検索
ホームページバックエンド開発PHPチュートリアルHTTP 攻撃と防御 PHP セキュリティ構成

1セキュリティとは

いわゆるセキュリティとは、Web アプリケーションや Web ページをハッカーによる攻撃から保護することです。純粋に楽しみのために他人のコンピュータに侵入するハッカーもいますが、さらに多くのハッカーは、目的を達成するために他人のコンピュータから機密ファイルを盗んだり、コンピュータ全体を麻痺させたりするためにあらゆる手段を講じます。インターネット上にはハッカーが使用できるソフトウェアが多数あり、それらのソフトウェアのほとんどは無料で使いやすいため、一般の人がコンピュータを攻撃することはそれほど難しくありません。重要なのは、コンピュータにどのような保護が施されているかです。ウイルス チェック ソフトウェアやファイアウォールをインストールするだけですべてが安全であると考えている場合、セキュリティの本当の意味を理解していません。


2 register global

PHP4.2.0 以降、php.ini の register_global オプションのデフォルト値はデフォルトで Off です。 register_globals が On に設定されている場合、プログラムはフォームによって送信された変数を含むさまざまな環境変数をサーバーから受け取ることができます。また、PHP は変数の値を事前に初期化する必要がないため、大きなセキュリティ リスクにつながります。たとえば、HTML フォームのリクエスト変数です。 PHPは変数値を事前に初期化する必要がないため、安全でないコードを書きやすくなります。これは難しい選択でしたが、PHP コミュニティはこのオプションをデフォルトでオフにすることを決定しました。オンにすると、人々は変数を使用するときにその変数がどこから来たのか本当に分からなくなり、それを当然のこととして受け入れることしかできなくなります。しかし、 register_globals をオフにすると、コード内の変数とクライアントから送信された変数が混在するという悪い状況が変わります。


3 セーフ モード

セーフ モード (safe_mode) は、ドキュメントへのアクセスを制限し、環境変数へのアクセスを制限し、外部プログラムの実行を制御するために PHP によって使用されます。

ウェブサイトサーバーはシングルシステムユーザーモードで実行されるため、このシステムのユーザーアカウントは各ユーザーのドキュメントを読み取ることができる必要があります。これは、Web サイト サーバー上で実行されるコード ファイルが各ユーザーのファイルにアクセスできることを意味します。 PHP のセーフ モードは、プログラムの安全な動作を保証するために、マルチユーザー システムにいくつかの制限的なオプションを設定します。セーフ モードでは PHP ドキュメントのみを制限できますが、PHP によって実行される外部アプリケーションを制限することはできません。したがって、実行可能アプリケーションを安全なフォルダーに配置し、外部ユーザーによる実行を許可しないでください。 PHP のセーフ モードを開始し、php.ini ファイルのsafe_mode オプション (ディレクティブ) を On に設定します:

safe_mode = On


例 1:

test.php の内容は次のとおりです。

<?php if($authorized){        echo "变量赋值";    }else{        echo "变量没有赋值";    }

php.ini で register_globals=Off の場合

アクセス URL: http://localhost/test.php?authorized=1

出力結果:

変数には値がありません割り当てられました。


php.ini で register_globals=On の場合

攻撃:

変数は初期化されておらず、URL を通じて変数に値を割り当てることができます

出力結果は

変数の代入


保護:

URLを介した変数割り当てへの攻撃を防ぐための変数の初期化。

コードを次のように変更する必要があります:

<?php $authorized=false;    if($authorized){        echo "变量赋值";    }else{        echo "变量没有赋值";    }

ケース 2:

例: test.php の内容は次のとおりです:

<?phpif (isset($_SESSION['username'])){        echo "访问者:".$_SESSION['username'];}else{        echo "访问者尚未登陆";}

http://localhost/test.php にアクセスする場合、

出力: ユーザーがログインしていませんにアクセスします


攻撃:

