Sicherheit von PHP-Anwendungen: Top-10-Schwachstellen für Anfänger

Sicherheit von PHP-Anwendungen: Top-10-Schwachstellen für Anfänger

PHP bleibt eine der beliebtesten Sprachen für die Webentwicklung, aber seine Flexibilität führt oft zu Schwachstellen, wenn grundlegende Sicherheitsregeln nicht beachtet werden. Laut OWASP sind die meisten Hacks auf 10 typische Fehler zurückzuführen, die Anfänger-Entwickler machen. In diesem Artikel analysieren wir jede Schwachstelle mit realen Codebeispielen und zeigen, wie Sie Ihre Anwendung schützen können.

1. SQL-Injection

Der häufigste Angriff. Der Angreifer injiziert bösartigen SQL-Code über Benutzereingaben.

Angreifbarer Code:

<?php\n$id = $_GET['id'];\n$query = "SELECT * FROM users WHERE id = $id";\n$result = mysqli_query($conn, $query);\n?>

Schutz: Verwenden Sie vorbereitete Anweisungen (prepared statements):

<?php\n$stmt = $conn->prepare("SELECT * FROM users WHERE id = ?");\n$stmt->bind_param("i", $_GET['id']);\n$stmt->execute();\n$result = $stmt->get_result();\n?>

2. XSS (Cross-Site Scripting)

Einschleusen von JavaScript-Code auf die Seite durch ungeprüfte Daten.

Angreifbarer Code:

<?php\necho "Hallo, " . $_GET['name'];\n?>

Schutz: Maskieren Sie die Ausgabe mit htmlspecialchars():

<?php\necho "Hallo, " . htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');\n?>

3. CSRF (Cross-Site Request Forgery)

Ein Angriff, bei dem der Benutzer ungewollte Aktionen in seinem Namen ausführt.

Angreifbarer Code:

<form action="/delete.php" method="POST">\n    <input type="submit" value="Konto löschen">\n</form>

Schutz: Fügen Sie ein CSRF-Token hinzu:

<?php\nsession_start();\n$_SESSION['csrf_token'] = bin2hex(random_bytes(32));\n?>\n<form action="/delete.php" method="POST">\n    <input type="hidden" name="csrf_token" value="<?= $_SESSION['csrf_token'] ?>">\n    <input type="submit" value="Konto löschen">\n</form>

4. Unsichere Passwortspeicherung

Speicherung von Passwörtern im Klartext oder mit veralteten Hashes (MD5, SHA1).

Angreifbarer Code:

<?php\n$password = md5($_POST['password']);\n// oder\n$password = sha1($_POST['password']);\n?>

Schutz: Verwenden Sie password_hash() und password_verify():

<?php\n$hash = password_hash($_POST['password'], PASSWORD_BCRYPT);\n// Überprüfung:\nif (password_verify($input_password, $hash)) {\n    echo "Passwort korrekt";\n}\n?>

5. Unsichere Dateiarbeit (Local/Remote File Inclusion)

Einbinden von Dateien über Benutzereingaben ohne Prüfung.

Angreifbarer Code:

<?php\ninclude($_GET['page'] . '.php');\n?>

Schutz: Verwenden Sie eine Whitelist erlaubter Dateien:

<?php\n$allowed_pages = ['home', 'about', 'contact'];\n$page = $_GET['page'] ?? 'home';\nif (in_array($page, $allowed_pages)) {\n    include($page . '.php');\n} else {\n    include('404.php');\n}\n?>

6. Falsche Sitzungskonfiguration

Verwendung vorhersagbarer Sitzungs-IDs oder fehlende Regenerierung.

Angreifbarer Code:

<?php\nsession_start();\n$_SESSION['user_id'] = $user_id;\n// Sitzung wird nach dem Login nicht regeneriert\n?>

Schutz:

<?php\nsession_start();\nsession_regenerate_id(true); // ID-Regenerierung nach dem Login\n$_SESSION['user_id'] = $user_id;\n?>

7. Unzureichende Eingabevalidierung

Vertrauen in beliebige Benutzerdaten.

An