PHP에서 SQL 주입을 방지하는 방법

【1. 서버측 설정】

안전, PHP 코드 작성은 한 측면이며 PHP 구성은 매우 중요합니다.

PHP를 수동으로 설치했습니다. PHP의 기본 구성 파일은 /usr/local/apache2/conf/php.ini에 있습니다. 가장 중요한 것은 실행할 수 있도록 php.ini에 콘텐츠를 구성하는 것입니다. PHP가 더 안전합니다. PHP 전체의 보안 설정은 주로 phpshell 및 SQL 주입 공격을 방지하기 위한 것입니다. 먼저 편집 도구를 사용하여 /etc/local/apache2/conf/php.ini를 엽니다. 다른 방법으로 설치하면 구성 파일이 이 디렉터리에 없을 수 있습니다.

(1) PHP 안전 모드 켜기

php의 안전 모드는 system(),
등 PHP의 일부 기능을 제어할 수 있는 매우 중요한 내장 보안 메커니즘입니다. 🎜>동시에 많은 파일 작업 기능의 권한이 제어되며 /etc/passwd와 같은 특정 키 파일은 허용되지 않습니다.

단, 기본 php.ini는 열리지 않습니다. 안전 모드를 활성화합니다:

safe_mode = on

(2) 사용자 그룹 보안

safe_mode가 활성화되면 safe_mode_gid가 꺼지고 php 스크립트가 실행됩니다. 파일에 접근할 수 있으며, 동일한

그룹에 속한 사용자도 파일에 접근할 수 있습니다.

다음으로 설정하는 것이 좋습니다:

safe_mode_gid = off

설정하지 않으면 다음 디렉터리에 있는 파일을 작동하지 못할 수 있습니다. 예를 들어 우리 서버 웹 사이트는

파일 작업을 수행할 때 필요합니다.

(3) 안전 모드에서 프로그램을 실행하기 위한 홈 디렉터리

안전 모드가 켜져 있지만 특정 프로그램을 실행하려는 경우 프로그램을 실행할 홈 디렉터리를 지정할 수 있습니다.

safe_mode_exec_dir = D:/usr/bin

일반적으로 어떤 프로그램도 실행할 필요가 없으므로 시스템 프로그램 디렉터리는 실행하지 않는 것이 좋습니다.

그런 다음 실행해야 할 프로그램을 복사합니다. 예:

safe_mode_exec_dir = D:/tmp/cmd

그러나 어떤 프로그램도 실행하지 않는 것이 좋습니다. 우리 웹 디렉터리를 가리킬 수 있습니다:

safe_mode_exec_dir = D:/usr/www

(4) 안전 모드에서 파일 포함

일부 공개 파일을 포함하려는 경우 안전 모드를 선택한 다음 옵션을 수정하세요:

safe_mode_include_dir = D:/usr/www/include/

사실 일반적으로 PHP 스크립트에 포함된 파일은 프로그램 자체에서 작성되었습니다. 특정 요구에 따라 설정할 수 있습니다.

(5) PHP 스크립트가 액세스할 수 있는 디렉토리 제어

open_basedir 옵션을 사용하여 PHP 스크립트가 지정된 디렉토리에만 액세스할 수 있도록 제어하여 PHP 스크립트가 액세스하는 것을 방지할 수 있습니다

액세스된 파일은 phpshell의 피해를 어느 정도 제한해서는 안 됩니다. 일반적으로 웹사이트 디렉토리에만 액세스하도록 설정할 수 있습니다:

open_basedir = D:/usr/www

(6 ) 위험한 기능 끄기

안전 모드가 켜져 있으면 기능 금지가 꼭 필요한 것은 아니지만 그래도 안전을 위해 고려하고 있습니다. 예를 들어

명령을 실행할 수 있는 system()을 포함한 PHP 함수나 PHP 정보를 볼 수 있는

phpinfo()와 같은 함수를 실행하고 싶지 않다고 느끼면 비활성화할 수 있습니다:

disable_functions = system,passthru,exec,shell_exec,popen,phpinfo

파일 및 디렉터리 작업을 비활성화하려면 많은 파일 작업을 끌 수 있습니다

disable_functions = chdir,chroot,dir,getcwd,opendir,readdir,scandir,fopen,unlink,delete,copy,mkdir, rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown

위에는 일반적으로 사용되는 파일 처리 기능 중 일부만 나열되어 있습니다. 위의 실행 명령 기능을 이 기능과 결합할 수도 있습니다.

는 대부분의 phpshell에 저항할 수 있습니다.

(7) http 헤더에서 PHP 버전 정보 유출 차단

해커가 서버에서 PHP 버전 정보를 얻는 것을 방지하기 위해 http 헤더의 PHP 버전 정보 유출을 차단할 수 있습니다. http 헤더의 정보:

expose_php = Off

예를 들어 해커가 텔넷 www.12345.com 80에 접속하면 PHP 정보를 볼 수 없습니다.

