PHP turvafunktsioon: strip_tags, filter_var, Md5 ja sha1

Võimalikud julgeolekuohud

Põhimõtteliselt on kaks inimrühma, kes saavad teie süsteemi rünnata:

• Häkkerid – eesmärgiga pääseda juurde volitamata andmetele või häirida rakendust
• Kasutajad – nad võivad tahtmatult vormidesse valesid parameetreid sisestada, millel võib olla veebisaidile või veebirakendusele negatiivne mõju.

Järgmised on rünnakute liigid, millele peame tähelepanu pöörama.

SQL Injection – seda tüüpi rünnak lisab kahjulikku koodi SQL avaldused.

Seda tehakse kas kasutaja sisestusvormide või URLs, mis kasutavad muutujaid.

Lisatud kood kommenteerib SQL-lause WHERE-klausli tingimuse välja. Lisatud kood saab ka:

• sisestage tingimus, mis on alati tõsi
• kustutada andmed tabelist
• värskendada andmeid tabelis

Seda tüüpi rünnakuid kasutatakse tavaliselt rakendusele volitamata juurdepääsu saamiseks.

Saidiülene skriptimine (XSS) – seda tüüpi rünnak lisab tavaliselt kahjuliku koodi JavaSkript. Seda tehakse kasutaja sisestusvormide, näiteks kontaktvormide ja kommentaaride abil. Seda tehakse järgmiseks:

• Hankige tundlikku teavet, näiteks küpsiste andmed
• Suuna kasutaja teisele lehele URL.

Muud ohud võivad hõlmata PHP koodi süstimist, shelli süstimist, e-posti süstimist ja skripti lähtekoodi avalikustamist.

PHP rakenduste turvalisuse parimad tavad

Vaatame nüüd mõningaid PHP turvalisuse parimaid tavasid, mida peame arendamisel arvesse võtma.ping meie rakendused.

PHP strip_tags

Funktsioon strip_tags eemaldab HTML-i, JavaScriptvõi PHP-silte stringist.

See funktsioon on kasulik, kui peame oma rakendust kaitsma selliste rünnakute eest nagu saidiülene skriptimine.

Vaatleme rakendust, mis võtab kasutajatelt kommentaare vastu.

<?php
 
$user_input = "Your site rocks";
 
echo "<h4>My Commenting System</h4>";
 
echo $user_input;
 
?>

Eeldades, et olete salvestanud comments.php faili phptuts kausta, sirvige seda URL http://localhost/phptuts/comments.php

Oletame, et saate kasutaja sisendina järgmise: alert(‘Your site sucks!’);

<?php
 
$user_input = "<script>alert(0);</script>";
 
echo "<h4>My Commenting System</h4>";
 
echo $user_input;
 
?>

Sirvige jaotist URL http://localhost/phptuts/comments.php

Kaitskem nüüd oma rakendust selliste rünnakute eest funktsiooni strip_tags abil.

<?php
 
$user_input = "<script>alert(0);</script>";
 
echo strip_tags($user_input);
 
?>

Sirvige jaotist URL http://localhost/phptuts/comments.php

PHP filter_var funktsioon

Funktsiooni filter_var kasutatakse andmete kinnitamiseks ja puhastamiseks.

Valideerimine kontrollib, kas andmed on õiget tüüpi. Stringi numbriline valideerimiskontroll annab vale tulemuse.

Desinfitseerimine on keelatud tähemärkide eemaldamine a nöör.

Täieliku viite saamiseks vaadake seda linki: filter_var

Allolev kood on kommenteerimissüsteemi jaoks. See kasutab siltide eemaldamiseks funktsiooni filter_var ja konstanti FILTER_SANITIZE_STRIPPED.

<?php
 
$user_input = "<script>alert(0);</script>";
 
echo filter_var($user_input, FILTER_SANITIZE_STRIPPED);
 
?>

Väljund:

alert('Your site sucks!');

Märge: FILTER_SANITIZE_STRIPPED (FILTER_SANITIZE_STRING alias) on alates PHP 8.1 aegunud. Uue koodi jaoks kasutage strip_tags() või turvaliseks kuvamiseks htmlspecialchars().

