$bookSQL=sprintf("UPDATE book SET pass=%s WHERE id=%d", GetSQLValueString($_POST['list'], "text"), GetSQLValueString($_GET['id'],"int")); GetSQLValueString 这个函数，可以换成别的函数 但在sql语句这里用上sprintf()这个函数的话！就相对安全多了，比如id那里我们可以用上%d 或是有很多sql操作的时候，用上这个 $Result = $db->query($bookSQL) or die(my...
用于显示错误信息和成功信息，其实也可以直接echo出错误信息，这里我只是想我的出错信息页面漂亮点，定义了一个页面输出的函数罢了。 代码如下:// savecomment.php// 大家先不要看注释，看完本文后，再回过头来看 require ("config.php"); mysql_connect($servername,$dbusername,$dbpassword) or die ("数据库连接失败"); $name=$_POST['name']; $c $blogid=$_POST['blogid']; $datearray=getdate(time()); $date=date("Y-m-d h:...
简述：/************************* 说明： 判断传递的变量中是否含有非法字符 如$_POST、$_GET 功能：防注入 **************************/ 代码如下://要过滤的非法字符 $ArrFiltrate=array("'",";","union"); //出错后要跳转的url,不填则默认前一页 $StrGoUrl=""; //是否存在数组中的值 function FunStringExist($StrFiltrate,$ArrFiltrate){ foreach ($ArrFiltrate as $key=...
1。理论 在普通HTTP上，一般表单中的密码都是以明文方式传到服务器进行处理的。这无疑给了坏人以可乘之机！这里我们就说说怎么传输密码才是安全的！ 与其传输密码本身，到不如传输其加密后的形式。MD5是个不错的选择。第一，不同的资源几乎不可能生成相同的MD5摘要，第二，MD5的编码方式是不可逆推的。有了这些特性，我们就可以让MD5摘要公开的在Internet上传输，而不必担心密码被坏人知道。然后在服务端也将密码通过同样的方式加密...
今天朋友问我discuz安全提问答案能不能饶过去。或者破解，我以前就注意过个密码，只记得很短，以为是substr取的MD5,最后看了半天的源码，确实是MD5加密的，不过，加密的过程有点晕 无安全提问 母亲的名字 爷爷的名字 父亲出生的城市 您其中一位老师的名字 您个人计算机的型号 您最喜欢的餐馆名称 驾驶执照的最后四位数字 加密过程是value的值先加密一次，比如我的提问是“驾驶执照的最后四位数字”value的值就是7，7的MD5为8f14e4...
php的配置函数就是几个ini_*的函数，主要是针对配置文件的操作，其实就四个函数：ini_get、ini_set、ini_get_all、ini_restore。个人感觉最有用的就是ini_set和ini_get。 * ini_get()：获取配置文件的选项值 这个函数相信很多人都使过，就是获取配置文件中某一个选项的值，如果是true值就返回1，如果是false值就返回0，字符串就返回字符串。 比如手册中的例子： /* Our php.ini contains the following settings: display_errors ...
大家都知道安全性是重要的，但是行业中的趋势是直到最后一刻才添加安全性。既然不可能完全保护 Web 应用程序，那么为什么要费这个劲儿呢，不是吗？不对。只需采用一些简单的步骤就能够大大提高 PHP Web 应用程序的安全性。 开始之前 在本教程中，您将学习如何在自己的 PHP Web 应用程序中添加安全性。本教程假设您至少有一年编写 PHP Web 应用程序的经验，所以这里不涉及 PHP 语言的基本知识（约定或语法）。目标是使您了解应该如何...
传统加密方式:md5(密码+盐值);$passwordString=your password;//你的密码 $salt="your salt value";//盐值，增加复杂度（随机字串） $md5Password=md5($passwordString.$salt);从理论上来说，md5不可逆，算是一种比较安全的加密方式。但是我要提醒的是，md5早在04年的时候就被中国人破解。一旦被人拖库的化，密码泄漏的可能性极大。现在推荐一种新的处理方式：密码散列算法函数password_get_info — 返回指定哈希（hash）的相关信息...
