|
使用PHP开发网站过程中你注意到这些安全知识了吗？(2) 意的命令。
phpMyAdmin也出现了这个问题，我们可以用它看任何我们想看的文件。但是它在include前，先用file_exist函数判断文件是否存在，而这个file_exist是不支持远程文件的，所以上面第二种办法无法直接使用。但是我们可以利用apache的日志功能，请求一个带php代码的url，这样，something指定为apache的日志也可以执行命令了，但是apache的日志通常比较大，有太多杂乱信息。
http://www.securereality.com.au/sradv00008.txt提到的办法比较巧妙，用file upload的方式把本地的执行命令的脚本上传，会在服务器的文件上传临时目录里产生php8Ta02I之类的文件名，由于这时文件是存在的，所以能通过file_exist函数，从而执行上传文件里的执行脚本。
所以对于include, require函数的使用一定要小心，特别是以包含的文件以参数指定这种方式，参数绝对不能让用户来控制。还有通过修改php.ini文件去掉远程文件包含这个功能。这个在php-4.0.3以前用disable-url-fopen-wrapper 在以后的版本用allow_url_fopen ＝ off来关闭。
4、disable_function
在php-4.0.1，php.ini里引入了一项功能disable_functions , 这个功能比较有用，可以用它禁止一些函数。
比如在php.ini里加上disable_functions = passthru exec system popen 那么在执行这些函数的时候只会提示Warning: system() has been disabled for security reasons.唉，但是也不是没有办法执行系统命令了。因为php采用了很多perl的特性，比如还可以用(`)来执行命令：
<?
$output = `ls -al`;
echo "<pre>$output</pre>";
?>
这个只有设成safe_mode才能避免，可是可恶的safe_mode实在是限制太多了，做其它事情也有些碍手碍脚。
5、file upload
php文件上传的问题在文章http://www.webjx.com/htmldata/2007-06-23/1182581230.html里已经描述的很清楚了，这的确是个比较严重的问题，一般我们要上传的文件也会放在web目录，所以容易给攻击者得到系统的一些web用户能读的文件。
幸亏在php-4.0.3以后提供了is_uploaded_file和move_uploaded_file函数。所以php-4.0.3以上的上传文件的程序一定不要再用copy函数了，用move_uploaded_file代替，它会检查是否是上传的文件。如果是php-4.0.2及以下的，建议在copy前加一个函数：
function is_uploaded_file($filename) {
if (!$tmp_file = get_cfg_var('upload_tmp_dir')) {
$tmp_file = dirname(tempnam('', ''));
}
$tmp_file.='/'.basename($filename);
/* User might have trailing slash in php.ini... */
return (ereg_replace('/+', '/', $tmp_file) == $filename);
}
这个漏洞在安全焦点呆了很久，只是在copy之前有很多验证阿、判断阿的语句，所以使之攻击存在相当的难度。
还有，千万不要以环境变量、Cookie变量、session变量等作为关系生死的判断条件，因为这些变量太容易被伪造了。
呵呵，手头事情比较多，其它慢慢想到了再加吧，也欢迎其他同志任意的添加修改之。
|
