PHP最初是被称作Personal Home Page，后来随着PHP成为一种非常流行的脚本语言，名称也随之改变了，叫做Professional HyperText PreProcessor。以PHP4.2为例支持它的WEB服务器有：Apache, Microsoft Internet information Sereve, Microsoft Personal web Server,AOLserver,Netscape Enterprise 等等。 PHP是一种功能强大的语言和解释器，无论是作为模块方式包含到web服务器里安装的还是作为单独的CGI程序程序安装的，都能访问文件、...
作者：san 主页：http://www.nsfocus.com 日期：2001-11-15 前面象Shaun Clowes和rfp等都比较详细的介绍了php、cgi程序在编程过程中遇到 的问题，以及如何通过应用程序漏洞突破系统，这篇文章我们来通过对php的一些服务器端特性来进行配置加强php的安全。写 cgi脚本的时候我们的确一定注意各种安全问题，对用户输入进行严格的过滤，但是常在岸边走哪有不湿鞋 ，吃烧饼哪有不掉芝麻，人有失蹄马有失手，连著名的phpnuke、phpMy...
大家都知道安全性是重要的，但是行业中的趋势是直到最后一刻才添加安全性。既然不可能完全保护 Web 应用程序，那么为什么要费这个劲儿呢，不是吗？不对。只需采用一些简单的步骤就能够大大提高 PHP Web 应用程序的安全性。 开始之前 在本教程中，您将学习如何在自己的 PHP Web 应用程序中添加安全性。本教程假设您至少有一年编写 PHP Web 应用程序的经验，所以这里不涉及 PHP 语言的基本知识（约定或语法）。目标是使您了解应该如何...
验证码的作用主要有防止暴力破解，防止恶意灌水，防止自动提交等，在这里我就不多说了。验证码的类型也有数字、字母等，甚至厉害点的还有中文的。但是不管你的验证码多么厉害，只要你在表单验证中存在如下的失误，你的验证码就形同虚设！验证码的一般思路，就是每次登陆的地方访问一个脚本文件，该文件生成含验证码的图片并将值写入到Session里，提交的时候验证登陆的脚本就会判断提交的验证码是否与Session里的一致。 问题出现了，...
本文是我做服务器维护的点击经验，部份是我根据入侵手段所做的相应配置调整！大部份的内容网上都有，可能有人认为是抄袭，无所谓了，只要对大家有帮助就OK了，如果大家对本文有不同的看法，非常欢迎大家与我交流！ 还有一点我想说的是，本文内容讨论的重点是服务器安全设置加固，是在有一定安全设置的基础上进行讨论的，并且，对于基础的内容我在本文最后也列出了标题，只是网上的好文章挺多的，我就不想再费劲写了！所以，大家...
今天朋友问我discuz安全提问答案能不能饶过去。或者破解，我以前就注意过个密码，只记得很短，以为是substr取的MD5,最后看了半天的源码，确实是MD5加密的，不过，加密的过程有点晕 无安全提问 母亲的名字 爷爷的名字 父亲出生的城市 您其中一位老师的名字 您个人计算机的型号 您最喜欢的餐馆名称 驾驶执照的最后四位数字 加密过程是value的值先加密一次，比如我的提问是“驾驶执照的最后四位数字”value的值就是7，7的MD5为8f14e4...
1。理论 在普通HTTP上，一般表单中的密码都是以明文方式传到服务器进行处理的。这无疑给了坏人以可乘之机！这里我们就说说怎么传输密码才是安全的！ 与其传输密码本身，到不如传输其加密后的形式。MD5是个不错的选择。第一，不同的资源几乎不可能生成相同的MD5摘要，第二，MD5的编码方式是不可逆推的。有了这些特性，我们就可以让MD5摘要公开的在Internet上传输，而不必担心密码被坏人知道。然后在服务端也将密码通过同样的方式加密...
