Trong PHP, tên hàm và tên lớp được tra cứu không phân biệt chữ hoa chữ thường. Nghĩa là, nếu bạn định nghĩa một hàm có tên là compute, bạn có thể gọi nó bằng cách viết CoMpUtE[]. Tuy nhiên, nếu bạn cố gắng làm điều đó trong Hack, trình đánh máy sẽ báo lỗi, cho biết chức năng CoMpUtE không được xác định
Tuy nhiên, lưu ý rằng mặc dù Hack phân biệt chữ hoa chữ thường, nhưng nó không hợp lệ để xác định hai hàm [hoặc hai lớp, v.v. ] có tên chỉ khác nhau về cách viết hoa. Đó là bởi vì Hack phải có khả năng tương tác với PHP, trong đó tra cứu tên vẫn không phân biệt chữ hoa chữ thường
Hạn chế này thực sự không liên quan gì đến an toàn hoặc hiệu suất của loại. Sẽ rất đơn giản để triển khai tra cứu tên không phân biệt chữ hoa chữ thường trong trình kiểm tra chữ Hack và nó sẽ không ảnh hưởng đến khả năng thực hiện suy luận kiểu của trình kiểm tra đánh máy
Thay vào đó, đó là một quyết định triết học. Hầu hết các ngôn ngữ lập trình có mục đích chung đều phân biệt chữ hoa chữ thường, bao gồm cả tổ tiên tinh thần của PHP. Perl, C và Java. Nó làm cho mã dễ đọc hơn một chút và không khó viết hơn
Về mặt hiệu suất, tra cứu phân biệt chữ hoa chữ thường kém hiệu quả hơn một chút so với tra cứu phân biệt chữ hoa chữ thường, bởi vì chuỗi đích phải trải qua quá trình chuẩn hóa chữ hoa chữ thường trước khi được sử dụng làm khóa trong tra cứu bảng băm. Trong HHVM, nó cũng phải chịu một hình phạt bộ nhớ nhỏ, bởi vì mỗi chức năng và lớp phải lưu trữ cả tên gốc từ mã nguồn [để sử dụng trong thông báo lỗi và phản ánh] và phiên bản tên chuẩn hóa chữ hoa chữ thường [để sử dụng trong tra cứu bảng băm]
PHP là xương sống của hầu hết mọi CMS phổ biến hiện nay. Nhờ tính đơn giản và không cần giấy phép, PHP là lựa chọn ưu tiên để phát triển trang web động. Tuy nhiên, do các tiêu chuẩn mã hóa kém, việc xâm phạm các trang web PHP đã trở nên tương đối dễ dàng. Internet có rất nhiều chủ đề trợ giúp nơi người dùng phàn nàn về trang web PHP tùy chỉnh bị tấn công hoặc trang web PHP chuyển hướng bị tấn công. Điều này đã dẫn đến rất nhiều dư luận tiêu cực cho chính PHP mà không thể đổ lỗi cho điều này
Do đó, nếu PHP không bị đổ lỗi thì điều gì đã gây ra hack chuyển hướng trang web PHP?
30.000 trang web bị tấn công mỗi ngày. Bạn là người tiếp theo phải không?
Bảo vệ trang web của bạn khỏi phần mềm độc hại và tin tặc bằng Bảo vệ trang web trước khi quá muộn
Bắt đầu
7 ngày dùng thử miễn phí
Trang web PHP tùy chỉnh bị tấn công. ví dụ
Hầu hết các chủ sở hữu trang web chỉ tập trung vào phần phát triển chứ không phải khía cạnh bảo mật. Do đó, khi các trang web được thiết kế bằng PHP bị tấn công, chủ sở hữu trang web không còn cách nào khác vì họ chỉ trả tiền cho các nhà phát triển để phát triển. Người dùng gặp khó khăn có thể tìm kiếm sự trợ giúp trên các diễn đàn trực tuyến và đọc các bài báo như thế này. Dưới đây là một vài ví dụ như vậy
Trang web PHP tùy chỉnh bị tấn công. Triệu chứng
- Các trang lừa đảo xuất hiện trên trang web PHP của bạn nhằm lừa người dùng nhập thông tin nhạy cảm
- Người dùng nhấp vào các liên kết nhất định trên trang web của bạn và kết thúc trên một tên miền khác. Nguyên nhân rất có thể là do cấu hình sai hoặc hack chuyển hướng trang web PHP
- Trình chặn quảng cáo gắn nhãn và chặn một số thành phần nhất định trên trang web của bạn để khai thác tiền điện tử
- Trình quản lý tệp PHP không xác định xuất hiện trên trang web và trang web PHP hiển thị quảng cáo độc hại
- Các tệp PHP đã bị sửa đổi với mã không xác định gây chuyển hướng hoặc tạo liên kết ngược cho các trang web đáng ngờ
- Nội dung vô nghĩa xuất hiện trên trang web PHP tùy chỉnh có thể do Hack từ khóa tiếng Nhật hoặc Hack dược phẩm, v.v.
