PHP Web应用程序上传漏洞的攻防研究

doi:10.3969/j.issn.1671-1122.2015.10.008

信息网络安全 ›› 2015, Vol. 15 ›› Issue (10): 53-60.doi: 10.3969/j.issn.1671-1122.2015.10.008

PHP Web应用程序上传漏洞的攻防研究

韦鲲鹏¹(), 葛志辉¹, 杨波²

1.广西大学计算机与电子信息学院,广西南宁 530004
2.中国电信集团系统集成有限责任公司广西分公司,广西南宁 530028

收稿日期:2015-08-14 出版日期:2015-10-01 发布日期:2015-11-04
作者简介:
作者简介：韦鲲鹏（1990-）,男,广西,硕士研究生,主要研究方向：网络安全;葛志辉（1978-）,男,河北,教授,博士,主要研究方向：无线网络、移动互联网、网络性能优化;杨波（1974-）,男,广西,工程师,本科,主要研究方向：系统集成。
基金资助:
国家自然科学基金[61363067]

Research on Attack-defense of PHP Web Application Upload Vulnerability

WEI Kun-peng¹(), GE Zhi-hui¹, YANG Bo²

1. College of Computer and Electronic Information, Guangxi University, Nanning Guangxi 530004, China
2. China Telecom Group System Integration Limited Liability Company, Guangxi Branch, Nanning Guangxi 530028, China

Received:2015-08-14 Online:2015-10-01 Published:2015-11-04

摘要/Abstract

摘要：

基于PHP（hypertext preprocessor）的Web应用程序是目前互联网中使用最为广泛的Web应用,一旦PHP Web应用程序出现安全漏洞,系统中存储的数据和用户的安全就受到很大的威胁。因此,PHP Web应用程序的安全漏洞受到越来越多的关注,如何对PHP Web应用程序进行安全防护已经成为当前研究的一大热点。在PHP Web安全中出现概率很大而且危害也很大的攻击有跨站脚本漏洞、SQL注入漏洞、代码执行漏洞及上传漏洞等。目前在跨站脚本漏洞、SQL注入漏洞和代码执行漏洞等领域都已经有了系统的攻防研究,特别是SQL注入漏洞更是人们关注的热点。而针对PHP Web应用程序上传漏洞却缺少系统性的攻防研究,一些防范方法也已经过时,很多攻击技术和防范方法都没有涉及。文章首先对PHP Web应用上传漏洞进行了全面详细的分析,接着给出具体详细的防护措施,最后总结出PHP Web应用程序文件上传功能的安全开发建议。

关键词: PHP Web, 漏洞, 文件上传, 攻防

Abstract:

The Web application set up by PHP (hypertext preprocessor) is the most widely use in the Internet. Once the PHP Web application with security vulnerability, the security of the data and the users of the system is greatly threaten. Because of this, the security vulnerability of PHP Web applications is getting more and more attention. How to secure the PHP Web application protection has become a hot spot in the research of the current. There is a lot of probability and the damage is great attack in the security of PHP Web. They are XSS vulnerability, SQL injection vulnerability, code execution vulnerability and upload vulnerability etc. So far, there has been a system of defensive research in XSS, SQL vulnerabilities and code execution vulnerability and other fields, the SQL injection is more popular in the top. Correspondingly, the Web PHP applications of upload vulnerability are lack of a systematic attack and defense research. Related content could appear in only one chapter in an article, some of these prevention methods are outdated, and many of the latest attack techniques and prevention methods are not involved. The article analyzes carefully on the file upload attack in PHP Web application and gives the corresponding protective measures, and sums up some security development suggestions about file-upload capabilities in PHP Web application.

Key words: PHP Web, vulnerability, file upload, attack-defense

中图分类号:

TP309

韦鲲鹏, 葛志辉, 杨波. PHP Web应用程序上传漏洞的攻防研究[J]. 信息网络安全, 2015, 15(10): 53-60.

WEI Kun-peng, GE Zhi-hui, YANG Bo. Research on Attack-defense of PHP Web Application Upload Vulnerability[J]. Netinfo Security, 2015, 15(10): 53-60.

