PHP大会笔记：PHP安全开发，从白帽角度做安全
演讲大纲WEb安全现状
常见漏洞分析
如何提升系统安全性
安全案例
案例一：17岁小孩儿黑产月入8000+？QQ线报群。
案例二：对公网开放3306端口的服务器数量是180万之多。
WEB漏洞的特征
常规漏洞、逻辑漏洞、第三方通用漏洞
常规漏洞：代码注入、文件包含、CSRF、SQL注入、XSS跨站、脚本
本地文件包含漏洞
远程文件包含龙洞
避免？
open_basedir限制活动范围
过滤点斜杠反斜杠
禁止服务器远程包含文件
PHP代码注入如何防范？
不要把参数直接存储位可以运行的代码
尽量不要使用eval执行接收的参数
PHP安全开发扩展Taint，会提示未对入餐进行校验的部分进行warning提示
常规漏洞的特点
参数过滤不严谨
可以通过扫描器扫描出来
代码层面的bug
业务逻辑漏洞
验证码突破
业务授权安全
业务流程扰乱等
业务逻辑漏洞案例
平行越权漏洞案例：A能看到B的订单信息
垂直越权漏洞案例：普通用户进入管理员后台
越权逻辑漏洞防范
前后台的查询尽量不用同一个查询接口
尽量不要暴露出连续ID如订单号
越权不仅限于展示，修改数据也会出现
通用型漏洞：第三方开源系统的漏洞
如何防范漏洞？
SDL：安全开发生命周期，来自如微软，用于office和Windows之后，安全漏洞减少。
提升web应用的安全性，减少应用的安全漏洞数量
降低安全漏洞的修复成本
PPT下载：https://github.com/devlinkcn/ppts_for_php2017/blob/master/PHP%E5%AE%89%E5%85%A8%E5%BC%80%E5%8F%91_%E4%BB%8E%E7%99%BD%E5%B8%BD%E8%A7%92%E5%BA%A6%E5%81%9A%E5%AE%89%E5%85%A8--%E6%B1%A4%E9%9D%92%E6%9D%BE.pdf
常见漏洞分析
如何提升系统安全性
安全案例
案例一：17岁小孩儿黑产月入8000+？QQ线报群。
案例二：对公网开放3306端口的服务器数量是180万之多。
WEB漏洞的特征
常规漏洞、逻辑漏洞、第三方通用漏洞
常规漏洞：代码注入、文件包含、CSRF、SQL注入、XSS跨站、脚本
本地文件包含漏洞
远程文件包含龙洞
避免？
open_basedir限制活动范围
过滤点斜杠反斜杠
禁止服务器远程包含文件
PHP代码注入如何防范？
不要把参数直接存储位可以运行的代码
尽量不要使用eval执行接收的参数
PHP安全开发扩展Taint，会提示未对入餐进行校验的部分进行warning提示
常规漏洞的特点
参数过滤不严谨
可以通过扫描器扫描出来
代码层面的bug
业务逻辑漏洞
验证码突破
业务授权安全
业务流程扰乱等
业务逻辑漏洞案例
平行越权漏洞案例：A能看到B的订单信息
垂直越权漏洞案例：普通用户进入管理员后台
越权逻辑漏洞防范
前后台的查询尽量不用同一个查询接口
尽量不要暴露出连续ID如订单号
越权不仅限于展示，修改数据也会出现
通用型漏洞：第三方开源系统的漏洞
如何防范漏洞？
SDL：安全开发生命周期，来自如微软，用于office和Windows之后，安全漏洞减少。
提升web应用的安全性，减少应用的安全漏洞数量
降低安全漏洞的修复成本
PPT下载：https://github.com/devlinkcn/ppts_for_php2017/blob/master/PHP%E5%AE%89%E5%85%A8%E5%BC%80%E5%8F%91_%E4%BB%8E%E7%99%BD%E5%B8%BD%E8%A7%92%E5%BA%A6%E5%81%9A%E5%AE%89%E5%85%A8--%E6%B1%A4%E9%9D%92%E6%9D%BE.pdf
