我正在编写一个由 PHP 和 MySQL 提供支持的动态站点(将在 WAMP 服务器上运行)。我目前担心的是网站的安全性，但是它没有保存任何用户输入然后为任何用户(管理员除外)输出的功能，所以我并不是真的担心 XSS。我主要关心的是防止 SQL 注入(inject)攻击和保护管理员登录门户免受彩虹表/暴力破解。
1) 结合使用 mysql_real_escape_string 和 sprintf() 是否可以防止 SQL 注入(inject)？例如，
$thing = mysql_real_escape_string($_REQUEST['thing'])
$query = sprintf("SELECT * FROM table WHERE thing='%s'", $thing);
$result = mysql_query($query);
这足够安全吗？当然，没有系统是绝对安全的，但我知道准备好的语句应该是防止 SQL 注入(inject)的最佳方法。但是，如果我的代码“足够安全”，那么我认为没有理由进行更改。我在某处读到，出于安全原因，mysql_query 默认情况下每次调用只允许一个 MySQL 查询，对吗？如果是这样，我看不出如何对我的代码进行任何注入(inject)，但请让我知道我的逻辑是否存在缺陷。
2) 我正在为该网站编写一个管理门户，以便它的所有者可以在网站上以一种简单、用户友好的方式操作 MySQL 数据库(从一个没有从任何地方链接到的登录 HTML 文件在网站上)。我在这里对安全性的关注是登录过程，它由两个页面组成。首先，收集用户登录信息:
<!DOCTYPE HTML PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<html xml:lang="en" xmlns="http://www.w3.org/1999/xhtml" lang="en">
<head>
<title>Admin Portal</title>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<meta name="robots" content="noindex, nofollow">
<link rel="stylesheet" type="text/css" href="http://www.anotherdomain.com/my.css">
<script type="text/javascript" src="http://www.anotherdomain.com/my.js"></script>
</head>
<form method="post" action="admin/login.php">
<table align="center">
<tr><th>Admin Login Form</th></tr>
<tr><td>Name</td><td><input type="text" name="Name" size="30" onKeyPress="return aJSFunctionToStopEnterKeyFromWorking(event)"></td></tr>
<tr><td>Password</td><td><input type="password" name="Password" size="30" onKeyPress="return aJSFunctionToStopEnterKeyFromWorking(event)"></td></tr>
<tr><td></td><td><input type="reset" value="Clear Form"> <input type="submit" value="Login"></td></tr>
</table>
</form>
二、实际登录脚本:
<?php
$inputusername = $_POST['Name'];
$inputpassword = $_POST['Password'];
$username = "a username that is not obvious";
$password = "a password that is at least 10 characters long";
$salt = hash('sha512', "a messed up string with weird characters that I wrote");
$hashword = hash('sha512', $password . $salt);
$inputhashword = hash('sha512', $inputpassword . $salt);
if($username == $inputusername && $hashword == $inputhashword) {
session_start();
$_SESSION['valid'] = 1;
header('Location: portal.php');
exit;
}
else {echo "Invalid username or password";}
?>
然后在登录过程之后，每个页面都会有以下内容以确保管理员已登录:
<?php
session_start();
if(!$_SESSION['valid']) {header('Location: ../admin.html');}
?>
Portal page goes here
由于没有创建新用户，门户网站永远只有一个用户。我只是想知道这种登录方法对彩虹表和暴力破解等攻击的安全性如何？我假设，因为我将哈希字和盐都设置得非常大，所以即使用户名不知何故是已知的，它也应该很安全地免受此类攻击。
我也想知道这是否可以防止 session 劫持，因为这是我听说过的一个术语，但我不太了解......我知道我从来没有扔过 session ID 或任何类似的东西，所以它看起来很安全。
3) 我应该知道/考虑的任何其他安全问题？
我非常感谢在这方面得到的任何帮助!