(8) 전역 변수 등록 끄기

POST 또는 GET을 사용하여 제출된 변수를 포함하여 PHP로 제출된 변수는 자동으로 전역 변수로 등록되며 직접 액세스할 수 있습니다.

이것은 서버에 매우 위험하므로 전역 변수로 등록할 수 없으므로 전역 변수 등록 옵션을 끕니다.

register_globals = Off

물론, 이렇게 설정했다면 GET으로 제출된 변수 var를 얻는 등 합리적인 방법을 사용하여 해당 변수를 얻어야 합니다.

그런 다음 $_GET['var']를 사용해야 합니다. 이를 얻으려면 PHP 프로그래머는 이에 주의해야 합니다.

(9) SQL 인젝션을 방지하려면 Magic_quotes_gpc를 켜세요

SQL 인젝션은 아주 작은 경우에는 웹사이트 백엔드까지 침해당하고 최악의 경우 서버 전체를 공격하는 매우 위험한 문제입니다.

그래서 조심하세요. php.ini에는 다음 설정이 있습니다.

magic_quotes_gpc = Off

기본적으로 꺼져 있으면 사용자가 제출한 SQL 쿼리가 자동으로 변환됩니다.

예를 들어 '를'로 변환하는 등의 작업은 SQL 주입을 방지하는 데 중요한 역할을 합니다. 따라서 다음 설정을 권장합니다:

magic_quotes_gpc = On

(10) 오류 메시지 제어

일반적으로 PHP는 데이터베이스에 연결되지 않거나 다른 상황에서 오류 메시지를 표시합니다. 일반적으로 오류 메시지에는

앞의 PHP 스크립트 경로 정보 또는 쿼리의 SQL 문이 포함됩니다. 정보는 해커에게 제공될 수 있으므로 일반적으로 서버에서 오류 메시지를 비활성화하는 것이 좋습니다.

display_errors = Off

오류 메시지를 표시하려면 다음을 수행하세요. 위의 경고 정보만 표시하는 등 오류 표시 수준을 설정합니다.

error_reporting = E_WARNING & E_ERROR

물론, 여전히 오류 프롬프트를 끄는 것이 좋습니다.

(11) 오류 로그

서버 작동 원인을 쉽게 찾을 수 있도록 display_errors를 끈 후 오류 정보를 기록하는 것이 좋습니다:

log_errors = On

동시에 오류 로그가 저장되는 디렉터리도 설정해야 합니다. 루트 아파치 로그를 함께 저장하는 것이 좋습니다.

error_log = D:/usr/local/apache2 /logs/php_error.log

참고: Give 파일은 Apache 사용자 및 그룹에 대한 쓰기 권한을 허용해야 합니다.

제한된 권한으로 MYSQL 실행

mysqlstart와 같은 새 사용자 생성

net user mysqlstart fuckmicrosoft /add

net localgroup users mysqlstart /del

어떤 그룹에도 속하지 않습니다

MYSQL이 d:mysql에 설치된 경우 mysqlstart에 전체 제어 권한을 부여하세요.

그런 다음 시스템 서비스에서 MYSQL 서비스 속성을 설정하세요. 로그인 속성 중 이 사용자 mysqlstart를 선택한 후 비밀번호를 입력하고 확인합니다.

MYSQL 서비스를 다시 시작하면 MYSQL이 낮은 권한으로 실행됩니다.
net user apache fuckmicrosoft /add

net localgroup users apache /del

알겠습니다. 어떤 그룹에도 속하지 않는 사용자 apche를 만들었습니다.

컴퓨터 관리자를 열고, 서비스를 선택하고, Apache 서비스 속성을 클릭하고, 로그온을 선택하고, 이 계정을 선택하고, 위에서 만든 계정과 비밀번호를 입력하고,

다시 시작합니다. 아파치 서비스, 좋아요, 아파치가 낮은 권한으로 실행 중입니다.

실제로 Apache 사용자가 원하는 작업만 수행할 수 있도록 각 폴더의 권한을 설정하고 각 디렉토리에 대해 별도의 읽기-쓰기 사용자를 생성할 수도 있습니다.

이 역시 많은 가상 호스트 제공업체에서 널리 사용하는 구성 방법이지만 이를 방지하기 위해 사용하면 과잉입니다.


[2. PHP 코드 작성]

아직도 많은 국내 PHP 프로그래머들이 SQL 인젝션을 방지하기 위해 추가 래시를 사용하고 있지만, SQL 인젝션을 방지하려면 중국어 검사를 강화하는 것이 좋습니다. addlashes의 문제점은 해커가 0xbf27을 사용하여 작은따옴표를 대체할 수 있는 반면, addlashes는 0xbf27을 0xbf5c27로만 변경하므로 유효한 멀티바이트 문자가 됩니다. 0xbf5c는 여전히 작은따옴표로 간주되므로 addlashes는 성공적으로 가로챌 수 없습니다.

