網(wǎng)站的運(yùn)行安全肯定是每個(gè)站長(zhǎng)必須考慮的問題，大家知道，大多數(shù)黑客攻擊網(wǎng)站都是采用sql注入，這就是我們常說的為什么最原始的靜態(tài)的網(wǎng)站反而是最安全的。 今天我們講講PHP注入的安全規(guī)范，防止自己的網(wǎng)站被sql注入。

        如今主流的網(wǎng)站開發(fā)語言還是php，那我們就從php網(wǎng)站如何防止sql注入開始說起: Php注入的安全防范通過上面的過程，我們可以了解到php注入的原理和手法，當(dāng)然我們也同樣可以制定出相應(yīng)該的防范方法:

        首先是對(duì)服務(wù)器的安全設(shè)置，這里主要是php+mysql的安全設(shè)置和linux主機(jī)的安全設(shè)置。對(duì)php+mysql注射的防范,首先將magic_quotes_gpc設(shè)置為On，display_errors設(shè)置為Off，如果id型，我們利用intval()將其轉(zhuǎn)換成整數(shù)類型，如代碼:

        $id=intval($id);

        mysql_query=”select *from example where articieid=’$id’”;或者這樣寫:mysql_query(”SELECT * FROM article WHERE articleid=”.intval($id).”")

        如果是字符型就用addslashes()過濾一下，然后再過濾”%”和”_”如: $search=addslashes($search);

        $search=str_replace(“_”,”\_”,$search);

        $search=str_replace(“%”,”\%”,$search);

        當(dāng)然也可以加php通用防注入代碼:

        /*************************

        PHP通用防注入安全代碼

        說明:

        判斷傳遞的變量中是否含有非法字符

        如$_POST、$_GET

        功能:

        防注入

        **************************/

        //要過濾的非法字符

        $ArrFiltrate=array(”‘”,”;”,”union”);

        //出錯(cuò)后要跳轉(zhuǎn)的url,不填則默認(rèn)前一頁

        $StrGoUrl=”";

        //是否存在數(shù)組中的值

        function FunStringExist($StrFiltrate,$ArrFiltrate){

        foreach ($ArrFiltrate as $key=>$value){ if (eregi($value,$StrFiltrate)){ return true;

        }

        }

        return false;

        //合并$_POST 和 $_GET

        if(function_exists(array_merge)){ $ArrPostAndGet=array_merge($HTTP_POST_VARS,$HTTP_GET_VARS);

        }else{

        foreach($HTTP_POST_VARS as $key=>$value){

        $ArrPostAndGet[]=$value;

        }

        foreach($HTTP_GET_VARS as $key=>$value){ $ArrPostAndGet[]=$value;

        }

        }

        //驗(yàn)證開始

        foreach($ArrPostAndGet as $key=>$value){ if (FunStringExist($value,$ArrFiltrate)){ echo “alert(/”Neeao提示，非法字符/”);”;

        if (empty($StrGoUrl)){

        echo “history.go(-1);”;

        }else{

        echo “window.location=/”".$StrGoUrl.”/”;”;

        }

        exit;

        }

        }

        ?>

        /*************************

        保存為checkpostandget.php

        然后在每個(gè)php文件前加include(“checkpostandget.php“);即可

        **************************/

        另外將管理員用戶名和密碼都采取md5加密，這樣就能有效地防止了php的注入。 還有服務(wù)器和mysql也要加強(qiáng)一些安全防范。

        對(duì)于linux服務(wù)器的安全設(shè)置:

        加密口令，使用“/usr/sbin/authconfig”工具打開密碼的shadow功能，對(duì)password進(jìn)行加密。 禁止訪問重要文件，進(jìn)入linux命令界面，在提示符下輸入:

        #chmod 600 /etc/inetd.conf //改變文件屬性為600

        #chattr +I /etc/inetd.conf //保證文件屬主為root

        #chattr –I /etc/inetd.conf // 對(duì)該文件的改變做限制

        禁止任何用戶通過su命令改變?yōu)閞oot用戶

        在su配置文件即/etc/pam.d/目錄下的開頭添加下面兩行:

        Auth sufficient /lib/security/pam_rootok.so debug

        Auth required /lib/security/pam_whell.so group=wheel

        刪除所有的特殊帳戶

        #userdel lp等等 刪除用戶

        #groupdel lp等等 刪除組

        禁止不使用的suid/sgid程序

        #find / -type f (-perm -04000 - o –perm -02000 ) -execls –lg {}