Yii 프레임워크 공식 가이드 시리즈 51 - 특별 주제: 보안 조치(보안)

1. 크로스 사이트 스크립팅 공격 방지

크로스 사이트 스크립팅 공격(이하 XSS), 즉 , 웹 애플리케이션은 사용자 사용자 데이터로부터 정보를 수집합니다. 공격자는 방문자를 혼란스럽게 하고 방문자 정보를 수집하기 위해 취약한 웹 애플리케이션에 JavaScript, VBScript, ActiveX, HTML 또는 Flash를 삽입하는 경우가 많습니다. 예를 들어, 잘못 설계된 포럼 시스템은 확인하지 않고 사용자 입력을 표시할 수 있습니다. 공격자는 악성 JavaScript 코드 조각을 게시물 콘텐츠에 삽입할 수 있습니다. 이런 방식으로 다른 방문자가 이 게시물을 읽을 때 방문자의 컴퓨터에서 이러한 JavaScript 코드가 실행될 수 있습니다.

XSS 공격을 예방하기 위한 가장 중요한 조치 중 하나는 사용자가 입력한 콘텐츠를 표시하기 전 콘텐츠 검사입니다. 예를 들어 콘텐츠에서 HTML을 이스케이프할 수 있습니다. 그러나 이 방법을 사용하면 모든 HTML 태그가 비활성화되므로 이 방법을 사용하지 않는 경우도 있습니다.

Yii는 HTMLPurifier를 통합하고 개발자에게 HTMLPurifier 클래스를 캡슐화하는 매우 유용한 구성 요소인 CHtmlPurifier를 제공합니다. 효과적인 검토, 보안 및 화이트리스트 기능을 통해 감사된 콘텐츠에서 모든 악성 코드를 제거하고 필터링 후 필터링된 콘텐츠가 표준을 충족하는지 확인할 수 있습니다.

CHtmlPurifier 구성 요소는 위젯이나 필터로 사용할 수 있습니다. CHtmlPurifier를 위젯으로 사용하면 뷰에 표시된 콘텐츠를 안전하게 필터링할 수 있습니다. 다음은 코드 예시입니다.

<?php  $this->beginWidget('CHtmlPurifier'); ?>
//...这里显示用户输入的内容...
<?php  $this->endWidget(); ?>

2. 공격

교차 사이트 요청 위조(CSRF라고도 함) 공격, 즉 사용자의 브라우저가 악성 웹사이트를 방문할 때 공격자는 사용자의 브라우저가 신뢰할 수 있는 웹사이트에 대해 공격자가 지정한 요청을 시작하도록 합니다. 예를 들어 악성 웹사이트에는 이미지가 있고 이 이미지의 src 주소는 은행 웹사이트 http://www.php.cn/를 가리킵니다. 사용자가 은행 웹사이트에 로그인한 후 이 악성 웹페이지를 방문하면 사용자의 브라우저는 은행 웹사이트로 '공격자 계좌로 10,000위안을 이체하라'는 지시문을 보낼 수 있다. 크로스 사이트 공격은 사용자가 신뢰하는 특정 웹사이트를 이용하는 반면, CSRF 공격은 반대로 웹사이트에서 사용자의 특정 사용자 ID를 이용합니다.

CSRF 공격을 방지하려면 한 가지를 기억해야 합니다. GET요청은 데이터 검색만 허용되며 서버의 데이터를 수정할 수 없습니다. POST 요청에는 양식 데이터의 소스와 실행 결과의 대상이 동일한지 확인하기 위해 서버에서 인식할 수 있는 임의의 값이 포함되어야 합니다.

Yii는 POST 기반 공격을 방지하기 위해 CSRF 방지 메커니즘을 구현합니다. 이 메커니즘의 핵심은 쿠키에 임의의 데이터를 설정한 다음 이를 양식에서 제출된 POST 데이터의 해당 값과 비교하는 것입니다.

기본적으로 CSRF 방지는 비활성화되어 있습니다. 이를 활성화하려면 애플리케이션 구성에서 구성 요소의 CHttpRequest 섹션을 편집하면 됩니다.

코드 예:

return array(
    'components'=>array(
        'request'=>array(
            'enableCsrfValidation'=>true,
        ),
    ),
);

양식을 표시하려면 CHtml을 사용하세요. ::HTML 코드를 직접 작성하는 대신 양식을 작성하세요. CHtml::form은 양식에 숨겨진 항목을 자동으로 포함할 수 있기 때문에 이 숨겨진 항목은 양식이 제출될 때 확인을 위해 서버로 전송될 수 있습니다.

3. 쿠키 공격 예방

쿠키를 공격으로부터 보호하는 것은 매우 중요합니다. 세션 ID는 일반적으로 쿠키에 저장되기 때문입니다. 공격자가 유효한 세션 ID를 훔치면 이 세션 ID에 해당하는 세션 정보를 사용할 수 있습니다.

몇 가지 주의사항은 다음과 같습니다.

• SSL을 사용하여 보안 채널을 생성하고 HTTPS 연결을 통해서만 인증 쿠키를 보낼 수 있습니다. 이러한 방식으로 공격자는 전송된 쿠키를 해독할 수 없습니다.

• 쿠키 ​​만료 시간을 설정합니다. 모든 쿠키 및 세션 토큰에 대해 이 작업을 수행합니다. 이렇게 하면 공격받을 가능성이 줄어듭니다.

• 사용자 브라우저에서 임의 코드를 실행하여 사용자 쿠키가 유출될 수 있으므로 크로스 사이트 코드 공격을 방지합니다.

• 쿠키가 변경되면 쿠키의 내용을 확인하세요.

Yii는 쿠키가 수정되는 것을 방지하기 위해 쿠키 확인 메커니즘을 구현합니다. 활성화한 후 쿠키 값에 대한 HMAC 검사를 수행할 수 있습니다.

쿠키 확인은 기본적으로 비활성화되어 있습니다. 이를 활성화하려면 애플리케이션 구성에서 구성 요소의 CHttpRequest 섹션을 편집하면 됩니다.

코드 예:

return array(
    'components'=>array(
        'request'=>array(
            'enableCookieValidation'=>true,
        ),
    ),
);

Yii 검증 쿠키를 사용하세요. 데이터. 쿠키 작업에는 Yii에 내장된 쿠키 구성요소를 사용하세요. $_COOKIES를 사용하지 마세요.

// 检索一个名为$name的cookie值
$cookie=Yii::app()->request->cookies[$name];
$value=$cookie->value;
......
// 设置一个cookie
$cookie=new CHttpCookie($name,$value);
Yii::app()->request->cookies[$name]=$cookie;

위 내용은 Yii Framework 공식 가이드 시리즈 51 - 특별 주제: 보안 조치(보안)의 내용입니다. 더 많은 관련 내용을 보려면 PHP 중국어를 참고하세요. 홈페이지(www.php.cn)!