代码如下:// define constannts for input reading define(INPUT_GET, 0x0101); define(INPUT_POST, 0x0102); define(INPUT_GPC, 0x0103); /** * Read input value and convert it for internal use * Performs stripslashes() and charset conversion if necessary * * @param string Field name to read * @param int Source to get value from (GPC) * @param boolean Allow HTML tags in field value * @param string Charset ...
开发人员、数据库架构师和系统管理员在部署PHP应用程序到服务器之前都应该采取预防措施。大部分预防措施可以通过几行代码或者把应用程序设置稍作调整即可完成。 #1：管理安装脚本 如果开发人员已经安装了一套第三方应用程序的PHP脚本，该脚本用于安装整个应用程序的工作组件，并提供一个接入点。大多数第三方软件包都建议在安装后，删除该目录包含的安装脚本。但开发人员希望保留安装脚本，他们可以创建一个.htaccess文件来...
php.ini-recommended的安全等级比php.ini-dist高。默认是把display_errors 设置为 off，将magic_quotes_gpc 设置为Off等等。而相对的php.ini-dist都是默认的配置。 所以说，如果你只是想进行web测试和普通开发，使用php.ini-dist，不然就是用php.ini-recommended。具体参阅http://www.php.com 简单说明：如果是本地开发学习，建议复制 php.ini-dist一份保存为php.ini如果是服务器上使用，为了安全，复制php.ini-recommended一份保存...
本文将以Joomla!后台链接为例，讲解如何“修改”我们的后台链接，使其更加安全。 原理：通过特定文件为后台入口注册session，否则失败退出。即直接使用原后台地址将无法登录后台。这样一来，入口文件名的多样性、可变更性将为你的后台登录提供更加安全的环境。 一、入口文件：myadmin.php（文件名可随时更改） 作用：注册session。源码如下： 代码如下:session_name( "Zjmainstay" ); //session 名可更改，注意对应 session_start...
对于我们想做web安全的人来说，最好就是拿来学习，可是万物抓根源，我们要的不是鱼而是渔。在国内，各种各样的php程序1.0版,2.0版像雨后春笋一样的冒出来，可是，大家关注的都是一些著名的cms,论坛,blog程序，很少的人在对那些不出名的程序做安全检测，对于越来越多的php程序员和站长来说，除了依靠服务器的堡垒设置外，php程序本身的安全多少你总得懂点吧。 有人说你们做php安全无非就是搞搞注入和跨站什么什么的，大错特错，如果...
yahoo对付伪造跨站请求的办法是在表单里加入一个叫.crumb的随机串；而facebook也有类似的解决办法，它的表单里常常会有post_form_id和fb_dtsg。 比较常见而且也很廉价的防范手段是在所有可能涉及用户写操作的表单中加入一个随机且变换频繁的字符串，然后在处理表单的时候对这个字符串进行检查。这个随机字符串如果和当前用户身份相关联的话，那么攻击者伪造请求会比较麻烦。现在防范方法基本上都是基于这种方法的了 随机串代码实现...
分析过程 这个来自一些项目中，获取用户Ip，进行用户操作行为的记录，是常见并且经常使用的。 一般朋友，都会看到如下通用获取IP地址方法。 代码如下:function getIP() { if (isset($_SERVER[HTTP_X_FORWARDED_FOR])) { $realip = $_SERVER[HTTP_X_FORWARDED_FOR]; } elseif (isset($_SERVER[HTTP_CLIENT_IP])) { $realip = $_SERVER[HTTP_CLIENT_IP]; } else { $realip = $_SERVER[REMOTE_ADDR]; } return $realip; } 这个是网上...
PHP代码安全和XSS，SQL注入等对于各类网站的安全非常中用，尤其是UGC(User Generated Content)网站，论坛和电子商务网站，常常是XSS和SQL注入的重灾区。这里简单介绍一些基本编程要点, 相对系统安全来说，php安全防范更多要求编程人员对用户输入的各种参数能更细心.php编译过程中的安全建议安装Suhosin补丁，必装安全补丁php.ini安全设置 代码如下:register_global = offmagic_quotes_gpc = offdisplay_error = offlog_error = on#...
在提及安全性问题时，需要注意，除了实际的平台和操作系统安全性问题之外，您还需要确保编写安全的应用程序。在编写 PHP 应用程序时，请应用下面的七个习惯以确保应用程序具有最好的安全性：?验证输入?保护文件系统?保护数据库?保护会话数据?保护跨站点脚本（Cross-site scripting，XSS）漏洞?检验表单 post?针对跨站点请求伪造（Cross-Site Request Forgeries，CSRF）进行保护验证输入在提及安全性问题时，验证数据是您可能采用的...
一、MongoDB简介MongoDB (名称来自"humongous") 是一个可扩展的、高性能、开源、模式自由、面向文档的数据库，集文档数据库、键值对存储和关系型数据库的优点于一身。官方站点：http://www.mongodb.org/，MongoDB特点：面向文档存储(类JSON数据模式简单而强大)动态查询全索引支持,扩展到内部对象和内嵌数组查询记录分析快速,就地更新高效存储二进制大对象 (比如照片和视频)复制和故障切换支持Auto-Sharding自动分片支持云级扩展性M...
由于 PHP 的文件系统操作是基于 C 语言的函数的，所以它可能会以您意想不到的方式处理 Null 字符。 Null字符在 C 语言中用于标识字符串结束，一个完整的字符串是从其开头到遇见 Null 字符为止。 以下代码演示了类似的攻击：Example #1 会被 Null 字符问题攻击的代码 代码如下:$file = $_GET['file']; // "../../etc/passwd\0"if (file_exists('/home/wwwrun/'.$file.'.php')) { // file_exists will return true as the file /h...
这类漏洞，主要是可以读取用户传入路径名称，采用不正确的过滤方法，导致恶意用户，将文件上存到非预期的地方，带来安全隐患。其实，我们抓住几个地方即可，我们先来分析下，既然用户要上存文件，而且文件将是多种多样格式；可能有的文件内容与用户传入格式不一致，有的文件内容还夹杂木马代码。 那么，我们让用户上存文件，跟站点文件做一个分别授权，做隔离。让保存上存目录独立开来，目录权限只读不能执行这一步从系统设计加以授...
做web开发，我们经常会做代码走查，很多时候，我们都会抽查一些核心功能，或者常会出现漏洞的逻辑。随着技术团队的壮大，组员技术日益成熟。 常见傻瓜型SQL注入漏洞、以及XSS漏洞。会越来越少，但是我们也会发现一些新兴的隐蔽性漏洞偶尔会出现。这些漏洞更多来自开发人员，对一个函数、常见模块功能设计不足，遗留下的问题。以前我们能够完成一些功能模块，现在要求是要安全正确方法完成模块才行。 接下来，我会分享一些常见功能模...
代码如下:/** * html转换输出（只转义 " 保留Html正常运行) * @param $param * @return string */ function htmlEscape($param) { return trim(htmlspecialchars($param, ENT_QUOTES)); } /** * 是否数组（同时检测数组中是否存在值） * @param $params * @return boolean */ function isArray($params) { return (!is_array($params) || !count($params)) ? false : true; } /** * 变量是否在数组中存在（参数容...
1、PHP注入的基本原理程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对 用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据 库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的 SQL Injection，即SQL注入。 受影响的系统：对输入的参数不进行检查和过滤的系统. SQL注入过程 正常来讲，我们通过地址接收一些必要的参数如：页面中我们会使用 2 写入到SQL语...