PHP代码审核的详细介绍
概述
代码审核,是对应用程序源代码进行系统性检查的工作。它的目的是为了找到并且修复应用程序在开发阶段存在的一些漏洞或者程序逻辑错误,避免程序漏洞被非法利用给企业带来不必要的风险
代码审核不是简单的检查代码,审核代码的原因是确保代码能安全的做到对信息和资源进行足够的保护,所以熟悉整个应用程序的业务流程对于控制潜在的风险是非常重要的。
审核人员可以使用类似下面的问题对开发者进行访谈,来收集应用程序信息。
应用程序中包含什么类型的敏感信息,应用程序怎么保护这些信息的?
应用程序是对内提供服务,还是对外?哪些人会使用,他们都是可信用户么?
应用程序部署在哪里?
应用程序对于企业的重要性?
最好的方式是做一个 checklist,让开发人员填写。Checklist 能比较直观的反映应用程序的信息和开发人员所做的编码安全,它应该涵盖可能存在严重漏洞的模块,例如:数据验证、身份认证、会话管理、授权、加密、错误处理、日志、安全配置、网络架构。
输入验证和输出显示
大多数漏洞的形成原因主要都是未对输入数据进行安全验证或对输出数据未经过安全处理,比较严格的数据验证方式为:对数据进行精确匹配
接受白名单的数据
拒绝黑名单的数据
对匹配黑名单的数据进行编码
在 PHP 中可由用户输入的变量列表如下:
$_SERVER
$_GET
$_POST
$_COOKIE
$_REQUEST
$_FILES
$_ENV
$_HTTP_COOKIE_VARS
$_HTTP_ENV_VARS
$_HTTP_GET_VARS
$_HTTP_POST_FILES
$_HTTP_POST_VARS
$_HTTP_SERVER_VARS
我们应该对这些输入变量进行检查
相关文章
这是一种方式,但是是最安全的,因为只要知道这个原理就可以解开,不过你的要求不高这样就可以了.2011-08-08
这篇文章主要为大家分享了值得深入思考的10个PHP面试问题,具有一定的参考价值，感兴趣的小伙伴们可以参考一下2016-11-11
这篇文章主要介绍了PHP经典实用正则表达式,结合具体实例总结分析了php基于正则实现验证、查找、匹配等相关操作技巧,需要的朋友可以参考下2017-05-05
这篇文章主要介绍了PHP远程连接oracle数据库操作实现方法,结合图文形式详细分析了php连接Oracle数据库的相关配置、实现方法、遇到的问题、解决方法及相关操作注意事项,需要的朋友可以参考下2019-04-04
PHP 利用Mail_MimeDecode类提取邮件信息示例
重点为one_mail函数。利用Mail_mimeDecode类从邮件中提取邮件头和邮件正文，具体实现如下2014-01-01
这篇文章主要介绍了php实现多维数组中每个单元值(数字)翻倍的方法,涉及php操作数组的技巧,需要的朋友可以参考下2015-02-02
前段时间，朋友叫我帮他写个商品对比功能，当时正好在逛绿森数码商城，点开商品列表，看到有商品对比功能，然后直接下载了他的JS滚动文件和抽出了对比框的样式，然后自己完善了下。2015-09-09
分析php://output和php://stdout的区别
本篇文章给大家详细分析了php://output和php://stdout的用法区别以及实例代码分享，有需要的朋友可以参考学习下。2018-05-05
这篇文章主要介绍了php使用PDO获取结果集的方法,结合实例形式分析了PDO获取结果集的常用函数与相关使用技巧,需要的朋友可以参考下2017-02-02
本文给大家主要分享的是在PHP中如何获取用户IP地址、PHP根据IP判断用户所在城市以及PHP根据IP实现城市切换或跳转的问题。2015-08-08
最新评论