最佳答案
其他需要考虑的点:
<强>1。你很容易受到暴力攻击
字典攻击会破解您的密码。由于绝大多数用户的密码不安全，这只是时间问题。使用验证码，或记录无效条目。或者在密码不正确时增加一些延迟。
正如 Col. Shrapnel 所说，彩虹表对您来说不是问题，因为当有人拥有一堆哈希值并想要破解它们时会用到它们。盐用于获得一些防止彩虹 table 的保护，这不是你的情况。
<强>2。您正在以明文形式发送密码
如果有人嗅探到您的登录信息(例如 wifi)，您就完蛋了。有一些 javascript 库可以使用公钥加密任何东西。如果你不想使用SSL，将登录/密码加密，发送到服务器，使用私钥解密，你更安全。
<强>3。考虑在 MySQL 上使用准备好的语句
使用准备好的语句有助于防止 SQL 注入(inject)，因为即使有恶意输入，它也可以安全运行:
$dbc = new mysqli("mysql_server_ip", "mysqluser", "mysqlpass", "dbname");
$statement = $db_connection->prepare("SELECT * FROM table WHERE thing='?'");
$statement->bind_param("i", $thing);
$statement->execute();
<强>4。不要依赖客户端验证
在您的登录表单上，您依赖于阻止 Enter 键运行的 javascript 函数。如果我禁用 Javascript 怎么办？您可以使用隐藏字段(例如 < input="" type='hidden' name='FormIsValid' value='0'>)，使用您的函数来防止输入键，并使用 onSubmit() 函数将 FormIsValid 更改为 1 之前发送表格。在您的服务器中，验证 FormIsValid。
<强>5。您很容易受到 session 劫持
您的 session 保存在一个 cookie 上，默认名为 PHPSESSID。如果攻击者可以获得该 cookie，它可以将其发送到您的服务器并窃取您的 session 。为防止这种情况，您可以在 session 中保存用户 IP 地址和用户代理，并比较每次请求时从 session 中收到的值。如果值不匹配，则用户 IP 可能已更改或 session 可能已被劫持。
6.您可能容易受到 session 固定的影响
如上所述，如果有人说服您的管理员访问某个站点，并且该站点向您的站点发送请求并在请求中包含 PHPSESSID，您的站点将创建 session 、处理登录名/密码，并声明凭据是错误的。到现在为止还不错。
稍后，您的管理员登录到您的门户， session 已经存在，登录名和密码匹配， session 已更新。变量 valid 现在是 1。
一旦变量被更新，攻击者就可以完全访问您的门户，因为他知道 PHPSESSID，您的站点不会阻止 session 劫持或 session 固定。
要避免 session 固定和劫持，请参阅#5。
关于php - 动态网站安全问题(PHP+MySQL)，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/5651761/
我想为Heroku构建一个Rails3应用程序。他们使用Postgres作为他们的数据库，所以我通过MacPorts安装了postgres9.0。现在我需要一个postgresgem并且共识是出于性能原因你想要pggem。但是我对我得到的错误感到非常困惑当我尝试在rvm下通过geminstall安装pg时。我已经非常明确地指定了所有postgres目录的位置可以找到但仍然无法完成安装:$envARCHFLAGS='-archx86_64'geminstallpg--\--with-pg-config=/opt/local/var/db/postgresql90/defaultdb/po
尝试通过RVM将RubyGems升级到版本1.8.10并出现此错误:$rvmrubygemslatestRemovingoldRubygemsfiles...Installingrubygems-1.8.10forruby-1.9.2-p180...ERROR:Errorrunning'GEM_PATH="/Users/foo/.rvm/gems/ruby-1.9.2-p180:/Users/foo/.rvm/gems/ruby-1.9.2-p180@global:/Users/foo/.rvm/gems/ruby-1.9.2-p180:/Users/foo/.rvm/gems/rub
我的瘦服务器配置了nginx，我的ROR应用程序正在它们上运行。在我发布代码更新时运行thinrestart会给我的应用程序带来一些停机时间。我试图弄清楚如何优雅地重启正在运行的Thin实例，但找不到好的解决方案。有没有人能做到这一点？ 最佳答案 #Restartjustthethinserverdescribedbythatconfigsudothin-C/etc/thin/mysite.ymlrestartNginx将继续运行并代理请求。如果您将Nginx设置为使用多个上游服务器，例如server{listen80;server