- Thông báo cảnh báo về việc tạm ngưng tài khoản xuất hiện khi sử dụng dịch vụ lưu trữ của bên thứ ba cho các trang web PHP tùy chỉnh
- Trang web PHP tùy chỉnh hiển thị các thông báo cảnh báo về việc bị Google và các công cụ tìm kiếm khác đưa vào danh sách đen vì spam phần mềm độc hại, v.v.
- phpMyAdmin hiển thị một số quản trị viên cơ sở dữ liệu mới và chưa biết
- Email được gửi từ tên miền của trang web PHP của bạn đã bị gắn nhãn là thư rác
- Thông báo lỗi không mong muốn trên trang web và trang web PHP trở nên chậm và không phản hồi
Trang web PHP tùy chỉnh bị tấn công. 13 lý do tại sao
Máy chủ cấu hình sai
1. Quyền đối với tệp yếu
Quyền đối với tệp cấp đặc quyền sửa đổi một tệp PHP cụ thể cho một loại người dùng nhất định. Do đó, nếu quyền truy cập tệp PHP không được đặt đúng cách, nó có thể cho phép kẻ tấn công đưa vào tệp PHP của bạn thư rác phần mềm độc hại, v.v.
2. Mật khẩu mặc định
Sử dụng mật khẩu yếu hoặc thường được sử dụng là lý do phổ biến khiến trang web PHP tùy chỉnh bị tấn công. Từ điển tùy chỉnh có thể được sử dụng để thử tất cả các kết hợp mật khẩu có thể có. Sau khi bị xâm phạm, tùy thuộc vào vectơ tấn công i. e. FTP brute force hoặc cPanel brute force; . Sau đó, kẻ tấn công có thể tải lên phần mềm độc hại PHP hoặc cửa hậu
Bài viết liên quan – Làm cách nào để xóa Backdoor WordPress?
3. Đã bật lập chỉ mục thư mục
Kích hoạt lập chỉ mục thư mục có thể cho phép kẻ tấn công đọc các tệp PHP nhạy cảm. Điều này có thể cung cấp thông tin nhạy cảm liên quan đến máy chủ cho những kẻ tấn công. Những kẻ tấn công có thể sử dụng thông tin này để tiến hành các cuộc tấn công mạng trên trang web PHP tùy chỉnh của bạn
4. Cổng mở
Cổng mở có thể khiến trang web PHP tùy chỉnh bị tấn công. Hơn nữa, những kẻ tấn công có thể sử dụng các cổng mở để lấy dấu vân tay các dịch vụ phụ trợ của trang web PHP của bạn. Bằng cách sử dụng thông tin đó, kẻ tấn công có thể thỏa hiệp các dịch vụ phụ trợ hoặc chính các cổng mở bằng cách khai thác
5. Lưu trữ kém
Nói chung, lưu trữ PHP giá rẻ đi kèm với mức giá bảo mật cao. Các máy chủ lưu trữ kém cắt giảm các hoạt động bảo mật để làm cho dịch vụ rẻ hơn. Vì vậy, một khi sự lây nhiễm bắt đầu lan rộng trên các máy chủ như vậy, nó có thể xâm phạm nhiều trang web bao gồm cả trang web PHP của bạn, mặc dù vậy, nó không được nhắm mục tiêu trực tiếp
Mã PHP dễ bị tổn thương
6. PHP SQL tiêm
SQL injection trong PHP chủ yếu là do thiếu đầu vào của người dùng không được làm sạch. Do các tiêu chuẩn mã hóa kém, đầu vào không được làm sạch được tiếp cận trực tiếp với máy chủ cơ sở dữ liệu và được thực thi. Một số nguyên nhân chính của SQLi trong các trang PHP tùy chỉnh là
- Thiếu bộ lọc cho các ký tự khoảng trắng
- Sử dụng dấu ngoặc kép để phân định chuỗi
- Chuyển đầu vào của người dùng chưa được vệ sinh vào Cơ sở dữ liệu
- Triển khai bảng mã Unicode không đúng cách
- Trộn mã với dữ liệu
- Xử lý loại không đúng cách
7. PHP Cross-Site Scripting
XSS là một nguyên nhân phổ biến khác khiến các trang web PHP tùy chỉnh bị tấn công sau khi tiêm SQL. Cả hai cuộc tấn công này đều phổ biến trên web đến nỗi chúng xuất hiện hàng năm trong top 10 của OWASP. XSS cũng được gây ra do thiếu vệ sinh đầu vào của người dùng. Trong các trang web PHP và nói chung, các cuộc tấn công XSS chủ yếu có ba loại
- XSS được lưu trữ. Loại XSS này dựa vào quản trị viên web để nhấp vào một liên kết cụ thể, sau đó tải một tập lệnh độc hại để đánh cắp cookie