URL の後に ?_SESSION[username]=admin

を追加します

つまり: http://localhost/test.php?_SESSION[username]= admin

出力: 訪問者: admin


保護:

session_start() はセッションを開き、セッション内の値を取得し、URL を介したセッション変数へのインジェクション攻撃を防ぎます。

コードは

に変更されます


<?phpsession_start ();if(isset($_SESSION['username'])){        echo "访问者:".$_SESSION['username'];}else{        echo "访问者尚未登陆";}

ケース3:

php.iniでallow_url_fopen = Onの場合

demo.phpの内容は次のとおりです:

<?php @include "$path";if(!isset($path)){        echo "文件没有被调用";}
testの内容.phpは:


<?phpecho "this is test.php。文件被调用。";

URL にアクセスした場合:

http://localhost/demo.php

出力: ファイルは呼び出されませんでした。


攻撃:

リンクの後のSplice ?path=test.php

つまり: http://localhost/demo.php?path=test.phpにアクセスします

出力: これはtest.phpです。ファイルが呼び出されます。


保護:

パス変数の初期化については上記と同じ。

注:

ini_get_all 関数を呼び出して、PHP 設定値を表示できます。

例:

<?php echo "<pre class="brush:php;toolbar:false">";        print_r(ini_get_all());        echo "
";

実行結果部分は次のとおりです:




<?phpini_set ("allow_url_fopen",1);



を介してphpファイルの構成を変更できます。


声明
この記事の内容はネチズンが自主的に寄稿したものであり、著作権は原著者に帰属します。このサイトは、それに相当する法的責任を負いません。盗作または侵害の疑いのあるコンテンツを見つけた場合は、admin@php.cn までご連絡ください。
PHPの現在のステータス:Web開発動向を見てくださいPHPの現在のステータス:Web開発動向を見てくださいApr 13, 2025 am 12:20 AM

PHPは、現代のWeb開発、特にコンテンツ管理とeコマースプラットフォームで依然として重要です。 1)PHPには、LaravelやSymfonyなどの豊富なエコシステムと強力なフレームワークサポートがあります。 2)パフォーマンスの最適化は、Opcacheとnginxを通じて達成できます。 3)PHP8.0は、パフォーマンスを改善するためにJITコンパイラを導入します。 4)クラウドネイティブアプリケーションは、DockerおよびKubernetesを介して展開され、柔軟性とスケーラビリティを向上させます。

PHP対その他の言語:比較PHP対その他の言語:比較Apr 13, 2025 am 12:19 AM

PHPは、特に迅速な開発や動的なコンテンツの処理に適していますが、データサイエンスとエンタープライズレベルのアプリケーションには良くありません。 Pythonと比較して、PHPはWeb開発においてより多くの利点がありますが、データサイエンスの分野ではPythonほど良くありません。 Javaと比較して、PHPはエンタープライズレベルのアプリケーションでより悪化しますが、Web開発により柔軟性があります。 JavaScriptと比較して、PHPはバックエンド開発により簡潔ですが、フロントエンド開発のJavaScriptほど良くありません。

PHP対Python:コア機能と機能PHP対Python:コア機能と機能Apr 13, 2025 am 12:16 AM

PHPとPythonにはそれぞれ独自の利点があり、さまざまなシナリオに適しています。 1.PHPはWeb開発に適しており、組み込みのWebサーバーとRich Functionライブラリを提供します。 2。Pythonは、簡潔な構文と強力な標準ライブラリを備えたデータサイエンスと機械学習に適しています。選択するときは、プロジェクトの要件に基づいて決定する必要があります。

PHP:Web開発の重要な言語PHP:Web開発の重要な言語Apr 13, 2025 am 12:08 AM

PHPは、サーバー側で広く使用されているスクリプト言語で、特にWeb開発に適しています。 1.PHPは、HTMLを埋め込み、HTTP要求と応答を処理し、さまざまなデータベースをサポートできます。 2.PHPは、ダイナミックWebコンテンツ、プロセスフォームデータ、アクセスデータベースなどを生成するために使用され、強力なコミュニティサポートとオープンソースリソースを備えています。 3。PHPは解釈された言語であり、実行プロセスには語彙分析、文法分析、編集、実行が含まれます。 4.PHPは、ユーザー登録システムなどの高度なアプリケーションについてMySQLと組み合わせることができます。 5。PHPをデバッグするときは、error_reporting()やvar_dump()などの関数を使用できます。 6. PHPコードを最適化して、キャッシュメカニズムを使用し、データベースクエリを最適化し、組み込み関数を使用します。 7

