【发布时间】：2011-04-13 15:30:19
【问题描述】：
我正在编写一个由 PHP 和 MySQL 提供支持的动态站点（在 WAMP 服务器上运行）。我目前担心的是网站的安全性，但是它没有保存任何用户输入，然后为任何用户（管理员除外）输出，所以我并不担心 XSS。我主要关心的是防止 SQL 注入攻击和保护管理员登录门户免受彩虹表/暴力破解。
1) 将 mysql_real_escape_string 与 sprintf() 结合使用是否可以保护您免受 SQL 注入？例如，
$thing = mysql_real_escape_string($_REQUEST['thing'])
$query = sprintf("SELECT * FROM table WHERE thing='%s'", $thing);
$result = mysql_query($query);
这足够安全吗？当然，没有一个系统是绝对安全的，但我知道准备好的语句应该是防止 SQL 注入的最佳方法。但是，如果我的代码“足够安全”，那么我认为没有理由进行更改。我在某处读到 mysql_query 默认情况下，出于安全原因，每次调用只允许一个 MySQL 查询，对吗？如果是这样，我看不出如何对我的代码进行任何注入，但请让我知道我的逻辑是否存在缺陷。
2) 我正在为该站点编写一个管理门户，以便它的所有者可以在网站上以一种简单、用户友好的方式操作 MySQL 数据库（从未从任何地方链接到的登录 HTML 文件）在网站上）。我在这里对安全性的关注是登录过程，它由两个页面组成。一、收集用户登录信息：
<!DOCTYPE HTML PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<html xml:lang="en" xmlns="http://www.w3.org/1999/xhtml" lang="en">
<head>
<title>Admin Portal</title>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<meta name="robots" content="noindex, nofollow">
<link rel="stylesheet" type="text/css" href="http://www.anotherdomain.com/my.css">
<script type="text/javascript" src="http://www.anotherdomain.com/my.js"></script>
</head>
<form method="post" action="admin/login.php">
<table align="center">
<tr><th>Admin Login Form</th></tr>
<tr><td>Name</td><td><input type="text" name="Name" size="30" onKeyPress="return aJSFunctionToStopEnterKeyFromWorking(event)"></td></tr>
<tr><td>Password</td><td><input type="password" name="Password" size="30" onKeyPress="return aJSFunctionToStopEnterKeyFromWorking(event)"></td></tr>
<tr><td></td><td><input type="reset" value="Clear Form"> <input type="submit" value="Login"></td></tr>
</table>
</form>
二、实际登录脚本：
<?php
$inputusername = $_POST['Name'];
$inputpassword = $_POST['Password'];
$username = "a username that is not obvious";
$password = "a password that is at least 10 characters long";
$salt = hash('sha512', "a messed up string with weird characters that I wrote");
$hashword = hash('sha512', $password . $salt);
$inputhashword = hash('sha512', $inputpassword . $salt);
if($username == $inputusername && $hashword == $inputhashword) {
session_start();
$_SESSION['valid'] = 1;
header('Location: portal.php');
exit;
}
else {echo "Invalid username or password";}
?>
然后在登录过程之后，每个页面都会有以下内容，以确保管理员已登录：
<?php
session_start();
if(!$_SESSION['valid']) {header('Location: ../admin.html');}
?>
Portal page goes here
由于没有创建新用户，因此门户网站永远只有一个用户。我只是想知道这种登录方法对彩虹表和暴力破解等攻击有多安全？我认为，由于我将 hashword 和 salt 都设置得非常大，因此即使用户名在某种程度上是已知的，它也应该可以非常安全地免受此类攻击。
我也想知道这是否可以避免会话劫持，因为这是我听说过的一个术语，但我不太了解......我知道我从来没有抛出会话 ID 或类似的东西，所以看起来很安全。
3) 我应该知道/考虑的任何其他安全问题？
非常感谢我在这方面得到的任何帮助！
【问题讨论】：
标签： php mysql security dynamic