- XSS phản ánh. Đây là một XSS khá nghiêm trọng và thường có thể được tìm thấy trong các trang web PHP có diễn đàn, thảo luận, v.v. Mã độc từ loại XSS này được lưu trữ trên máy chủ và được thực thi mỗi khi người dùng truy cập trang PHP đó
- XSS dựa trên DOM. Loại XSS này có thể là một trong hai loại được đưa ra ở trên. Tuy nhiên, việc phát hiện loại XSS này khá khó và thậm chí có thể thoát ra sau khi kiểm tra mã
Các trang web dễ bị tấn công XSS thường được nhắm mục tiêu cho tấn công chuyển hướng trang web PHP hoặc đánh cắp cookie của quản trị viên
8. Giả mạo yêu cầu trên nhiều trang web PHP
Các cuộc tấn công CSRF nhằm lừa người dùng trang web PHP thực hiện các hành động không mong muốn. Nếu các trang web PHP tùy chỉnh của bạn cho phép đăng ký, CSRF có thể cho phép mọi người xóa tài khoản ngẫu nhiên hoặc thực hiện các hành động khác. Mặc dù ý nghĩa của các hành động không hiển thị trực tiếp đối với kẻ tấn công, nhưng CSRF có thể xóa người dùng của các trang web PHP do đó làm giảm lưu lượng truy cập trang web
9. Bao gồm tệp cục bộ PHP
Lỗ hổng bao gồm tệp xảy ra khi kẻ tấn công có thể truy cập các tệp bên ngoài thư mục gốc ‘www‘. Thủ phạm chính của lỗ hổng này là các tập lệnh được mã hóa kém lấy tên tệp làm tham số. Lỗ hổng này cho phép kẻ tấn công đọc các tệp cấu hình và mật khẩu nhạy cảm của trang web PHP tùy chỉnh của bạn. Thông tin thu được từ các tệp này có thể được kẻ tấn công sử dụng để đăng nhập bằng quyền quản trị, do đó dẫn đến trang web PHP bị tấn công
Lỗ hổng Zero-Day trong PHP
10. Plugin hoặc chủ đề lỗi
Các plugin hoặc chủ đề được mã hóa kém trong PHP là các lỗ hổng nằm ngay trên máy chủ của bạn chỉ chờ bị khai thác. Đã có trường hợp những kẻ tấn công nhắm mục tiêu cụ thể vào các plugin có lỗi để tiến hành các cuộc tấn công hàng loạt vào các trang web PHP. Nếu trang web PHP của bạn bị tấn công, đó có thể là plugin hoặc chủ đề được mã hóa kém
11. Gói PHP bị xâm phạm
Cũng có khả năng các thư viện và gói PHP dễ bị tổn thương. Điều tương tự cũng có thể xảy ra với bất kỳ ngôn ngữ nào khác. Gần đây, trình quản lý gói PHP PEAR đã bị kẻ tấn công xâm phạm. Những kẻ tấn công đã thay thế mã ban đầu bằng mã được tiêm của chúng được tải xuống bởi những người dùng không nghi ngờ. Gói này sau đó được họ sử dụng trên các trang web của họ để tìm kiếm và tải xuống các thư viện miễn phí được viết bằng ngôn ngữ lập trình PHP. Mặc dù những trường hợp như vậy rất hiếm nhưng không thể bỏ qua hoàn toàn khả năng trang web PHP tùy chỉnh bị tấn công do lỗi zero-day
Tấn công kỹ thuật xã hội
12. Lừa đảo
Gần đây, quản trị viên của trang web PHP tùy chỉnh của bạn có nhận được thư từ hoàng tử Nigeria không?. Các cuộc tấn công như thế này được thiết kế để lừa quản trị viên web cung cấp thông tin nhạy cảm của trang web PHP dẫn đến trang web PHP bị tấn công. Do đó, để giữ an toàn khỏi các email lọc lừa đảo đến miền trang web PHP
13. nối đuôi nhau
Tailgating chỉ là một biến thể khác của các cuộc tấn công lừa đảo. Theo cách tấn công này, trước tiên kẻ tấn công xâm phạm tài khoản người dùng cấp thấp và sau đó sử dụng tài khoản đó để leo thang đặc quyền. Các nhà nghiên cứu của chúng tôi đã thấy hành vi bám đuôi trong một trong các nghiên cứu điển hình và thường được sử dụng để trốn tránh sự phát hiện. Hậu quả của việc theo dõi có thể thay đổi từ việc đánh cắp thông tin đến trang web PHP bị tấn công
30.000 trang web bị tấn công mỗi ngày. Bạn là người tiếp theo phải không?
