6个基本安全提示，可保护你的PHP网站免受黑客攻击

本文概述

• 跨站脚本(XSS)
• 跨站请求伪造(CSRF)
• 会话劫持
• 防止SQL注入攻击
• 始终使用SSL证书
• 从浏览器隐藏文件

你的PHP网站已启动。恭喜你！但是, 等等..你是否已做好必要的安全加固措施？

PHP是一种轻量级但功能非常强大的后端编程语言。它支持大约80％的全球Web应用程序, 使其成为开发领域中最常用的语言之一。

其流行和广泛使用的原因是其易于编码的结构和对开发人员友好的功能。有许多基于PHP的CMS和框架, 来自世界各地的成千上万的知名开发人员是其社区的固定组成部分。

一个很好的例子是WordPress。

当将PHP应用程序部署在实时服务器上时, 它可能会面临多种黑客和网络攻击实例, 这使其站点数据极易被盗。如何构建一个完全安全的应用程序, 同时检查项目的所有核心目标, 是社区中争议最大的主题之一。

尽管尽了最大的努力, 开发人员始终对开发应用程序时未注意到的隐藏漏洞保持警惕。这些漏洞可能会严重损害PHP MySQL应用程序的任何Web托管上的重要站点数据的保护, 使其容易受到黑客攻击。

因此, 本文全部涉及一些有用的PHP安全技巧, 你可以在项目中明智地使用它们。使用这些小技巧, 你可以确保你的应用程序在安全检查方面始终处于很高的地位, 并且不会受到任何外部Web攻击的危害。

跨站脚本(XSS)

通过将任何恶意代码或脚本注入网站, 跨站点脚本执行是最危险的外部攻击之一。它可能会影响你应用程序的核心, 因为黑客可以将任何类型的代码注入你的应用程序而无需提示。这种攻击主要发生在那些接受和提交用户数据的网站中。

在XSS攻击中, 注入的代码将替换你网站的原始代码, 但实际上却充当了破坏网站性能并经常窃取数据的代码。黑客绕过了你的应用程序的访问控制, 从而可以访问你的Cookie, 会话, 历史记录和其他重要功能。

你可以通过在应用程序代码中使用HTML特殊字符和ENT_QUOTES来抵抗这种攻击。使用ENT_QUOTES, 你可以删除单引号和双引号选项, 从而清除所有可能的跨站点脚本攻击。

跨站请求伪造(CSRF)

CSRF将完整的应用程序控制权交给黑客, 以执行任何不良操作。通过完全控制, 黑客可以通过将感染代码转移到你的网站来进行恶意操作, 从而导致数据盗窃, 功能修改等。攻击迫使用户将常规请求更改为更改后的破坏性请求, 例如在不知不觉中转移资金, 删除整个数据库, 无需任何通知, 等等。

仅当你单击黑客发送的伪装的恶意链接后, 才能发起CSRF攻击。这意味着, 如果你足够聪明地找出受感染的隐藏脚本, 则可以轻松排除任何潜在的CSRF攻击。同时, 你还可以使用两种保护措施来增强应用程序的安全性, 即通过在URL中使用GET请求, 并确保仅从客户端代码生成非GET请求。

会话劫持

会话劫持是一种攻击, 黑客可以通过该攻击窃取你的会话ID来访问预期的帐户。使用该会话ID, 黑客可以通过向服务器发送请求来验证你的会话, 在该服务器上, $ _ SESSION数组可以在不通知你的情况下验证其正常运行时间。它可以通过XSS攻击或通过访问存储会话数据的数据来执行。

为防止会话劫持, 请始终将会话绑定到实际IP地址。这种做法可帮助你在发生未知违规时使会话无效, 立即让你知道有人试图绕过你的会话以获取应用程序的访问控制。永远记住, 在任何情况下都不要公开ID, 因为它以后可能会因另一次攻击而损害你的身份。

防止SQL注入攻击

数据库是应用程序的关键组件之一, 大多数应用程序通过SQL注入攻击将其作为攻击目标。这是一种攻击, 黑客使用特定的URL参数来访问数据库。也可以通过使用Web表单字段进行攻击, 黑客可以在其中更改你通过查询传递的数据。通过更改这些字段和查询, 黑客可以控制你的数据库, 并可以执行一些灾难性的操作, 包括删除整个应用程序数据库。

为了防止SQL注入攻击, 始终建议使用参数化查询。此PDO查询在运行SQL查询之前可以适当替换参数, 从而有效排除了SQL注入攻击的可能性。这种做法不仅可以帮助你保护SQL查询的安全, 还可以使其结构化以进行有效处理。

始终使用SSL证书

要通过Internet获得端到端的安全数据传输, 请始终在应用程序中使用SSL证书。它是一种全球公认的标准协议, 称为超文本传输​​协议(HTTPS), 可以在服务器之间安全地传输数据。使用SSL证书, 你的应用程序将获得安全的数据传输路径, 这几乎使黑客无法入侵你的服务器。

所有主要的网络浏览器(例如Google Chrome, Safari, Firefox, Opera等)都建议使用SSL证书, 因为它提供了加密协议, 可以通过Internet传输, 接收和解密数据。

从浏览器隐藏文件

在微型PHP框架中, 有一个特定的目录结构, 可确保存储重要的框架文件, 例如控制器, 模型, 配置文件(.yaml)等。

在大多数情况下, 这些文件不会由浏览器处理, 但会在浏览器中长时间显示, 从而造成该应用程序的安全漏洞。

因此, 始终将文件存储在公用文件夹中, 而不是将其保存在根目录中。这将使它们在浏览器中的访问性降低, 并对任何潜在的攻击者隐藏其功能。

总结

PHP应用程序始终容易受到外部攻击, 但是使用上述技巧, 你可以轻松保护应用程序核心免受任何恶意攻击。作为开发人员, 你有责任保护网站数据并确保其无错误。

除了这些技巧之外, 许多技术还可以帮助你保护Web应用程序免受外部攻击, 例如使用最佳的云托管解决方案, 以确保你拥有最佳的安全功能, 云WAF, 文档根目录设置, 将IP地址列入白名单等等。