물론 addlashes는 쓸모가 없습니다. 단일 바이트 문자열을 처리하는 데 사용됩니다. 다중 바이트 문자의 경우 mysql_real_escape_string을 사용하세요.
또한 PHP 매뉴얼의 get_magic_quotes_gpc 예는 다음과 같습니다.

if (!get_magic_quotes_gpc()) {

$lastname = addlashes($_POST['lastname']);
} else {
$ lastname = $_POST['lastname'];
}

magic_quotes_gpc가 이미 열려 있는 경우 $_POST['lastname']를 확인하는 것이 가장 좋습니다.
mysql_real_escape_string과 mysql_escape_string 두 함수의 차이점에 대해 이야기해 보겠습니다.
mysql_real_escape_string은 (PHP 4 >= 4.3.0, PHP 5)에서만 사용할 수 있습니다. 그렇지 않으면 mysql_escape_string만 사용할 수 있습니다. 둘 사이의 차이점은 mysql_real_escape_string은 연결의 현재 문자 집합을 고려하지만 mysql_escape_string은 고려하지 않는다는 것입니다.

요약하자면:

* addlashes()는 강제 추가입니다.
* mysql_real_escape_string()은 문자 집합을 결정하지만 PHP 버전에 대한 요구 사항이 있습니다.
* mysql_escape_string은 현재를 고려하지 않습니다. 연결의 문자 집합입니다.
---------------------------------- --- ---------------------------------- ---
PHP로 코딩할 때 기본적인 보안 문제를 고려한다면 우선
1. 변수를 초기화하세요
왜 그렇게 말씀하시나요? 다음 코드를 살펴보겠습니다.
PHP 코드

 <?php     
    if ($admin)     
    {     
    echo &#39;登陆成功！&#39;;     
    include(&#39;admin.php&#39;);     
    }     
    else     
    {     
    echo &#39;你不是管理员，无法进行管理！&#39;;     
    }     
    ?>

좋습니다. 위의 코드는 정상적으로 실행되고 문제가 없는 것으로 보입니다. 그러면 잘못된 매개변수를 제출하면 어떤 영향이 있을까요? 예를 들어, 우리 페이지가 http://daybook.diandian.com/login.php이고 다음을 제출합니다: http://daybook.diandian.com/login.php?admin=1, 하하, 생각해 보세요. 귀하가 직접 관리자이거나 직접 관리할 수 있습니다.
물론 이런 단순한 실수는 하지 않을 수도 있고 아주 은밀한 실수로 인해 이런 문제가 발생할 수도 있습니다. 예를 들어 phpwind 포럼에는 다음과 같은 이유로 관리자 권한을 직접 얻을 수 있는 허점이 있습니다. $skin 변수가 초기화되지 않아 나중에 일련의 문제가 발생합니다. 그렇다면 위의 문제를 어떻게 피할 수 있습니까? 먼저 php.ini로 시작하고 php.ini에서 Register_global =off를 설정하십시오. 이는 등록된 모든 변수가 전역 변수가 아니므로 이를 피할 수 있음을 의미합니다. 하지만 우리는 서버 관리자가 아니며 코드를 통해서만 개선할 수 있습니다. 그렇다면 위 코드를 어떻게 개선할 수 있을까요? 다음과 같이 다시 작성합니다.
PHP 코드

 <?php     
    $admin = 0; // 初始化变量     
    if ($_POST[&#39;admin_user&#39;] && $_POST[&#39;admin_pass&#39;])     
    {     
    // 判断提交的管理员用户名和密码是不是对的相应的处理代码     
    // ...     
    $admin = 1;     
    }     
    else     
    {     
    $admin = 0;     
    }     
    if ($admin)     
    {     
    echo &#39;登陆成功！&#39;;     
    include(&#39;admin.php&#39;);     
    }     
    else     
    {     
    echo &#39;你不是管理员，无法进行管理！&#39;;     
    }     
    ?>

