PHP会话安全与配置问题白盒审计指南

一、PHP会话安全机制与风险

PHP会话(Session)机制是Web应用身份验证的核心组件，但配置不当或代码缺陷会导致多种安全风险。

1.1 会话劫持(XSS导致会话ID泄露)

漏洞代码示例：

// 页面输出未过滤用户输入
echo "Welcome, " . $_GET['username'];

攻击方式：
攻击者构造恶意链接：

http://example.com/?username=<script>document.write('')</script>

用户访问后，浏览器发送会话Cookie到攻击者服务器。

修复方案：

// 输出前转义HTML特殊字符
echo "Welcome, " . htmlspecialchars($_GET['username'], ENT_QUOTES);

// 设置安全Cookie参数
session_set_cookie_params([
    'httponly' => true,
    'secure' => true,
    'samesite' => 'Strict'
]);
session_start();

1.2 会话固定(Session Fixation)

漏洞代码：

if (isset($_GET['sessid'])) {
    session_id($_GET['sessid']);
}
session_start();
$_SESSION['user'] = 'admin'; // 用户登录后未更新Session ID

修复方案：

session_start();
if ($login_success) {
    session_regenerate_id(true); // 删除旧Session
    $_SESSION['user'] = 'admin';
}

1.3 会话数据篡改

漏洞代码：

$_SESSION['balance'] = 1000;
$balance = $_SESSION['balance'];

修复方案：

// php.ini配置
session.save_path = "path/to/secure/directory"
session.sid_length = 128
session.hash_function = "sha256"

// 代码层加密
ini_set('session.serialize_handler', 'php_serialize');
session_start();
$_SESSION['encrypted_data'] = encrypt(json_encode($data), $secret_key);

1.4 Session ID可预测

危险配置：

session.entropy_length = 0
session.hash_function = 0 ; 使用MD5

安全配置：

session.entropy_length = 32
session.hash_function = "sha256"
session.sid_length = 128
session.use_strict_mode = 1

1.5 跨子域会话劫持

漏洞代码：

session_set_cookie_params(0, '/', '.example.com');

修复方案：

session_set_cookie_params([
    'lifetime' => 3600,
    'path' => '/',
    'domain' => 'app.example.com', // 非顶级域
    'secure' => true,
    'httponly' => true,
    'samesite' => 'Lax'
]);
session_start();

二、PHP配置安全问题

2.1 文件包含漏洞(RFI)

危险配置：

allow_url_fopen = On
allow_url_include = On

修复方案：

allow_url_include = Off
allow_url_fopen = Off # 若非必要也关闭

安全代码实践：

$allowed_pages = ['home', 'about'];
$page = $_GET['page'];
if (!in_array($page, $allowed_pages)) {
    die("非法请求");
}
include($page . '.php');

2.2 敏感信息泄露

危险配置：

display_errors = On
display_startup_errors = On

安全配置：

display_errors = Off
display_startup_errors = Off
log_errors = On
error_log = /var/log/php_errors.log

2.3 文件上传漏洞

危险配置：

file_uploads = On
upload_max_filesize = 100M
post_max_size = 101M

安全配置：

upload_max_filesize = 2M
post_max_size = 3M

安全代码实践：

$allowed_types = ['image/jpeg', 'image/png'];
$file_type = $_FILES['file']['type'];
if (!in_array($file_type, $allowed_types)) {
    die("仅允许上传图片");
}

$new_name = md5(uniqid()) . '.jpg';
move_uploaded_file($_FILES['file']['tmp_name'], $upload_dir . $new_name);

2.4 危险函数未禁用

安全配置：

disable_functions = system,exec,passthru,shell_exec,popen,proc_open,pcntl_exec

三、安全配置清单

3.1 会话安全配置

3.2 其他关键配置

四、最佳实践代码示例

4.1 登录后刷新Session ID

session_start();
if ($user->login()) {
    session_regenerate_id(true);
    $_SESSION['user_id'] = $user->id;
}

4.2 绑定会话与客户端指纹

$_SESSION['client_fingerprint'] = hash('sha256', $_SERVER['HTTP_USER_AGENT'] . $_SERVER['REMOTE_ADDR']);

// 每次请求校验指纹
if ($_SESSION['client_fingerprint'] !== hash('sha256', $_SERVER['HTTP_USER_AGENT'] . $_SERVER['REMOTE_ADDR'])) {
    session_destroy();
    die("会话异常");
}

4.3 安全注销

function secure_logout() {
    $_SESSION = [];
    if (ini_get("session.use_cookies")) {
        $params = session_get_cookie_params();
        setcookie(session_name(), '', time() - 42000,
            $params["path"], $params["domain"],
            $params["secure"], $params["httponly"]
        );
    }
    session_destroy();
}

五、安全审计工具

1. phpinfo()页面检查配置
2. 命令行检查：php -i | grep 'allow_url_include'
3. 自动化扫描工具：
   • PHP Security Checker：检测依赖库漏洞
   • RIPS：静态代码分析工具，识别危险函数调用

六、总结

PHP安全需要代码规范与配置加固双重保障：

1. 防御会话劫持：HttpOnly + Secure Cookie + 客户端指纹绑定
2. 杜绝会话固定：启用session.use_strict_mode + 登录后session_regenerate_id
3. 防止数据篡改：加密存储Session数据 + 限制文件权限
4. 降低预测风险：使用长随机Session ID(session.sid_length=128)
5. 最小权限原则：禁用不必要的函数与协议
6. 输入验证：对所有用户输入进行严格过滤和验证