目前，基于PHP的网站开发已经成为目前网站开发的主流，xk星空小编从PHP网站攻击与安全防范方面进行探究，旨在减少网站漏洞，希望对大家有所帮助!
一、常见PHP网站安全漏洞
对于PHP的漏洞，目前常见的漏洞有五种。分别是Session文件漏洞、SQL注入漏洞、脚本命令执行漏洞、全局变量漏洞和文件漏洞。这里分别对这些漏洞进行简要的说明。
1、session文件漏洞
Session攻击是黑客最惯用到的攻击手段之一。当一个客户访问某一个网站时，为了免 用户每进人一个页面都要输人账号和密码，PHP设立了Session和Cookie用于方便客户的启用和访向。
2、SQL注入漏洞
在进行网站开发的时候，程序员由于对客户输人数据缺乏全面判断或者过滤不严诱发服务器执行一些恶意信息，比如客户信息查询等。黑客能够根据恶意程序返回的结果获得相应的信息。这就是月行胃的SQL注入漏洞。
3、脚本执行漏洞
脚本执行漏洞常见的因素是由于程序员在开发网站时对客户提交的URL参数过滤较少引起的，客户提交的URL可能包括恶意代码诱发跨站脚本攻击。脚本执行漏洞在以前的PHP网站中经常存在，但是随着PHP版本的升级，这些间题已经减少或者不存在了。
4、全局变量漏洞
PHP中的变量在启用的时候不像其他开发语言那样需要事先声明，PHP中的变量能够不经声明就直接启用，启用的时候系统自动创立，而且也不需要对变 量种类进行介绍，系统会自动根据上下文环境自动确立变量种类。这种方式能够大大减少程序员编程中出错的概率，启用起来非常的方便。
5、文件漏洞
文件漏洞通常是由于网站开发者在进行网页设计时对外部提供的数据缺乏充分的过滤诱发黑客利用其中的漏洞在Web进程上执行相应的命令。假如在 lsm.php中包括这样一段代码：include($b.”/aaa.php”.)，这对黑客来说，能够通过变量$b来实现远程攻击，能够是黑客自已的代码，用来实现对网站的攻击。能够向服务器提交a.php include=http：//lZ7.0.0. 1/b.php，然后执行b.php的指令。
二、PHP常见漏洞的防范措施
1、对于Session漏洞的防范
从之前的解析能够知道，Session攻击最常见的就是会话劫持，也就是黑客通过种种攻击手段获得客户的Session ID，然后利用被攻击客户的身份来登录相应网站。为此，这里能够用以下几类手法进行防范：一是定期变换Session ID，变换Session ID能够用PHP自带函数来实现；二是变换Session名称，通常情况下Session的默认名称是PHPSESSID，这个变量普通是在cookie中保存的，如果更改了它的名称，就能够阻档黑客的部分攻击;三是对透明化的Session ID进行关闭处理，所谓透明化也就是指在http请求没有启用cookies来制定Session id时，Sessioin id启用链接来传递.关闭透明化Session ID能够通过使用PHP.ini文件来实现；四是通过URL传递隐藏参数，这样能够确保即使黑客获得了session数据，但是由于相关参数是隐藏的，它也很难获取Session ID变量值。
2、对SQL注入漏洞的防范
黑客进行SQL注着手段很多，而且灵活多变，但是SQL注人的共同点就是利用输入过滤漏洞。因此，要想从根本上避免SQL注入，根本解决措施就是加强对请求命令尤其是查询请求命令的过滤。具体来说，包含以下几点：一是把过滤性语句进行参数化处理，也就是通过参数化语句实现客户信息的输入而不是直接把客户输入嵌入到语句中。二是在网站开发的时候尽可能少用解释性程序，黑客经常通过这种手段来执行非法命令；三是在网站开发时尽可能防止网站出现bug，否则黑客可能利用这些信息来攻击网站；仅仅通过防御SQL注入还是不够的，另外还要经常启用专业的漏洞扫描工具对网站进行漏洞扫描。
3、对脚本执行漏洞的防范
黑客利用脚本执行漏洞进行攻击的手段是多种多样的，而且是灵活多变的，对此，必须要采用多种防范手法综合的手段，才能有效避免黑客对脚本执行漏洞进行攻击。这里惯用的手法手法有以下四种。一是对可执行文件的途径进行预先设定。能够通过safe_moade_exec_dir来实现;二是对命令参数进行处理，普通用escapeshellarg函数实现;三是用系统自带的函数库来代替外部命令;四是在使用的时候进可能减少启用外部命令。
4、对全局变量漏洞防范
对于PHP全局变量的漏洞问题，以前的PHP版本存在这样的问题，但是随着PHP版本升级到5.5以后，能够通过对php.ini的设立来实现，设立ruquest_order为GPC。另外在php.ini配置文件中，能够通过对Magic_quotes_runtime进行布尔值设立是否对外部引人的数据中的溢出字符加反斜线。为了确保网站程序在服务器的任何设立状态下都能运行。能够在整个程序着手的时候用get_magic_quotes_runtime测试设立状态决定是否要手工处理，或者在着手(或不需要自动转义的时候)用set_magic_quotes_runtime(0)关掉。
5、对文件漏洞的防范
对于PHP文件漏桐能够通过对服务器进行设立和配置来达到防范目的。这里具体的使用如下：一是把PHP代码中的错误提醒关闭，这样能够防止黑客通过错误提醒获得数据库信息和网页文件物理途径;二是对open_basedir尽心设立，也就是对目录外的文件使用进行禁止处理;这样能够对本地文件或者远程文件起到保护作用，避免它们被攻击，这里还要留意防范Session文件和上载文件的攻击;三是把safe-made设立为开启状态，从而对将要执行的命令进行规范，通过禁止文件上传，能够有效的提升PHP网站的安全系数。