Bảo vệ trang web của bạn khỏi phần mềm độc hại và tin tặc bằng Bảo vệ trang web trước khi quá muộn
Bắt đầu
7 ngày dùng thử miễn phí
Trang web PHP tùy chỉnh bị tấn công. Bảo mật trang web
Đặt quyền chính xác
PHP có ba chức năng sau để kiểm tra quyền truy cập tệp
- is_readable[]. Hàm này trả về giá trị boolean là true nếu người dùng được phép đọc tệp PHP
- is_writable[]. Hàm này trả về giá trị boolean là true nếu người dùng được phép ghi vào tệp PHP
- is_executable[]. Hàm này trả về giá trị boolean là true nếu người dùng được phép thực thi tệp PHP
Tương tự, hàm chmod[] của PHP có thể được sử dụng để chỉnh sửa quyền của tệp. Chỉ cần nhập tên của tệp cùng với quyền. tôi. e. “chmod[$RandomFile, 0644];”. Trong hình ảnh dưới đây là danh sách đầy đủ về quyền đối với tệp và chức năng của nó. Ngoài ra, hãy đảm bảo thêm '0' trước quyền của tệp để chỉ định trình thông dịch PHP rằng đầu vào là hệ bát phân
Đặt mật khẩu an toàn
Đảm bảo rằng mật khẩu của bạn cho trang web PHP tùy chỉnh của bạn là một mật khẩu an toàn. Làm cho nó kết hợp tốt giữa các số, bảng chữ cái và ký hiệu. Ngoài ra, trước khi đặt mật khẩu, một bước phòng ngừa là xem qua các từ điển mật khẩu phổ biến như Rockyou. txt và kiểm tra xem mật khẩu bạn đang đặt không có ở đó không. Trong trường hợp người dùng Linux, lệnh Grep có thể hữu ích để tìm kiếm trong các tệp lớn như vậy. Chỉ cần tìm kiếm, grep -i ‘*YourNewpass*’ rockyou. txt. Ngoài ra, để tránh rắc rối khi tạo mật khẩu mới, bạn cũng có thể sử dụng các công cụ trực tuyến khác để lấy mật khẩu an toàn, dài và ngẫu nhiên
Vô hiệu hóa lập chỉ mục thư mục
Để tắt lập chỉ mục trong một thư mục cụ thể, hãy thêm đoạn mã sau vào. htaccess [trong trường hợp. htaccess không có, hãy tạo một cái]
Tùy chọn -Chỉ mục
Sử dụng Hosting an toàn
Nói chung, khi tìm kiếm dịch vụ lưu trữ, hãy đảm bảo rằng dịch vụ đó cung cấp tường lửa hoặc giải pháp bảo mật như Astra Security làm với các đối tác lưu trữ tích hợp của mình. Ngoài ra, hãy đảm bảo chia mạng con để cách ly trang web của bạn khỏi các trang web khác đang chạy trên cùng một máy chủ
Kiểm tra mã PHP
Khi trang web PHP tùy chỉnh đã được tạo, việc xây dựng một trang web khác từ đầu sẽ không khả thi về mặt kinh tế. Do đó, kiểm tra mã là cách tốt nhất để nắm bắt các lỗ hổng trong trang web PHP trước khi những kẻ tấn công thực hiện. Astra Security có một cộng đồng tin tặc tuyệt vời để kiểm tra và kiểm tra tính bảo mật của trang web của bạn
Xem Tường lửa thông minh và Trình quét phần mềm độc hại hoạt động
Ngăn chặn các bot xấu, SQLi, RCE, XSS, CSRF, RFI/LFI và hàng nghìn cuộc tấn công mạng và nỗ lực hack
Dùng thử bản dùng thử miễn phí
Hãy cho chúng tôi biết nếu bạn thích nó 😃
Bài đăng này có hữu ích không?
Có 8
Không 2
thẻ. PHP, trang web dựa trên PHP bị tấn công, PHP bị tấn công, phần mềm độc hại PHP, bảo mật PHP, lỗ hổng PHP, trang web PHP bị xâm phạm, XSS trong PHP