜单。 表结构如下: i_type i_name i_cost i_day i_start i_
我有两页。 test1.php 和 test2.php。 我想做的就是在 test1.php 上点击提交，并将 test2.php 显示在 div 中。这实际上工作正常，但我需要向 test2.php
我得到了这个代码。我想通过textarea更新mysql。我在textarea中回显我的MySQL，但我不知道如何更新它，我应该把所有东西都放进去吗，因为_GET模式没有给我任何东西，我也尝试_GET
首先，我是 php 的新手，所以我仍在努力学习。我在 Wordpress 上创建了一个表单，我想将值插入一个表(data_test 表，我已经管理了)，然后从 data_test 表中获取所有列(id
我有以下函数可以清理用户或网址的输入: function SanitizeString($var) { $var=stripslashes($var); $va
我有一个 html 页面，它使用 php 文件查询数据库，然后让用户登录，否则拒绝访问。我遇到的问题是它只是重定向到 php 文件的 url，并且从不对发生的事情提供反馈。这是我第一次使用 html、
我有一个页面充满了指向 pdf 的链接，我想跟踪哪些链接被单击。我以为我可以做如下的事情，但遇到了问题: query($sql); if($result){
我正在使用 从外部文本文件加载 HTML/PHP 代码 $f = fopen($filename, "r"); while ($line = fgets($f, 4096)) { print $l
我是一名优秀的程序员,十分优秀！