基于PHP的網(wǎng)站信息安全研究.pdf

1、PHP語言的流行性使得使用PHP搭建的動態(tài)網(wǎng)站大量涌現(xiàn)，然而因為開發(fā)者安全意識相對淡薄，加之網(wǎng)站攻擊手法層出不窮，PHP網(wǎng)站的安全問題逐漸凸顯。所以，研究總結出一整套能夠系統(tǒng)防御各類網(wǎng)站攻擊的方法并以此來指導編程人員去編寫安全健壯的PHP應用就顯得愈發(fā)重要。
　　本課題主要分析和研究了PHP技術開發(fā)出的網(wǎng)站存在的安全漏洞以及防御方法。課題從開源WEB應用安全項目(OWASP)社區(qū)所列出的WEB應用的十大安全隱患入手，將應用層DDO

2、S、SQL注入、跨站腳本XSS、跨站請求偽造CSRF及文件包含漏洞作為研究重點，詳細分析這些攻擊的攻擊原理與攻擊過程，同時，本課題也針對這些攻擊研究并設計出對應行之有效的防御措施。本課題提出針對應用層DDOS攻擊，可以從Apache安全配置、限制請求頻率和使用PHP Memcache等方面進行防御;針對SQL注入攻擊，可以利用PHP安全配置、PHP數(shù)據(jù)對象(PDO)以及數(shù)據(jù)庫安全設置等方法防御;針對跨網(wǎng)站腳本XSS攻擊，可以利用輸入過濾

3、和輸出編碼及cookie的httponly屬性等方法防御;針對跨網(wǎng)站請求偽造CSRF，可以利用檢查cookie一致性、檢驗HTTP請求來源(HTTPReferer)、驗證碼以及使用Anti CSRF Token等方法防御;針對文件包含漏洞，可以從設置php.ini相關選項、PHP編程中盡量避免包含用戶可控的動態(tài)變量等方面防御。
　　政務網(wǎng)站重在服務民眾，但網(wǎng)站存在的安全問題卻有礙這一功能的實現(xiàn)。本課題以交通管理部門門戶網(wǎng)站為背景，

4、系統(tǒng)說明如何去搭建一個安全、健壯、可靠的PHP應用。結合課題所面臨的實際應用系統(tǒng)的功能需求與性能要求，從用戶注冊、授權登錄、權限管理等角度重點針對應用層DDOS、SQL注入、跨網(wǎng)站腳本XSS以及跨網(wǎng)站請求偽造CSRF安全漏洞設計出網(wǎng)站平臺重點模塊的安全實現(xiàn)，最后運用漏洞測試工具對系統(tǒng)注冊、登錄等重點模塊進行安全測試并分析，測試結果顯示，使用本文提出的一些防御方法能夠有效防御攻擊，達到預期的安全性要求。今后可以將這些方法應用到實際的項目中