今、PHP／PostgreSQLで会員サイトを構築していて、もうすぐテストに入る段階です。

Checklist for Securing PHP Configuration

PHP設定のチェックリスト。

安全なウェブサイトの作り方（IPA）

Webアプリの一般的なセキュリティ対策の要点解説。

セキュア・プログラミング講座（IPA）

上記より詳しい。

あとは、第三者評価を入れるといいと思います。

http://www.ipa.go.jp/security/ciadr/checksheet.html

PHPサイバーテロの技法―攻撃と防御の実際
	ソシム 2005-11 売り上げランキング : 15664 おすすめ平均 ＰＨＰでセキュリティ対策するなら、ＮＯ１の良書 すべてのPHPプログラマに！ すばらしい Amazonで詳しく見る by G-Tools

このほんを読んで、とりあえずチェックリストを作成しましょう。

私も、id:pahoo さんの推薦する、IPAのサイトを推薦します。

一回みておくとよいでしょう。

また、id:asahiru さんのサイバーテロの技法は本当に役に立つと思います。

何度も熟読しました。

その中に書いてあることですが、

MaxPatrol でチェックするとよいかもしれません。

https://www.evestigate.com/security%20scanner%20download.htm

700ドルくらいするみたいですが、URLを入力すると、

テストを自動的にばーっとやってくれて、

ここが、クロスサイトスクリプティング脆弱性があるよ。とか、

ここで、こんな攻撃をさせる可能性があるとかを教えてくれます。

でも、７００ドルなんて出せないよという人のために、評価版もダウンロード可能なので、

私はそっちを使っていました。どんな脆弱性があるかは教えてくれますが、

どこそこにあるとかそういうことは教えてくれません。

それでも、重宝しました。

あと、これはセキュリティではないのですが、負荷テストをするために、

Jmeterを使っていました。

http://www.stackasterisk.jp/tech/engineer/jmeter01_01.jsp

一台のマシンで、複数台からのDDOS攻撃のまねごととかできます。

「一度に10台から同時にアクセスしたことにする」とかが簡単にできます。

ログがものすごく汚れますが、試してもよいかと思います。

あと、これもセキュリティとは関係ないですが、

ハイパフォーマンスWebサイト ―高速サイトを実現する14のルール

• 作者: Steve Souders スティーブ サウダーズ
• 出版社/メーカー: オライリージャパン
• メディア: 大型本

これもよかったです。真ん中らへんは、随分とすっ飛ばしましたが、

Webアクセスの作法などがよくわかります。

ただ、この本の通りにすると、ブラウザによってはまれに副作用がありますので、ご注意ください[javascriptは最後におくとか。]。

PHPのセキュリティの専門家としても有名な大垣さんの連載記事

http://gihyo.jp/dev/serial/01/php-security

まぁ、セキュリティ対策は様々在りますが、最低限でも

SQLインジェクション

XSS

だけはしっかりチェックしましょう。

もちろん、OSコマンドやincludeやrequireなどにも注意する必要がありますが、まぁ、include($_GET['user']) みたいな事はしないにせよ、SQLInjetionは未だにありますので、要注意です。

特に文字エンコードの違いを利用したSQLインジェクションも多発していますので、単にmysql_real_es...でくくればいいというものではなさそうです。

いずれにせよ、大企業のECサイトですらハッキングされている現状なので、きちっとコードを確認し万全を尽くし、又万が一情報が漏洩しても大丈夫なように暗号化やハッシュ化はしておくのがベストでしょう。（転ばぬ先の杖）

googleのRatProxyはどうでしょうか

http://blog.asial.co.jp/410

http://www.dit.co.jp/service/check/index.html

開発依頼元からお金がでるんでしたら、ここに頼みましょう。

費用はかかりますが、結構丁寧で報告書も解決策まで記載されており、良いです。

→昔頼んだ際は良かったです。