[php] PHP程序的常見漏洞攻擊分析

綜述：PHP程序也不是固若金湯，隨著PHP的廣泛運用，一些黑客們也在無時不想找PHP的麻煩，通過PHP程序漏洞進行攻擊就是其中一種。在節，我們將從全局變量，遠程文件，文件上載，庫文件，Session文件，數據類型和容易出錯的函數這幾個方面分析了PHP的安全性。

如何通過全局變量進行攻擊？

PHP中的變量不需要事先聲明，它們會在第一次使用時自動創建，它們的類型根據上下文環境自動確定。從程序員的角度來看，這無疑是一種極其方便的處理方法。一旦一個變量被創建了，就可以在程序中的任何地方使用。這個特點導致的結果就是程序員很少初始化變量。

很顯然，基于PHP的應用程序的主函數一般都是接受用戶的輸入（主要是表單變量，上載文件和Cookie等），然后對輸入數據進行處理，然后把結果返回到客戶端瀏覽器。為了使PHP代碼訪問用戶的輸入盡可能容易，實際上PHP是把這些輸入數據看作全局變量來處理的。

例如：

程序代碼

＜FORM METHOD="GET" ACTION="test.php"＞ ＜INPUT TYPE="TEXT" NAME="hello"＞ ＜INPUT TYPE="SUBMIT"＞ ＜/FORM＞

這會顯示一個文本框和提交按鈕。當用戶點擊提交按鈕時，"test.php"會處理用戶的輸入，當"test.php"運行時，"$hello"會包含用戶在文本框輸入的數據。從這里我們應該看出，攻擊者可以按照自己的意愿創建任意的全局變量。如果攻擊者不是通過表單輸入來調用"test.php"，而是直接在瀏覽器地址欄輸入http://server/test.php?hello=hi&setup=no，那么，不止是"$hello"被創建，"$setup"也被創建了。

下面的用戶認證代碼暴露了PHP的全局變量所導致的安全問題：

程序代碼

＜?php if ($pass == "hello") $auth = 1; ... if ($auth == 1) echo "some important information"; ?＞

上面的代碼首先檢查用戶的密碼是否為"hello"，如果匹配的話，設置"$auth"為"1"，即通過認證。之后如果"$suth"為"1"的話，就會顯示一些重要信息。

這段代碼假定"$auth"在沒有設置值的時候是空的，但是攻擊者可以創建任何全局變量并賦值，通過類似"http://server/test.php?auth=1"的方法，我們完全可以欺騙這段代碼，使它相信我們是已經認證過的。

因此，為了提高PHP程序的安全性，我們不能相信任何沒有明確定義的變量。如果程序中的變量很多的話，這可是一項非常艱巨的任務。

一種常用的保護方式就是檢查數組HTTP_GET[]或POST_VARS[]中的變量，這依賴于我們的提交方式（GET或POST）。當PHP配置為打開"track_vars"選項的話（這是缺省值），用戶提交的變量就可以在全局變量和上面提到的數組中獲得。

但是值得說明的是，PHP有四個不同的數組變量用來處理用戶的輸入。HTTP_GET_VARS數組用來處理GET方式提交的變量，HTTP_POST_VARS數組用于處理POST方式提交的變量；HTTP_COOKIE_VARS數組用于處理作為cookie頭提交的變量，而對于HTTP_POST_FILES數組（比較新的PHP才提供），則完全是用戶用來提交變量的一種可選方式。用戶的一個請求可以很容易的把變量存在這四個數組中，因此一個安全的PHP程序應該檢查這四個數組。 如何通過遠程文件進行攻擊？

PHP是一種具有豐富特性的語言，提供了大量的函數，使編程者很容易實現特定功能。但是從安全的角度來看，功能越多，要保證它的安全性就越難，遠程文件就佐證這個問題的一個很好例子：

程序代碼

＜?php if (!($fd = fopen("$filename", "r")) echo("Could not open file: $filename \n"); ?＞

上面的腳本試圖打開文件"$filename"，如果失敗就顯示錯誤信息。很明顯，如果我們能夠指定"$filename"的話，就能利用這個腳本瀏覽系統中的任何文件。但是，這個腳本還存在一個不太明顯的特性，那就是它可以從任何其它WEB或FTP站點讀取文件。實際上，PHP的大多數文件處理函數對遠程文件的處理是透明的。

例如：

如果指定"$filename"為 "http://target/scripts/..