PHP:多くのウェブサイトの基礎PHP:多くのウェブサイトの基礎Apr 13, 2025 am 12:07 AM

PHPが多くのWebサイトよりも優先テクノロジースタックである理由には、その使いやすさ、強力なコミュニティサポート、広範な使用が含まれます。 1)初心者に適した学習と使用が簡単です。 2)巨大な開発者コミュニティと豊富なリソースを持っています。 3)WordPress、Drupal、その他のプラットフォームで広く使用されています。 4)Webサーバーとしっかりと統合して、開発の展開を簡素化します。

誇大広告を超えて:今日のPHPの役割の評価誇大広告を超えて:今日のPHPの役割の評価Apr 12, 2025 am 12:17 AM

PHPは、特にWeb開発の分野で、最新のプログラミングで強力で広く使用されているツールのままです。 1)PHPは使いやすく、データベースとシームレスに統合されており、多くの開発者にとって最初の選択肢です。 2)動的コンテンツ生成とオブジェクト指向プログラミングをサポートし、Webサイトを迅速に作成および保守するのに適しています。 3)PHPのパフォーマンスは、データベースクエリをキャッシュおよび最適化することで改善でき、その広範なコミュニティと豊富なエコシステムにより、今日のテクノロジースタックでは依然として重要になります。

PHPの弱い参照は何ですか、そしていつ有用ですか?PHPの弱い参照は何ですか、そしていつ有用ですか?Apr 12, 2025 am 12:13 AM

PHPでは、弱い参照クラスを通じて弱い参照が実装され、ガベージコレクターがオブジェクトの回収を妨げません。弱い参照は、キャッシュシステムやイベントリスナーなどのシナリオに適しています。オブジェクトの生存を保証することはできず、ごみ収集が遅れる可能性があることに注意する必要があります。

PHPで__invoke Magicメソッドを説明してください。PHPで__invoke Magicメソッドを説明してください。Apr 12, 2025 am 12:07 AM

\ _ \ _ Invokeメソッドを使用すると、オブジェクトを関数のように呼び出すことができます。 1。オブジェクトを呼び出すことができるように\ _ \ _呼び出しメソッドを定義します。 2。$ obj(...)構文を使用すると、PHPは\ _ \ _ Invokeメソッドを実行します。 3。ロギングや計算機、コードの柔軟性の向上、読みやすさなどのシナリオに適しています。

See all articles

ホットAIツール

Undresser.AI Undress

Undresser.AI Undress

リアルなヌード写真を作成する AI 搭載アプリ

AI Clothes Remover

AI Clothes Remover

写真から衣服を削除するオンライン AI ツール。

Undress AI Tool

Undress AI Tool

脱衣画像を無料で

Clothoff.io

Clothoff.io

AI衣類リムーバー

AI Hentai Generator

AI Hentai Generator

AIヘンタイを無料で生成します。

ホットツール

Safe Exam Browser

Safe Exam Browser

Safe Exam Browser は、オンライン試験を安全に受験するための安全なブラウザ環境です。このソフトウェアは、あらゆるコンピュータを安全なワークステーションに変えます。あらゆるユーティリティへのアクセスを制御し、学生が無許可のリソースを使用するのを防ぎます。

MantisBT

MantisBT

Mantis は、製品の欠陥追跡を支援するために設計された、導入が簡単な Web ベースの欠陥追跡ツールです。 PHP、MySQL、Web サーバーが必要です。デモおよびホスティング サービスをチェックしてください。

SAP NetWeaver Server Adapter for Eclipse

SAP NetWeaver Server Adapter for Eclipse

Eclipse を SAP NetWeaver アプリケーション サーバーと統合します。

SublimeText3 英語版

SublimeText3 英語版

推奨: Win バージョン、コードプロンプトをサポート!

SublimeText3 Mac版

SublimeText3 Mac版

神レベルのコード編集ソフト(SublimeText3)