linux防止php 偽造本地檔案解決方案

你可以這樣使用

代碼如下	複製代碼
http://www.xxx.com/index.php?page=../etc/passwd http://www.xxx.com/index.php?page=../../../etc/passwd http://www.xxx.com/index.php?page=..../../etc/passwd 擷取更多資料: etc/profile etc/services /etc/passwd /etc/shadow /etc/group /etc/security/group /etc/security/passwd /etc/security/user /etc/security/environ /etc/security/limits /usr/lib/security/mkuser.default

像上面代碼，如果你是

?page=$_GET的話這樣就完了，分析原因，因為我們分頁只有數字，那麼我們這樣操作

代碼如下	複製代碼
?page=intval($_GET);

這樣就無法把字元提交了，我們利用了intval函數進行了過濾，那麼對於提交字元怎麼處理呢。

在處理字元時我們利用php內建函數的函數 addslashes和htmlspecialchars進行過濾，

如

代碼如下	複製代碼
$body = htmlspecialchars(isset($_GET[$str])?$_GET[$str]:'');

這樣就基本過濾了各種安全注入，當然如果你伺服器有漏洞在php上是解決不了的。