PHP SQL注入的安全規範

php注入的安全防範通過上面的過程，我們可以了解到php注入的原理和手法，當然我們也同樣可以制定出相應該的防範方法：

首先是對伺服器的安全設定，前面的windows伺服器的安全設定我們已經講了，不再重複，這裡主要是php+mysql的安全設定和linux主機的安全設定。對php+mysql注射的防範,首先將magic_quotes_gpc設定為on，display_errors設定為off，如果id型，我們利用intval()函式將其轉換成整數型別，如**：

$id=intval($id);

mysql_query=」select *from example where articieid=』$id』」;或者這樣寫：mysql_query("select * from article where articleid=".intval($id)."")

如果是字元型就用addslashes()過濾一下，然後再過濾」%」和」_」如：

$search=addslashes($search);

$search=str_replace(「_」,」\_」,$search);

$search=str_replace(「%」,」\%」,$search);

當然也可以加php通用防注入**：

/*************************

php通用防注入安全**

說明：判斷傳遞的變數中是否含有非法字元

如$_post、$_get

功能：防注入

**************************/

//要過濾的非法字元

$arrfiltrate=array("'",";","union");

//出錯後要跳轉的url,不填則預設前一頁

$strgourl="";

//是否存在陣列中的值

function funstringexist($strfiltrate,$arrfiltrate)

}return false;

}//合併$_post 和 $_get

}//驗證開始

foreach($arrpostandget as $key=>$value)else

exit;}}

/*************************

儲存為checkpostandget.php

然後在每個php檔案前加include(「checkpostandget.php「);即可

**************************/

另外將管理員使用者名稱和密碼都採取md5加密，這樣就能有效地防止了php的注入。

還有伺服器和mysql也要加強一些安全防範。

對於linux伺服器的安全設定：

加密口令，使用「/usr/sbin/authconfig」工具開啟密碼的shadow功能，對password進行加密。

禁止訪問重要檔案，進入linux命令介面，在提示符下輸入：

#chmod 600 /etc/inetd.conf //改變檔案屬性為600

#chattr +i /etc/inetd.conf //保證檔案屬主為root

#chattr –i /etc/inetd.conf // 對該檔案的改變做限制

禁止任何使用者通過su命令改變為root使用者

在su配置檔案即/etc/pam.d/目錄下的開頭新增下面兩行:

auth sufficient /lib/security/pam_rootok.so debug

auth required /lib/security/pam_whell.so group=wheel

刪除所有的特殊帳戶

#userdel lp等等刪除使用者

#groupdel lp等等刪除組

禁止不使用的suid/sgid程式

#find / -type f $-perm -04000 - o –perm -02000 $ \-execls –lg {} \;

PHP SQL注入的安全規範

php SQL注入問題

PHP SQL注入與防禦

api安全規範

PHP SQL注入的安全規範

php SQL注入問題

PHP SQL注入與防禦

api安全規範

相關推薦