fsockopen 到用户输入的 IP 地址 - 安全问题

Question

我目前正在构建一个网站，让拥有在线视频游戏服务器的人能够更好地控制他们的服务器，而无需输入控制台命令。为此，用户输入其游戏服务器的 IP 地址和端口，我的脚本尝试使用 fsockopen() 建立 tcp 连接。然后它使用 fwrite 发送一个命令（使用源服务器查询协议）并监听预期的响应。

到目前为止，该功能运行良好，但我担心允许 fsockopen 连接到几乎任何地址。为了安全起见，如果用户完全控制连接服务器会发生什么？是否有任何代码执行或其他我应该注意的严重问题？

非常感谢。

Answer 1

问题可能并不在于您的服务器可能会受到损害，只是简单地从套接字读取值在 PHP 中是安全的，除非 PHP 本身有错误。

我宁愿担心任意用户能够连接到互联网上的任何服务。根据您实现它的方式，您的机器可能会被用来发送垃圾邮件、帮助进行 DDoS 或其他类型的攻击。

所以：

• 不允许输入某些端口（所有
• 禁止某些 IP 范围（例如 10/8、127/8）
• 禁止任何其他不能成为合理值的东西
• 限速吧
• 跟踪执行的操作，以防您的计算机被用于恶意活动