一、Web服务器安全 PHP其实不过是Web服务器的一个模块功能，所以首先要保证Web服务器的安全。当然Web服务器要安全又必须是先保证系统安全，这样就扯远了，无穷无尽。PHP可以和各种Web服务器结合，这里也只讨论Apache。非常建议以chroot方式安装启动Apache，这样即使Apache和PHP及其脚本出现漏洞，受影响的也只有这个禁锢的系统，不会危害实际系统。但是使用chroot的Apache后，给应用也会带来一定的麻烦，比如连接mysql时必须用127....
简述：/************************* 说明： 判断传递的变量中是否含有非法字符 如$_POST、$_GET 功能：防注入 **************************/ 代码如下://要过滤的非法字符 $ArrFiltrate=array("'",";","union"); //出错后要跳转的url,不填则默认前一页 $StrGoUrl=""; //是否存在数组中的值 function FunStringExist($StrFiltrate,$ArrFiltrate){ foreach ($ArrFiltrate as $key=...
用于显示错误信息和成功信息，其实也可以直接echo出错误信息，这里我只是想我的出错信息页面漂亮点，定义了一个页面输出的函数罢了。 代码如下:// savecomment.php// 大家先不要看注释，看完本文后，再回过头来看 require ("config.php"); mysql_connect($servername,$dbusername,$dbpassword) or die ("数据库连接失败"); $name=$_POST['name']; $content=$_POST['content']; $blogid=$_POST['blogid']; $datearray=getdate(time...
$bookSQL=sprintf("UPDATE book SET pass=%s WHERE id=%d", GetSQLValueString($_POST['list'], "text"), GetSQLValueString($_GET['id'],"int")); GetSQLValueString 这个函数，可以换成别的函数 但在sql语句这里用上sprintf()这个函数的话！就相对安全多了，比如id那里我们可以用上%d 或是有很多sql操作的时候，用上这个 $Result = $db->query($bookSQL) or die(my...
在Unix（Linux）上，在按照手册的指令安装好MySQL后，你必须运行mysql_install_db脚本建立包含授权 表的mysql数据库和初始权限。在Windows上，运行分发中的Setup程序初始化数据目录和mysql数据库。假 定服务器也在运行。 当你第一次在机器上安装MySQL时，mysql数据库中的授权表是这样初始化的： 你可以从本地主机（localhost）上以root连接而不指定口令。root用户拥有所有权限（包括管理权限） 并可做任何事情。（顺便说明，MySQL超...
一 前言 问题的存在 从代码级别上，也就是应用层次上考虑代码安全的话（也就是不考虑底层的语言本身等问题的漏洞），脚本安全问题就是函数和变量的问题。变量直接或者间接的接收用户不安全的的输入，由于php本身的特性，在php中更容易发现这种变量的混乱（很多php程序都用来定义以及初始化以及接收变量，可以直接在程序中使用$id这样的变量，初始化完全由php的设置来完成，如果稍不注意，就可能导致变量的混乱从而导致攻击）。 变量...
前提条件：虚拟机，无法将fleaphp文件夹放在http无法访问的路径，无法修改apache和php的配置文件。 fleaphp使用默认配置 方法： 1。controller文件夹 放在根目录外 （此种办法只能适合自己有服务器） 2。在controller的文件里,尽量不要显式输出如echo print等 3。隐藏controller目录 如取个类似密码的文件夹sdfsdf12312SDCVd/Flea 4，通过配置文件更改默认CMT的目录名称 5.在根目录下面放一个.htaccess用于禁止某些目录的访问权限（...
代码如下: if (isset($_REQUEST['submitted']) && $_REQUEST['submitted'] == '1') { echo "Form submitted!"; } ?> 看似准确无误的代码，但是暗藏着危险。让我们将其保存为 foo.php ，然后放到 PHP 环境中使用foo.php/%22%3E%3Cscript%3Ealert(xss)%3C/script%3E%3Cfoo 访问，会发现弹出个 Javascript 的 alert -- 这很明显又是个 XSS 的注入漏洞。究其原因，发现是在echo $_SERVER[PHP_SELF]; 这条语句上直接输出了未过滤的值...