我正在编写一个小脚本来定位aws存储桶中的特定文件，并创建一个临时验证的url以发送给同事。(理想情况下，这将创建类似于在控制台上右键单击存储桶中的文件并复制链接地址的结果)。我研究过回形针，它似乎不符合这个标准，但我可能只是不知道它的全部功能。我尝试了以下方法:defauthenticated_url(file_name,bucket)AWS::S3::S3Object.url_for(file_name,bucket,:secure=>true,:expires=>20*60)end产生这种类型的结果:...-1.amazonaws.com/file_path/file.zip.A
我的最终目标是安装当前版本的RubyonRails。我在OSXMountainLion上运行。到目前为止，这是我的过程:已安装的RVM$\curl-Lhttps://get.rvm.io|bash-sstable检查已知(我假设已批准)安装$rvmlistknown我看到当前的稳定版本可用[ruby-]2.0.0[-p247]输入命令安装$rvminstall2.0.0-p247注意:我也试过这些安装命令$rvminstallruby-2.0.0-p247$rvminstallruby=2.0.0-p247我很快就无处可去了。结果:$rvminstall2.0.0-p247Search
由于fast-stemmer的问题，我很难安装我想要的任何rubygem。我把我得到的错误放在下面。Buildingnativeextensions.Thiscouldtakeawhile...ERROR:Errorinstallingfast-stemmer:ERROR:Failedtobuildgemnativeextension./System/Library/Frameworks/Ruby.framework/Versions/2.0/usr/bin/rubyextconf.rbcreatingMakefilemake"DESTDIR="cleanmake"DESTDIR=
当我尝试安装Ruby时遇到此错误。我试过查看this和this但无济于事➜~brewinstallrubyWarning:YouareusingOSX10.12.Wedonotprovidesupportforthispre-releaseversion.Youmayencounterbuildfailuresorotherbreakages.Pleasecreatepull-requestsinsteadoffilingissues.==>Installingdependenciesforruby:readline,libyaml,makedepend==>Installingrub
在Ruby中可以使用哪些替代方法来ping一个ip地址？标准库“ping”库的功能似乎非常有限。我对在这里滚动我自己的代码不感兴趣。有没有好的gem？我应该接受它并忍受它吗？(我在Linux上使用Ruby1.8.6编写代码) 最佳答案 net-ping值得一看。它允许TCPping(如标准rubyping)，但也允许UDP、HTTP和ICMPping。ICMPping需要root权限，但其他则不需要。 关于ruby-Pingruby网站？，我们在StackOverflow上找到一个类
我正在尝试使用boilerpipe来自JRuby。我看过guide从JRuby调用Java，并成功地将它与另一个Java包一起使用，但无法弄清楚为什么同样的东西不能用于boilerpipe。我正在尝试基本上从JRuby中执行与此Java等效的操作:URLurl=newURL("http://www.example.com/some-location/index.html");Stringtext=ArticleExtractor.INSTANCE.getText(url);在JRuby中试过这个:require'java'url=java.net.URL.new("http://www
我意识到这可能是一个非常基本的问题，但我现在已经花了几天时间回过头来解决这个问题，但出于某种原因，Google就是没有帮助我。(我认为部分问题在于我是一个初学者，我不知道该问什么......)我也看过O'Reilly的RubyCookbook和RailsAPI，但我仍然停留在这个问题上.我找到了一些关于多态关系的信息，但它似乎不是我需要的(尽管如果我错了请告诉我)。我正在尝试调整MichaelHartl'stutorial创建一个包含用户、文章和评论的博客应用程序(不使用脚手架)。我希望评论既属于用户又属于文章。我的主要问题是:我不知道如何将当前文章的ID放入评论Controller。