php - $_SERVER ['REQUEST_URI' ] 和 header ('location: ...' 的任何安全问题)；

Question

我的网站有页眉、页脚和主要内容。如果用户未登录，对于主要内容，可能会显示登录表单而不是实际内容。

在该登录表单上，我在 session 变量 $_SESSION['redirect'] 中写入了 $_SERVER['REQUEST_URI']。

我的登录表单后处理程序将用户登录，成功登录后将通过 header('location: http://myserver.com'.$_SESSION['redirect' ]);

因此，如果我转到 myserver.com/somesite.php?somevar=10 如果您已登录，它将显示正确的站点。否则它将显示登录表单，但是 URL浏览器中的地址栏仍然显示 myserver.com/somesite.php?somevar=10 然后您输入您的凭据，您将被重定向到 myserver.com/somesite.php?somevar=10，然后 - 因为您现在已登录 - 将完全显示。

我不将 REQUEST_URI 值用于表单操作或用作链接 href。

此外，我使用的任何 $_GET 变量都会首先检查它们是否匹配正则表达式(通常变量将是 sha1 字符串或随机生成的字符串只有数字和字母，没有特殊字符)，如果在数据库查询中使用 get 变量，我总是使用准备好的语句。

我的问题是是否存在任何安全问题？有什么方法可以利用这个，在 url 中输入一些恶意的东西，然后将它发送给另一个用户，例如......？我是否应该在此过程中以某种方式逃避某些事情？

Answer 1

关键规则是您始终检查您的输入/输出并查看您可以控制和不能控制的内容(以及用户可以控制的内容)。在此基础上，您应用安全/ sanitizer 措施。

如果我正确理解您的场景，您将显示该页面，除非用户未登录。在这种情况下，您将显示一个登录框，并在成功登录后将用户发送回他试图访问的页面$_SERVER['request_uri'](存储在 session 中)。

所以用户显然可以控制这个变量，他可以浏览到你的带有一些笨拙字符的页面。因此，您需要对其进行 sanitizer 。正如@Wayne 在评论中提到的，例如，用户可以遍历您的目录树。

因此，就像您的 $_GET 变量一样，您也需要清理 $_SERVER['request_uri']。 有很多方法可以做到这一点。最安全的方法可以说是在使用 html_entities() 或类似方法进行清理后检查 request_uri 是否为现有页面。请注意，特殊的目录遍历方法，例如 ../、// 和 ./ 可能会通过传统的清理方法，例如上述的 html_entities()

按字面意思回答:我应该在这个过程中以某种方式逃避某些事情吗？ - 是的，一切，在每个过程的开始。

------ 编辑 @ 12-12-2013 -----

(评论的答案太长，所以我将在这里解释用户如何使用目录遍历，包括潜在的危险情况)

来自 PHP 手册:

$_SERVER['REQUEST_URI']: The URI which was given in order to access this page;
                         for instance, '/index.html'.

所以，假设我想去 yourdomain.com/posts/post.php?../../../ssh 你的 webapp 会注意到我没有登录，将 post.php?../../../ssh 存储在 session 中并处理登录，之后它将我发送回 url。由于 ../../../ssh 部分，我不会被发送到 post.php，而是发送到您服务器上名为 ssh 的目录在您的网络根目录下。为了您的方便，您已将 SSH key 存储在那里。这看起来很安全，因为它在 webroot 之外，没有 webuser 应该能够访问它。 然而，我可以，因为我巧妙地添加了您的网址。

虽然这有点牵强，但正确配置的 http 服务器、chrooting 环境等可以防止这种情况发生，这个例子确实向您展示了如果您允许添加这些字符，它们可能会使用户访问他们所在的位置不应该。

根据您的实现，盲目添加 $_SERVER['request_uri'] 也可能意味着不需要的内容会添加到 session 中，如果您将该 session 存储在数据库中，它也会被添加到数据库。我并不是真正了解 PHP 的(不)安全的最新情况，但我可以想象这允许突破 session 变量并可能将内容注入(inject)您的数据库。

虽然并非一切皆有可能，并且该示例也可能不是真正可行的，但最好还是不难防止这种行为。

-- 事后细想:也许 header('location'... 的东西是不安全的，但是这个:Is this PHP redirect insecure? 表明它不是真的。然而，就像那边的评论者说的那样:输入 urlencode()

并不难