그러면 이때 http://daybook.diandian.com/login.php?admin=1을 제출하면 작동하지 않습니다. 왜냐하면 처음부터 변수가 $admin = 0으로 초기화되면 이 취약점을 통해 관리자 권한을 얻을 수 없게 되기 때문입니다.
2. SQL 인젝션 방지(sql 인젝션)
SQL 인젝션은 기본적으로 지난 2년 동안 국내에서 유행하고 있는 기술인 asp부터 php까지 포함해서 현재 가장 유해한 프로그램이어야 합니다. 원칙은 필터링하지 않고 변수를 제출하면 주입 지점이 생성되고 악의적인 사용자가 일부 SQL 쿼리 문을 제출할 수 있게 되어 중요한 데이터가 도난당하거나 손실 또는 손상되거나 백엔드 관리에 침입할 수 있다는 것입니다.
그럼 이제 기본적인 주입 침입 방법을 알아보았으니 어떻게 예방할 수 있을까요? 코드부터 시작해야 합니다.
웹에서 데이터를 제출하는 방법에는 두 가지가 있다는 것을 알고 있는데, 하나는 get이고 다른 하나는 post입니다. 따라서 많은 일반적인 SQL 삽입이 get 메서드에서 시작되고, 삽입 문에는 일부 SQL 문이 포함되어야 하기 때문입니다. sql 문이 없는데 어떻게 진행하나요? sql 문에는 선택, 업데이트, 삭제, 삽입의 네 가지가 있습니다. 그러면 제출한 데이터를 필터링하면 이러한 문제를 피할 수 있을까요?
그래서 정규식을 사용하여 다음 함수를 작성합니다.
PHP 코드

<?php          
    function inject_check($sql_str)     
    {     
    return eregi(&#39;select|insert|update|delete|&#39;|     
    function verify_id($id=null)     
    {     
    if (!$id) { exit(&#39;没有提交参数！&#39;); } // 是否为空判断     
    elseif (inject_check($id)) { exit(&#39;提交的参数非法！&#39;); } // 注射判断     
    elseif (!is_numeric($id)) { exit(&#39;提交的参数非法！&#39;); } // 数字判断     
    $id = intval($id); // 整型化         
    return $id;     
    }     
    ?>
     呵呵，那么我们就能够进行校验了，于是我们上面的程序代码就变成了下面的：
PHP代码     
    <?php     
    if (inject_check($_GET[&#39;id&#39;]))     
    {     
    exit(&#39;你提交的数据非法，请检查后重新提交！&#39;);     
    }     
    else     
    {     
    $id = verify_id($_GET[&#39;id&#39;]); // 这里引用了我们的过滤函数，对$id进行过滤     
    echo &#39;提交的数据合法，请继续！&#39;;     
    }     
    ?>

좋습니다. 여기서는 문제가 해결된 것 같지만 우편으로 제출된 데이터를 고려해 볼까요? ? 대용량 데이터는 어떻습니까?
예를 들어 '_', '%' 등 일부 문자는 데이터베이스에 해를 끼칠 수 있는데, 이러한 문자는 특별한 의미를 갖고 있는데, 이를 제어하면 어떻게 될까요? 또 다른 요점은 php.ini에서 Magic_quotes_gpc = off일 때 데이터베이스 규칙을 준수하지 않는 제출된 데이터가 자동으로 앞에 ''를 추가하지 않는다는 것입니다. 그런 다음 이러한 문제를 제어해야 하므로 다음과 같이 빌드합니다.
PHP 코드

 <?php        
    function str_check( $str )     
    {     
    if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否打开     
    {     
    $str = addslashes($str); // 进行过滤     
    }     
    $str = str_replace("_", "\_", $str); // 把 &#39;_&#39;过滤掉     
    $str = str_replace("%", "\%", $str); // 把&#39; % &#39;过滤掉     
         
    return $str;     
    }     
    ?>

이번에도 서버가 해킹될 위험을 피했습니다.
마지막으로 게시, 기사 작성, 뉴스 작성 등 대량의 데이터를 제출하는 상황을 고려하면 위 함수를 기반으로 다음 함수를 구축하는 데 도움이 됩니다. 🎜>PHP 코드

    <?php      
    function post_check($post)     
    {     
    if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否为打开     
    {     
    $post = addslashes($post); // 进行magic_quotes_gpc没有打开的情况对提交数据的过滤     
    }     
    $post = str_replace("_", "\_", $post); // 把 &#39;_&#39;过滤掉     
    $post = str_replace("%", "\%", $post); // 把&#39; % &#39;过滤掉     
    $post = nl2br($post); // 回车转换     
    $post= htmlspecialchars($post); // html标记转换        
    return $post;     
    }     
    ?>

하하, 기본적으로 여기서는 몇 가지 상황에 대해 이야기했습니다. 사실 제가 말한 것은 거의 없습니다. 적어도 두 가지 측면에 대해서만 이야기했습니다. , 전체 보안에 대한 내용은 거의 없습니다. 우리의 보안이 전체적으로 통합되어 가장 안전할 수 있도록 PHP 보안 구성, Apache 보안 등을 포함하여 다음 시간에 더 자세히 이야기하겠습니다.

마지막으로 위에 표현된 내용을 설명하겠습니다. 1. 변수를 초기화합니다. 2. 변수를 필터링해야 합니다.