图/表 5

参考文献 26

[1]	国家计算机网络应急技术处理协调中心. 2014年中国互联网网络安全报告[R]. 北京:CNCERT,091913,2015.
[2]	LAMP[EB/OL]. ,2015-06-20.
[3]	程茂华. PHP安全漏洞防范研究[J]. 信息安全与技术,2013,4(7):75-77.
[4]	LOUREIRO N.Programming PHP with security in mind[J]. Linux journal, 2002, (102): 64-67.
[5]	徐勇,郑晓明. 万能上传击溃ASP／PHP／JSP脚本系统[J]. 黑客防线,2004,(11):8-13.
[6]	杨宁. PHP漏洞挖掘之旅——详解PHP文件上传漏洞(一)[J]. 黑客防线,2007,(8):31-34.
[7]	杨宁. PHP漏洞挖掘之旅——详解PHP文件上传漏洞(二)[J]. 黑客防线,2007,(9):32-33.
[8]	王威. PHP网站安全性的分析研究及其在图片上传系统中的应用[D]. 北京:北京邮电大学,2011.
[9]	程茂华. 基于PHP安全漏洞的Web攻击防范研究[J]. 信息安全与技术,2013,4(5):53-55.
[10]	AMIT Y, HAY R, SALTZMAN R. Testing web applications for file upload vulnerabilities: U.S. Patent 9,009,841[P].2015-4-14.
[11]	池阳,高健,周福才. 基于ISAPI过滤器的Web防护系统[J]. 信息网络安全,2014,(7):35-40.
[12]	梦幻剑客. PHP漏洞引发的入侵[J]. 黑客防线,2008,(10):17-18.
[13]	Apache. Terms Used to Describe Directives - Apache HTTP Server Version 2.4[EB/OL]. , 2015-06-20.
[14]	WooYun. Apache文件名解析缺陷漏洞[EB/OL]. , 2015-07-20.
[15]	bghost. 浅谈变形PHP WEBSHELL检测[EB/OL]. , 2015-07-15.
[16]	冯硕,李永义. PHP安全模式漏洞分析[J]. 网络安全技术与应用,2011,(4):9-11.
[17]	何鹏程,方勇. 一种基于Web日志和网站参数的入侵检测和风险评估模型的研究[J]. 信息网络安全,2015,(1):61-65.
[18]	php. PHP: 安全模式- Manual[EB/OL]. , 2015-08-01.
[19]	Heiderich M, Nava E A V, Heyes G, et al. Web application obfuscation Elsevirer[M]. Bochum: Syngress, 2011.
[20]	段娟,辛阳,马宇威. 基于Web应用的安全日志审计系统研究与设计[J]. 信息网络安全,2014,(10):70-76.
[21]	王琳,张小梅. 软件补丁管理在网络信息安全中的作用及趋势[J]. 武汉理工大学学报,2005,(27):87-89.
[22]	尹宏飞. Windows系统预防[J]. 科技创新与应用,2015,(3):64-64.
[23]	叶嘉羲,张权,王剑. 基于权限控制和脚本检测的Webview漏洞防护方案研究[J]. 信息网络安全,2015,(3):38-43.
[24]	魏坤玉,万仲保. Apache Web Server的安全性配置[J]. 计算机与现代化,2005,(3):107-109.
[25]	周永强. 基于Linux系统的Apache服务器安全对策[J]. 电脑开发与应用,2013,(12):64-66.
[26]	孟正,梅瑞,张涛,等. Linux下基于SVM分类器的WebShell检测方法研究[J]. 信息网络安全,2014,(5):5-9.

PHP Web应用程序上传漏洞的攻防研究

Research on Attack-defense of PHP Web Application Upload Vulnerability

RichHTML

PDF (PC)

可视化

摘要/Abstract

引用本文

使用本文

图/表 5

参考文献 26

相关文章 15

编辑推荐

Metrics

本文评价

[1]	张立强, 路梦君, 严飞. 一种基于函数依赖的跨合约模糊测试方案[J]. 信息网络安全, 2024, 24(7): 1038-1049.
[2]	王鹃, 龚家新, 蔺子卿, 张晓娟. 多维深度导向的Java Web模糊测试方法[J]. 信息网络安全, 2024, 24(2): 282-292.
[3]	王鹃, 张冲, 龚家新, 李俊娥. 基于机器学习的模糊测试研究综述[J]. 信息网络安全, 2023, 23(8): 1-16.
[4]	钟远鑫, 刘嘉勇, 贾鹏. 基于动态时间切片和高效变异的定向模糊测试[J]. 信息网络安全, 2023, 23(8): 99-108.
[5]	贾凡, 康舒雅, 江为强, 王光涛. 基于NLP及特征融合的漏洞相似性算法评估[J]. 信息网络安全, 2023, 23(1): 18-27.
[6]	张光华, 刘永升, 王鹤, 于乃文. 基于BiLSTM和注意力机制的智能合约漏洞检测方案[J]. 信息网络安全, 2022, 22(9): 46-54.
[7]	张玉健, 刘代富, 童飞. 基于局部图匹配的智能合约重入漏洞检测方法[J]. 信息网络安全, 2022, 22(8): 1-7.
[8]	刘翎翔, 潘祖烈, 李阳, 李宗超. 基于前后端关联性分析的固件漏洞静态定位方法[J]. 信息网络安全, 2022, 22(8): 44-54.
[9]	孙鹏宇, 谭晶磊, 李晨蔚, 张恒巍. 基于时间微分博弈的网络安全防御决策方法[J]. 信息网络安全, 2022, 22(5): 64-74.
[10]	冯光升, 张熠哲, 孙嘉钰, 吕宏武. 计算机系统漏洞自动化利用研究关键技术及进展[J]. 信息网络安全, 2022, 22(3): 39-52.
[11]	刘振亚, 林璟锵. 基于OpenSSL密码软件的SM2算法加解密漏洞分析[J]. 信息网络安全, 2022, 22(11): 47-54.
[12]	朱丽娜, 马铭芮, 朱东昭. 基于图神经网络和通用漏洞分析框架的C类语言漏洞检测方法[J]. 信息网络安全, 2022, 22(10): 59-68.
[13]	周艺华, 董松寿, 杨宇光. 标准模型下基于格的身份代理部分盲签名方案[J]. 信息网络安全, 2021, 21(3): 37-43.
[14]	陈光宣, 吴家健, 操丹妮, 谢清泉. 一种基于Checkm8漏洞的iPhone取证方法研究[J]. 信息网络安全, 2021, 21(12): 44-50.
[15]	吴佳明, 熊焰, 黄文超, 武建双. 一种基于距离导向的模糊测试变异方法[J]. 信息网络安全, 2021, 21(10): 63-68.