אבטחת אתרים ב-PHP

הכותב: רז בניית אתרים

תחילה נגע בסוגיות אבטחה בקוד PHP

1. אימות והגנה בשדות (inputs)
2. אבטחה נגד התקפות XSS
3. אבטחה נגד התקפות CSRF
4. מניעת הזרקת SQL
5. יצירת מערכות העלאת קבצים מאובטחות
6. עבודה נכונה עם סשנים ומערכות התחברות ואבטחת סיסמאות
7. תצוגת שגיאות נכונה
8. מדיניות אבטחה והתנהלות נכונה
9. העמסה על השרת וספאם

אימות שדות באתר

אבטחה נגד XSS

אבטחה נגד התקפות CSRF

כיצד מונעים הזרקת SQL? 

קודם כל מזה אומר בכלל? שוב, זוכרים את המשתמש שמכניס תכנים זדוניים בשדות תמימים שהקצבנו לו באתר?
אז בדומה לזה גם כאן, רק שהפעם הלקוח מכניס דברים שעשויים לשבש באמת את תהליכי העבודה של האתר שלנו באמצעות החדרה תוכן זדוני למסד נתונים.
למשל, חשבו על מערכת התחברות שבה הלקוח מזין שם משתמש וסיסמה.
המערכת משווה את השם משתמש והסיסמה למה שיש כרגע במסד נתונים ובמידה וזה נכון היא מוסיפה לו סשן או קוקי כדי שהוא יוכל להתחבר ולהמשיך לעבוד באתר.
אבל מה קורה אם הלקוח משחק עם התוכן שהוא מכניס ובמקום להכניס שם משתמש רגיל הוא כותב פקודת SQL תוך איפה שהיה צריך לכתוב שם משתמש? אז אני אגלה לכם סוד. אם לא מיגנתם את זה, בעצם כל מה שהוא כתב זה חלק מהפקודה SQL ומשם הוא יכול לעשות מה שבא לו, כולל למחוק את הטבלה כולל לעדכן, כולל ליצור טבלה חדשה, להשיג את הסיסמה וכדומה!!

אז איך ממגנים? זה הכי פשוט בעולם. קודם כל מומלץ לעבוד עם PHP7 שזו הגרסה הכי מעודכנת שיש כיום. במידה ויצאה גרסה מעודכנת יותר אז תמיד עדיף לעדכן. דבר שני, זוכרים את הפקודה htmlspecialchars?
ובכן זו פקודה מפתח כי היא בעצם מסירה את כל ה= ״ ו ה- ׳ וכל שאר הסימנים איתם אנחנו עובדים על שאילתת ה-SQL שלנו. בעצם היא לא מסירה אלא מתעלמת ואז מה שהוא מכניס הוא תמיד יהיה מוגדר כטקסט רגיל ולא כפקודת SQL זדונית.

 

יצירת מערכות העלאת קבצים מאובטחות

בוא נגיד שלא מיגנתם בכלל את מערכת העלאת הקבצים שלכם ונתתם ללקוח שלכם להעלות מה שהוא רוצה. במקום להעלות תמונה שלו לפרופיל למשל הוא יעלה קובץ ששוקל 300 מגה שיתקע את טעינת העמוד לכולם, עשוי לתקוע את השרת וכמובן לא יציג שום תמונה. אז האבטחה הבסיסית היא קודם כל לאפשר לו להעלות רק את הקבצים הרצויים, אם זה תמונה למשל אז שיעלה רק JPG או PNG וכדומה ובמשקל הראוי והמתאים.

עוד בצד הלקוח ניתן למנוע ממנו לעשות זאת (להכניס תכנים זדוניים) באמצעות JS.
אנחנו יכולים לדעת את מידת הקובץ וסוגו עוד לפני שהעלה אותו לשרת ואז במקום לאמת אותו רק באמצעות PHP אנחנו יכולים לאמת אותו כבר ב-JS עוד לפני שהטריח את השרת להעלות קובץ ששוקל 300 מגה סתם.

שוב זכרו, צריך למגן את זה באמצעות JS וגם באמצעות PHP גם יחד שכן המשתמש עשוי לחסום את ה-JS שלו בכוונה.
 

עבודה נכונה עם סשנים ומערכות התחברות

זה אחד הדברים הכי חשובים. נתחיל קודם כל עם משפט ברזל:
בחיים אבל בחיים אל תשמרו נתונים סודיים של הלקוח שלכם במסד נתונים, כמו למשל סיסמאות. במקום זה אתם צריכים לשמור את ה-hash של הסיסמה שלהם.

ה-hash של הסיסמה שלהם הוא בעצם צופן חד צדדי שניתן להשיג באמצעות פקודת php עם SALT. את ה-hash עצמו אנחנו שותלים במסד נתונים וגם בקוקי של הלקוח ואז משווים אם הם נכונים בכל פעם שהוא נכנס ובכך אנחנו שומרים אותו מחובר גם באופן עתידי. בכל פעם שהוא מזין את הסיסמה כדי להתחבר מה שאנחנו עושים זה משתמשים בפקודה password_verify שהיא בעצם היחידה שיודעת להפוך את הסיסמה שהוא הזין לאותו hash בדיוק ששמרנו במסד נתונים, במידה וזה נכון אנחנו יודעים שהסיסמה שלו נכונה. זכרו אנחנו לא אמורים לדעת ולשמור את הסיסמה שלו.
ובחיים לא לשמור פרטים סודיים על הקוקי שלו גם.