PHP mysqli_real_escape_string

Funktsiooni mysqli_real_escape_string kasutatakse rakenduse kaitsmiseks SQL-süstimise eest.

Oletame, et meil on kasutajanime ja parooli valideerimiseks järgmine SQL-lause.

<?php
SELECT uid,pwd,role FROM users WHERE uid = 'admin' AND password = 'pass';
?>

Pahatahtlik kasutaja saab siseneda ' VÕI 1 = 1 — kasutajatunnuse tekstikastis ja parooli tekstikastis 1234. Kodeerime autentimismooduli.

<?php
 
$uid = "0$uid1$pwd';";
 
echo $sql;
 
?>

Lõpptulemus on:

SELECT uid,pwd,role FROM users WHERE uid = '' OR 1 = 1 -- ' AND password = '1234';

SIIN,

• „WHERE uid = ”” kontrollib tühja kasutaja ID-d
• „' VÕI 1 = 1” on tingimus, mis on alati tõene
• „–“ kommenteerib osa, mis parooli kontrollib.

Ülaltoodud päring tagastab kõik kasutajad. Kasutame nüüd funktsiooni mysqli_real_escape_string oma sisselogimismooduli turvamiseks. Pane tähele, et päris koodis võtab see funktsioon oma esimese argumendina andmebaasiühenduse.

<?php
 
$uid = mysqli_real_escape_string($conn, "0$uid1$pwd';";
 
echo $sql;
 
?>

Ülaltoodud kood annab välja järgmise tulemuse:

SELECT uid,pwd,role FROM users WHERE uid = '\' OR 1 = 1 -- ' AND password = '1234';

Märkus: teine ​​üksikkoma on asendatud, seega käsitletakse seda kasutajatunnuse osana ja parooli välja ei kommenteerita.

Parim harjutus: põgenedaping aitab, aga parameetritega ettevalmistatud laused MySQL-is või PDO-s on soovitatav kaitse SQL-süstimise vastu, kuna andmeid ei segata kunagi päringu tekstiga.

PHP Md5 ja PHP sha1

MD5 on lühend sõnadest Message Digest 5 ja SHA1 on lühend sõnadest Secure Hash Algorithm 1. Mõlemad on ühesuunalised räsifunktsioonid.

Allolev kood näitab md5 ja sha1 rakendamist.

<?php
echo "MD5 Hash: " . md5("password");
echo "SHA1 Hash: " . sha1("password");
?>

Eeldades, et olete salvestanud faili hashes.php kausta phptuts, sirvige URL.

NB! MD5 ja SHA1 on kiired, soolamata räsiväärtused ja on ei peeta enam paroolide salvestamiseks ohutuks, sest neid saab tänapäevase riistvara ja vikerkaaretabelitega kiiresti lahti murda. Kasutage neid ainult mitteturvaliste kontrollsummade jaoks ja paroolide jaoks allolevat meetodit.

Kuidas PHP-s paroole turvaliselt räsi abil salvestada

Paroolide salvestamiseks pakub PHP password_hash ja password_verify. Need rakendavad aeglast, soolatud algoritmi (vaikimisi bcrypt), seega on iga räsi unikaalne ja selle murdmine kulukas isegi siis, kui teie andmebaas varastatakse.

<?php
// Hash a password before storing it in the database
$hash = password_hash("mypassword", PASSWORD_DEFAULT);
 
// Verify the password when the user logs in
if (password_verify("mypassword", $hash)) {
    echo "Password is valid";
} else {
    echo "Invalid password";
}
?>

• password_hash() genereerib andmebaasi salvestamiseks soolatud räsi; PASSWORD_DEFAULT hoiab teid praeguse soovitusliku algoritmi juures.
• parooli_kinnitamine() kontrollib sisselogimiskatset salvestatud räsi suhtes seda kunagi dekrüpteerimata.

Kuna sool ja algoritm salvestatakse räsi sisse, ei halda te neid kunagi ise, mis teeb sellest PHP-s paroolide haldamise õige ja tulevikukindla viisi.

KKK