首页 / PHP / php漏洞对策_PHP教程
php漏洞对策_PHP教程
内容导读
互联网集市收集整理的这篇技术教程文章主要介绍了php漏洞对策_PHP教程，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含2074字，纯文字阅读大概需要3分钟。
内容图文
其实从编程的角度来讲PHP是没什么问题的,主要是使用PHP这种语言编出来的东西是否涉及安全了. PHP的运行,是靠它的语言解释器来完成的,在NT或WIN9X下也就是PHP.EXE,PHP.EXE是一个解释器,它的作用是解释后缀为.PHP或.PHP3或.PHTML或其它的文件,根据里边定义的程序来访问数据库,读写文件或执行外部命令.并将执行的结果组织成STRING返回给WEB SERVER然后当作HTML格式的文件发送给浏览器.
知道了它工作的过程我们就可以探讨其SECURITY问题了,上述文件中我们提到过 PHP.EXE,提到过读取文件,和执行外部命令,其实这些都是安全隐患只所在,在MS-DOS下可以使用PHP.EXE读任何文件的内容,因为它本身的工作机制也就是读文件内容,把该解释的解释,该过滤的过滤.所以我们就可以利用它的这一特性通过WEB读任何我们想读文件的内容,当然这不是这么简单,这需要WEB SERVER的配合,这是后话,我们以后在讲.
PHP的第二个特性是读取文件的内容,有很多CGI漏洞就是由此特性造成的,很简单的一段程序:它的任务就是读变量$file的内容,程序员在程序调用中可能会天真的想,我就读A文件http://shabi.com/index.php3?file=a.txt 它没有对FILE这个变量做严格的限制,就导致安全问题的产生,我想稍微有点安全知识的人也知道把A.TXT修改为:/etc/passwd或NT下的../../../../../winnt/repair/sam._了
PHP的第三个特性是执行外部命令,在UNIX下比较多见:ls,echo等等,其实这是最容易出问题的,大家都知道SHELL可以连续的执行命令,用管道符|:或者~都可以,在这里我就顺便说个想法让大家和我一起探讨,这是关于WEB MAIL的,当然也和WEB编程有关,一般来说我们申请一个MAIL需要注册,而注册的时候,大都对姓名有限制,如长度等等,不过对密码的限制不严格,长度也大些,而MAIL程序可能需要调用SHELL命令来执行用户的添加,比如叫:ADD USER吧,参数是用户名和密码.add user lovehacker 1234567那如果我的密码为:a|reboot会怎么样呢?嘿嘿如果它没有把密码加密,而且添加用户使用的权限够大的话,哈哈就会让它从新启动COMPUTER,当然如果它要加密的话也行,比如用MD5或DES我们都可以写段程序让加密后的STRING为:rf -rm /*当然这只是个想法啦,我还没实践过:_)工作太忙了!当然通过我以上的想法你也可以看出执行SHELL命令而不做严格的判断有多么的严重!
http://www.bkjia.com/PHPjc/532338.htmlwww.bkjia.comtruehttp://www.bkjia.com/PHPjc/532338.htmlTechArticle其实从编程的角度来讲PHP是没什么问题的,主要是使用PHP这种语言编出来的东西是否涉及安全了. PHP的运行,是靠它的语言解释器来完成的,在...
内容总结
以上是互联网集市为您收集整理的php漏洞对策_PHP教程全部内容，希望文章能够帮你解决php漏洞对策_PHP教程所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。
内容备注
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。
内容手机端
扫描二维码推送至手机访问。
来源：【匿名】