用户提交过来的数据都是不可信的，所以，在查库或入库前需要对提交过来的数据进行过滤或字符的转换处理，以防止SQL注入或xss攻击等问题。推荐：【PHP教程】一、防止SQL注入什么是SQL注入攻击？所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。寻找SQL注入的方法：1.通过get请求2.通过post请求3.其他http请求，如cookie常见的SQL注入问题：数据库查询参数...
简介要提供互联网服务，当你在开发代码的时候必须时刻保持安全意识。可能大部分 PHP 脚本都对安全问题不在意，这很大程度上是因为有大量的无经验程序员在使用这门语言。但是，没有理由让你因为对你的代码的不确定性而导致不一致的安全策略。当你在服务器上放任何涉及到钱的东西时，就有可能会有人尝试破解它。创建一个论坛程序或者任何形式的购物车，被攻击的可能性就上升到了无穷大。推荐PHP视频教程：https://www.gxlcms.com/cou...
相对于其他几种语言来说， PHP 在 web 建站方面有更大的优势，即使是新手，也能很容易搭建一个网站出来。但这种优势也容易带来一些负面影响，因为很多的 PHP 教程没有涉及到安全方面的知识。本文分为几部分，每部分会涵盖不同的安全威胁和应对策略。但是，这并不是说你做到这几点以后，就一定能避免你的网站出现任何问题。如果你想提高你的网站安全性的话，你应该继续通过阅读书籍或者文章，来研究如何提高你的网站安全性出于演示需...
一、 文件上传漏洞与WebShell的关系文件上传漏洞是指网络攻击者上传了一个可执行的文件到服务器并执行。这里上传的文件可以是木马，病毒，恶意脚本或者WebShell等。这种攻击方式是最为直接和有效的，部分文件上传漏洞的利用技术门槛非常的低，对于攻击者来说很容易实施。文件上传漏洞本身就是一个危害巨大的漏洞，WebShell更是将这种漏洞的利用无限扩大。大多数的上传漏洞被利用后攻击者都会留下WebShell以方便后续进入系统。攻击者...
memcache本身没有权限控制模块，所以开放在外网的memcache服务很容易被攻击者扫描发现，通过命令交互可直接读取memcache中的敏感信息。解决这个问题可以按照以下方案：1、memcache 并不提供给外网访问memcached -d -m 1024 -u root -l 127.0.0.1 -p 11211 -c 1024 -P /tmp/memcached.pid2、memcache 需要提供给外网访问开启防火墙iptables -A INPUT -p tcp -s 192.168.0.2 --dport 11211 -j ACCEPT上述规则的意思是只允许192.168.0...
本篇文章小编想和大家谈谈PHP弱类型，PHP弱类型给程序员书写代码带来了很大的便利，但是任何事物都有两面性，现在随着小编一起了解一下吧。0x00 弱类型初探没有人质疑php的简单强大，它提供了很多特性供开发者使用，其中一个就是弱类型机制。在弱类型机制下 你能够执行这样的操作<?php $var = 1; $var = array(); $var = "string"; ?>php不会严格检验传入的变量类型，也可以将变量自由的转换类型。比如 在$a == $b的比较中$a = nul...
本文主要讲述的是PHP中的TS和NTS的区别，感兴趣的朋友可以了解一下。ts(Thread-Safety)即线程安全，多线程访问时，采用了加锁机制，当一个线程访问该类的某个数据时，进行保护，其他线程不能进行访问直到该线程读取完，其他线程才可使用。不会出现数据不一致或者数据污染php以ISAPI方式加载的时候选择这个版本.，php以ISAPI方式加载的时候选择这个版本。nts(None-Thread Safe)即非线程安全，就是不提供数据访问保护，有可能出现多个...