PHP常见漏洞的防范措施

本文格式为Word版，下载可任意编辑——PHP常见漏洞的防范措施目前，基于PHP的网站开发已经成为目前网站开发的主流，下面整理了一些PHP常见漏洞的防范措施，梦想对大家有所扶助!

1、对于Session漏洞的防范

从前面的分析可以知道，Session攻击最常见的就是会话劫持，也就是黑客通过各种攻击手段获取用户的SessionID，然后利用被攻击用户的身份来登录相应网站。为此，这里可以用以下几种方法举行防范:一是定期更换SessionID，更换SessionID可以用PHP自带函数来实现;二是更换Session名称，通常处境下Session的默认名称是PHPSESSID，这个变量一般是在cookie中保存的，假设更改了它的名称，就可以阻档黑客的片面攻击;三是对通明化的SessionID举行关闭处理，所谓通明化也就是指在http苦求没有使用cookies来制定Sessionid时，Sessioinid使用链接来传递.关闭通明化SessionID可以通过操作PHP.ini文件来实现;四是通过URL传递暗藏参数，这样可以确保即使黑客获取了session数据，但是由于相关参数是暗藏的，它也很难获得SessionID变量值。

2、对SQL注入漏洞的防范

黑客举行SQL注入手段好多，而且生动多变，但是SQL注人的共同点就是利用输入过滤漏洞。因此，要想从根本上防止SQL注入，根本解决措施就是加强对苦求命令尤其是查询苦求命令的过滤。概括来说，包括以下几点:一是把过滤性语句举行参数化处理，也就是通过参数化语句实现用户信息的输入而不是直接把用户输入嵌入到语句中。二是在网站开发的时候尽可能少用解释性程序，黑客经常通过这种手段来执行非法命令;三是在网站开发时尽可能制止网站展现bug，否那么黑客可能利用这些信息来攻击网站;仅仅通过防卫SQL注入还是不够的，另外还要经常使用专业的漏洞扫描工具对网站举行漏洞扫描。

3、对脚本执行漏洞的防范

黑客利用脚本执行漏洞举行攻击的手段是多种多样的，而且是生动多变的，对此，务必要采用多种防范方法综合的手段，才能有效防止黑客对脚本执行漏洞举行攻击。这里常用的方法方法有以下四种。一是对可执行文件的路径举行预先设定。可以通过safe_moade_exec_dir来实现;二是对命令参数举行处理，一般用escapeshellarg函数实现;三是用系统自带的函数库来代替外部命令;四是在操作的时候进可能裁减使用外部命令。

4、对全局变量漏洞防范

对于PHP全局变量的漏洞问题，以前的PHP版本存在这样的问题，但是随着PHP版本升级到5.5以后，可以通过对php.ini的设置来实现，设置ruquest_order为GPC。另外在php.ini配置文件中，可以通过对Magic_quotes_runtime举行布尔值设置是否对外部引人的数据中的溢出字符加反斜线。为了确保网站程序在服务器的任何设置状态下都能运行。可以在整个程序开头的时候用get_magic_quotes_runtime检测设置状态抉择是否要手工处理，或者在开头或不需要自动转义的时候用set_magic_quotes_runtime0关掉。

5、对文件漏洞的防范

对于PHP文件漏桐可以通过对服务器举行设置和配置来达成防范目的。这里概括的操作如下:一是把PHP代码中的错误提示关闭，这样可以制止黑客通过错误提示获取数据库信息和网页文件物理路径;二是对open_basedir尽心设置，也就是对目次外的文件操作举行遏止处理;这样可以对本地文件或者远程文件起到养护作用，防止它们被攻击，这里还要留神防范