קוד לדוגמה של פעולה זו:
 

function generateHash($password) {
    if (defined("CRYPT_BLOWFISH") && CRYPT_BLOWFISH) {
        $salt = '$2y$11$' . substr(md5(uniqid(rand(), true)), 0, 22);
        return crypt($password, $salt);
    }
}

$generate = htmlspecialchars($_GET['generate'], ENT_QUOTES);

if ($generate=="true")
{
  function generateStrongPassword($length = 20, $add_dashes = false, $available_sets = 'luds')
  {
      $sets = array();
      if(strpos($available_sets, 'l') !== false)
          $sets[] = 'abcdefghjkmnpqrstuvwxyz';
      if(strpos($available_sets, 'u') !== false)
          $sets[] = 'ABCDEFGHJKMNPQRSTUVWXYZ';
      if(strpos($available_sets, 'd') !== false)
          $sets[] = '23456789';
      if(strpos($available_sets, 's') !== false)
          $sets[] = '#$%*';
      $all = '';
      $password = '';
      foreach($sets as $set)
      {
          $password .= $set[array_rand(str_split($set))];
          $all .= $set;
      }
      $all = str_split($all);
      for($i = 0; $i < $length - count($sets); $i++)
          $password .= $all[array_rand($all)];
      $password = str_shuffle($password);
      if(!$add_dashes)
          return $password;
      $dash_len = floor(sqrt($length));
      $dash_str = '';
      while(strlen($password) > $dash_len)
      {
          $dash_str .= substr($password, 0, $dash_len) . '-';
          $password = substr($password, $dash_len);
      }
      $dash_str .= $password;
      return $dash_str;
  }
  $new_password = generateStrongPassword();
  $hashed_password = generateHash($new_password);
 

בעצם מה שאנחנו עושים פה זה לוקחים ממציאים סיסמה חזקה מאוד ועלייה עושים hash. את ה-hash צריך לשמור במד נתונים ולשתול בקוקי של הלקוח.
ואז לפעול באותה צורה שכתבתי למעלה. מאוד פשוט.
רצוי גם לעשות שאם הלקוח משנה משהו בקוקי שלו, אז שלא ישמור אותו מחובר אלא יעביר אותו לעמוד התנתקות ויעיף אותו מהאתר.

 

תצוגת שגיאות נכונה

display_error on בקובץ php.ini עשוי להציג למשתמשים שגיאות שאינן הכרחיות ואינן מפריעות לעמוד להיטען, ככה שהכל בסדר אבל הלקוח עשוי לראות שגיאות שהוא אינו אמור. לכן מומלץ להשבית פקודה זו ולדבג טעויות באמצעות הקובץ error שנמצא בתקיית ה-public_html. וכמובן באמצעות פקודות כמו var_dump על סביבת הפיתוח וכדומה.
 

מדיניות אבטחה והתנהלות נכונה

1. בחיים אל תשמרו את הסיסמאות של הלקוחות שלכם.
2. בחיים אל תשמרו פרטים חשובים בקוקי של הלקוחות שלכם ועם כן, תדאגו לצרף אסימון (טוקן).
3. בחיים אל תגבילו לקוחות לכמות תווים מסויימת בסיסמה או משהו כזה, הפוך, תגבילו אותם למינימום של תווים ושיהיו חייבים לשים אות גדולה וקטנה ומספר ותו אחד לפחות.
4. שנו מדי פעם את הסיסמאות שלכם.
5. אל תאחסנו את הסיסמאות בתוספים כמו LastPass וכל מיני שטויות שכאלו שעשויים לדפוק לכם הכל או ליפול מתישהו או להיפרץ בעצמם ואכלתם אותה.
6. תמיד שיהיה לכם גיבוי עדכני אצלכם ביד ולא בשרת ולא בענן ולא שום דבר אחר. גיבוי באמצעות USB או כונן נייד.
7. אל תשתמשו באותה סיסמה 300 פעם.
8. אל תשתפו את הסיסמה שלכם עם גורמים אחרים כל עוד היא רגישה. כלומר - שתפו סיסמאות שהן זמניות ואין להן ערך במערכות אחרות שלכם.
9. עבדו עם SSL - פרוטוקול אבטחה והצפנה HTTPS.
10. בחרו שרת איכותי שיש לו מערכת אבטחה טובה וזמן העלאה אחרי פריצות מינימלי ככל הניתן.

רז בניית אתרים - בית עסק בוטיק המספק פתרונות לבניית אתרים ותכנות, קידום ושיווק באינטרנט ופיתוח אפליקציות. לתיאום פגישת ייעוץ בחינם חייגו 050-992-1014 או צרו קשר דרך האתר