php防止sql注入的方法总结-PHP问题

php避免sql注入的办法

【1、正在效劳器端设置装备摆设】

平安，PHP代码编写是一方面，PHP的设置装备摆设更长短常要害。

咱们php手手工装置的，php的默许设置装备摆设文件正在 /usr/local/apache2/conf/php.ini，咱们最次要就是要设置装备摆设php.ini中的内容，让咱们执行 php可以更平安。整个PHP中的平安设置次要是为了避免phpshell以及SQL Injection的攻打，一下咱们缓缓讨论。咱们先应用任何编纂对象关上 /etc/local/apache2/conf/php.ini，假如你是采纳其余形式装置，设置装备摆设文件可能没有正在该目次。

(1) 关上php的平安模式

php的平安模式是个十分首要的内嵌的平安机制，可以管制一些php中的函数，比方system()，

同时把不少文件操作函数进行了权限管制，也没有容许对某些要害文件的文件，比方/etc/passwd，

然而默许的php.ini是不关上平安模式的，咱们把它关上：

safe_mode = on

(2) 用户组平安

当safe_mode关上时，safe_mode_gid被封闭，那末php剧本可以对文件进行拜访，并且相反

组的用户也可以对文件进行拜访。

倡议设置为：

safe_mode_gid = off

假如没有进行设置，可能咱们无奈对咱们效劳器网站目次下的文件进行操作了，比方咱们需求对文件进行操作的时分。

(3) 平安模式下执行顺序主目次

假如平安模式关上了，然而倒是要执行某些顺序的时分，能够指定要执行顺序的主目次：

safe_mode_exec_dir = D:/usr/bin

普通状况下是没有需求执行甚么顺序的，以是保举没有要执行零碎顺序目次，能够指向一个目次，

而后把需求执行的顺序拷贝过来，比方：

safe_mode_exec_dir = D:/tmp/cmd

然而，我更保举没有要执行任何顺序，那末就能够指向咱们网页目次：

safe_mode_exec_dir = D:/usr/www

(4) 平安模式下蕴含文件

假如要正在平安模式下蕴含某些公共文件，那末就修正一下选项：

safe_mode_include_dir = D:/usr/www/include/

其实普通php剧本中蕴含文件都是正在顺序本人曾经写好了，这个能够依据详细需求设置。

(5) 管制php剧本能拜访的目次

应用open_basedir选项可以管制PHP剧本只能拜访指定的目次，这样可以防止PHP剧本拜访

不该该拜访的文件，肯定水平下限制了phpshell的危害，咱们普通能够设置为只能拜访网站目次：

open_basedir = D:/usr/www

(6) 封闭风险函数

假如关上了平安模式，那末函数制止是能够没有需求的，然而咱们为了平安仍是思考出来。比方，

咱们感觉没有心愿执行包罗system()等正在那的可以执行饬令的php函数，或许可以查看php信息的

phpinfo()等函数，那末咱们就能够制止它们：

disable_functions = system,passthru,exec,shell_exec,popen,phpinfo

假如你要制止任何文件以及目次的操作，那末能够封闭不少文件操作

disable_functions = chdir,chroot,dir,getcwd,opendir,readdir,scandir,fopen,unlink,delete,copy,mkdir, rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown

以上只是列了局部没有叫罕用的文件解决函数，你也能够把下面执行饬令函数以及这个函数连系，

就可以抵抗年夜局部的phpshell了。

(7) 封闭PHP版本信息正在http头中的泄露

咱们为了避免黑客猎取效劳器中php版本的信息，能够封闭该信息斜路正在http头中：

expose_php = Off

比方黑客正在 telnet www.12345.com 80 的时分，那末将无奈看到PHP的信息。

(8) 封闭注册全局变量

正在PHP中提交的变量，包罗应用POST或许GET提交的变量，都将主动注册为全局变量，可以间接拜访，

这是对效劳器十分没有平安的，以是咱们不克不及让它注册为全局变量，就把注册全局变量选项封闭：

register_globals = Off

当然，假如这样设置了，那末猎取对应变量的时分就要采纳正当形式，比方猎取GET提交的变量var，

那末就要用$_GET['var']来进行猎取，这个php顺序员要留意。

(9) 关上magic_quotes_gpc来避免SQL注入

SQL注入长短常风险的成绩，小则网站后盾被入侵，重则整个效劳器失陷，

以是肯定要小心。php.ini中有一个设置：

magic_quotes_gpc = Off

这个默许是封闭的，假如它关上后将主动把用户提交对sql的查问进行转换，

比方把 ' 转为 \'等，这对避免sql打针有严重作用。以是咱们保举设置为：

magic_quotes_gpc = On

(10) 谬误信息管制

普通php正在不衔接到数据库或许其余状况下会有提醒谬误，普通谬误信息中会蕴含php剧本当

前的门路信息或许查问的SQL语句等信息，这种信息提供应黑客后，是没有平安的，以是普通效劳器倡议制止谬误提醒：

display_errors = Off

假如你倒是是要显示谬误信息，肯定要设置显示谬误的级别，比方只显示正告以上的信息：

error_reporting = E_WARNING & E_ERROR

当然，我仍是倡议封闭谬误提醒。

(11) 谬误日记

倡议正在封闭display_errors后可以把谬误信息记载上去，便于查找效劳器运转的缘由：

log_errors = On

同时也要设置谬误日记寄存的目次，倡议根apache的日记存正在一同：

error_log = D:/usr/local/apache2/logs/php_error.log

留意：给文件必需容许apache用户的以及组具备写的权限。

MYSQL的降权运转

新建设一个用户比方mysqlstart

net user mysqlstart fuckmicrosoft /add
net localgroup users mysqlstart /del

没有属于任何组

假如MYSQL装正在d:\mysql ，那末，给 mysqlstart 齐全管制 的权限

而后正在零碎效劳中设置，MYSQL的效劳属性，正在登录属性傍边，抉择此用户 mysqlstart 而后输出明码，确定。

从新启动 MYSQL效劳，而后MYSQL就运转正在低权限下了。

假如是正在windos平台下搭建的apache咱们还需求留意一点，apache默许运转是system权限，

这很恐惧，这让人觉得很没有爽.那咱们就给apache降降权限吧。

net user apache fuckmicrosoft /add
net localgroup users apache /del

ok.咱们建设了一个没有属于任何组的用户apche。

咱们关上较量争论机治理器，选效劳，点apache效劳的属性，咱们抉择log on，抉择this account，咱们填入下面所建设的账户以及明码，

重启apache效劳，ok，apache运转正在低权限下了。

实际上咱们还能够经过设置各个文件夹的权限，来让apache用户只能执行咱们想让它无能的事件，给每个目次建设一个独自能读写的用户。

这也是以后不少虚构主机提供商的盛行设置装备摆设办法哦，不外这类办法用于避免这里就显的有点牛鼎烹鸡了。

【2、正在PHP代码编写】

避免SQL Injection (sql打针)

SQL 打针应该是今朝顺序危害最年夜的了，包罗最先从asp到php，根本上都是国际这两年盛行的技巧，根本原理就是经过对提交变量的不外滤构成注入点而后使歹意用户可以提交一些sql查问语句，招致首要数据被盗取、数据失落或许损坏，或许被入侵到后盾治理。

那末咱们既然理解了根本的打针入侵的形式，那末咱们若何去防备呢？这个就应该咱们从代码去动手了。

咱们晓得Web上提交数占有两种形式，一种是get、一种是post，那末不少常见的sql打针就是从get形式动手的，并且打针的语句外面肯定是蕴含一些sql语句的，由于不sql语句，那末若何进行，sql语句有四年夜句：select 、update、delete、insert，那末咱们假如正在咱们提交的数据中进行过滤是否是可以防止这些成绩呢？

于是咱们应用正则就构建以下函数：

PHP代码

<?php         
 function inject_check($sql_str)    
 {    
 return eregi('select|insert|update|delete|'|    
 function verify_id($id=null)    
 {    
 if (!$id) { exit('不提交参数！'); } // 能否为空判别    
 elseif (inject_check($id)) { exit('提交的参数合法！'); } // 打针判别    
 elseif (!is_numeric($id)) { exit('提交的参数合法！'); } // 数字判别    
 $id = intval($id); // 整型化        
 return $id;    
 }    
 ?>

那末咱们就可以进行校验了，于是咱们下面的顺序代码就变为了上面的：

<?php    
   if (inject_check($_GET['id']))    
   {    
   exit('你提交的数据合法，请反省后从新提交！');    
   }    
   else    
   {    
   $id = verify_id($_GET['id']); // 这里援用了咱们的过滤函数，对$id进行过滤    
   echo '提交的数据非法，请持续！';    
   }    
   ?>

好，成绩到这里仿佛都处理了，然而咱们有无思考过post提交的数据，少量量的数据呢？

比方一些字符可能会对数据库造成危害，比方 ' _ ', ' %'，这些字符都有非凡意思，那末咱们假如进行管制呢？另有一点，就是当咱们的php.ini外面的magic_quotes_gpc = off的时分，那末提交的没有合乎数据库规定的数据都是没有会主动正在后面加' '的，那末咱们要管制这些成绩，于是构建以下函数：

<?php       
  function str_check( $str )    
  {    
  if (!get_magic_quotes_gpc()) // 判别magic_quotes_gpc能否关上    
  {    
  $str = addslashes($str); // 进行过滤    
  }    
  $str = str_replace("_", "\_", $str); // 把 '_'过滤掉    
  $str = str_replace("%", "\%", $str); // 把' % '过滤掉    
        
  return $str;    
  }    
  ?>

最初，再思考提交一些少量量数据的状况，比方发贴，或许写文章、旧事，咱们需求一些函数来帮咱们过滤以及进行转换，再下面函数的根底上，咱们构建以下函数：

<?php     
    function post_check($post)    
    {    
    if (!get_magic_quotes_gpc()) // 判别magic_quotes_gpc能否为关上    
    {    
    $post = addslashes($post); // 进行magic_quotes_gpc不关上的状况对提交数据的过滤    
    }    
    $post = str_replace("_", "\_", $post); // 把 '_'过滤掉    
    $post = str_replace("%", "\%", $post); // 把' % '过滤掉    
    $post = nl2br($post); // 回车转换    
    $post= htmlspecialchars($post); // html标志转换       
    return $post;    
    }    
?>

注：对于SQL注入，不能不说的是如今年夜多虚构主机城市把magic_quotes_gpc选项关上，正在这类状况下一切的客户端GET以及POST的数据城市主动进行addslashes解决，以是此时对字符串值的SQL注入是不成行的，但要避免对数字值的SQL注入，如用intval()等函数进行解决。但若你编写的是通用软件，则需求读取效劳器的magic_quotes_gpc落后行相应解决。

更多PHP相干常识，请拜访PHP中文网！

以上就是php避免sql注入的办法总结的具体内容，更多请存眷资源魔其它相干文章！