PHP．ini中register globals选项的安全隐患
PHP(ini中register globals选项的安全隐
患
:暑ADV.惜口R
前置知识PHP
关键讯网管,registerglobalS,安全配置
从PHP4.2.0开始,PHP.ini的registerglobalS
就默认设置为了0FF,这是为了安全而设置的. 下面我们来看看在registerglobals设置为ON的情 况下,会给系统带来哪些隐患.
当registerglobals设置为ON时,PHP程序就可 以接收服务器中的各种环境变量.而不仅是PHP 程序中定义的变量.而且PHP不需要预先初始化 变量的值.这就导致了安全问题的产生.下面 通过几个实例来证明这些安全问题的严重性. 在此例中,先是用check—user()
函
关于工期滞后的函关于工程严重滞后的函关于工程进度滞后的回复函关于征求同志党风廉政意见的函关于征求廉洁自律情况的复函
数来检查 用户的身份如果用户通过验证,就将
$authorized变量的值设置为True,但是由于没有预 先定义$authorized的值为False,所以Sauthorized的 值就可能来自于其它地方,而不一定是程序中定 义的值.如我们可以通过HTTP来传递这个变量的 值,:~[3当 Sauthorized的值在程序的开始就初始化为Flase, 或者registerglobals设置为OFF时,$authorized的 值就不能通过HTTP来设置了.这样就能确保用户 经过了check—user()函数的验证.
嘲嚣'
此例中使用S_SESSION来检查用户是否已经
登录了,如果$一SESSION已经被赋值就
说明
关于失联党员情况说明岗位说明总经理岗位说明书会计岗位说明书行政主管岗位说明书
用户
登录了,否则即还没有登录,但如果regiSter
gIobals设置为ON的话S_SESSION的值是可以通
过HTTP来提交的.提交方法为". 1/2.php?一SESSION[username]=saint.一SESSION 前面不需要$,uSername也不需要双引号.
当php.ini中的allow—url—fopen选项设置为On
时就允许远程加载文件,但如果此时regiSter globals设置为TON的话.我们就可以通过HTTP来
定义$path的值.提交请求;,结果script.php的路径就变为了
通过上面的几个简单例子,我们应该就可
以了解registergIobals选项存在的安全问题了.
网站的安全不仅是网站程序本身,系统的安全
配置同样重要不要忽略了任何一点点的安全
隐患,要经常检查自己的PhPini中的regiSter gIobaIs是否设置为了OFF程序中的变量也记得
要初始化.J
北京市保安总公司网络安全保安分公司协办
浙公网安备 33021202002483