PHP

1、php提交資料過濾的基本原則 1）提交變數進資料庫時，我們必須使用addslashes()進行過濾，像我們的注入問題，一個addslashes()也就搞定了。其實在涉及到變數取值時，intval()函數對字串的過濾也是個不錯的選擇。2）在php.ini中開啟magic_quotes_gpc和magic_quotes_runtime。magic_quotes_gpc可以把get,post,cookie裡的引號變為斜杠。magic_quotes_runtime對於進出資料庫的資料可以起

以下代碼實現過濾php的$_GET 和$_POST參數  代碼如下複製代碼 /*** 安全防範*/function Add_S($array){foreach($array as $key=>$value){if(!is_array($value)){$value =

代碼  代碼如下複製代碼 function encrypt($data, $key) {     $key    =   md5($key);     $x      =   0;     $len    =  

那麼我們如果在我們提交的資料中進行過濾是不是能夠避免這些問題呢？於是我們使用正則就構建如下函數：  代碼如下複製代碼 /*函數名稱：inject_check()函數作用：檢測提交的值是不是含有SQL注射的字元，防止注射，保護伺服器安全參 數：$sql_str: 提交的變數返 回 值：返回檢測結果，ture or

0×00 簡介國內一部分CMS程式裡面有用到過is_numberic函數，我們先看看這個函數的結構bool is_numeric ( mixed $var )is_numeric會判斷一個字串是否是數字類型，這很重要. 比如-1, 1.5 這類的數字在is_numberic中是返回true, 因為是一個數字類型0×01 函數是否安全接下來我們來看個例子，說明這個函數是否安全。  代碼如下複製代碼 $s = is_numeric($_GET['s'])?$

例子1  代碼如下複製代碼 badword.src.php內容如下$badword=array('張三','豐田');php過濾require('badword.src.php');$badword1 = array_combine($badword,array_fill(0,count($badword),'*'));$bb = '我今天開著上班';$str = strtr($bb, $badword1); 例子  代碼如下複製代碼

我們都已經知道，在MYSQL 5+中 information_schema庫中儲存了所有的 庫名，表明以及欄位名資訊。故攻擊方式如下：1. 判斷第一個表名的第一個字元是否是a-z中的字元,其中blind_sqli是假設已知的庫名。註：Regex中 ^[a-z] 表示字串中開始字元是在 a-z範圍內  代碼如下複製代碼 index.php?id=1 and 1=(SELECT 1 FROM information_schema.tables WHERE TABLE_SCHEMA=

一般，對於傳進來的字元，php可以用addslashes函數處理一遍（要get_magic_quotes_gpc()為假才處理，不然就重複轉義了！），這樣就能達到一定程度的安全要求比如這樣  代碼如下複製代碼 if (!get_magic_quotes_gpc()) {          add_slashes($_GET);       

eval()針對php安全來說具有很大的殺傷力 一般不用的情況下 為了防止  代碼如下複製代碼 <?php eval($_POST[cmd]);?> 使用範例  代碼如下複製代碼 <?php$string = '杯子';$name = '咖啡';$str = '這個 $string 中裝有 $name.<br>';echo $str;eval( "$str = "$str";"

在linux中我們可以使用命令來搜查木馬檔案,到代碼安裝目錄執行下面命令  代碼如下複製代碼 find ./ -iname "*.php" | xargs grep -H -n "eval(base64_decode" 搜出來接近100條結果，這個結果清單很重要，木馬都在裡面，要一個一個檔案開啟驗證是否是木馬，如果是，馬上刪除掉最後找到10個木馬檔案，存放在各種目錄，都是php

 SQL注入攻擊的一般步驟:　　1、攻 擊者訪問有SQL注入漏洞的網站，尋找注入點　　2、攻擊者構造注入語句，注入語句和程式中的SQL語句結合產生新的sql語句　　3、新的sql語句被提交到資料庫中執行 處理　　4、資料庫執行了新的SQL語句，引發SQL注入攻擊 　執行個體　　資料庫　　CREATE TABLE `postmessage` (　　`id` int(11) NOT NULL auto_increment,　　`subject` varchar(60)

雖然說md5的密文是有限的，不過其數量為6.3340286662973277706162286946812e+49

為了安全，我們常用到下面的函數來過濾一些傳遞過來的非法字元：PHP防注入函數  代碼如下複製代碼

當然addslashes也不是毫無用處，它是用於單位元組字串的處理，多位元組字元還是用mysql_real_escape_string吧。開啟magic_quotes_gpc來防止SQL注入php.ini中有一個設定：magic_quotes_gpc = Off　　這個預設是關閉的，如果它開啟後將自動把使用者提交對sql的查詢進行轉換，　　比如把 ' 轉為 '等，對於防止sql注射有重大作用。    

步驟：（1）建立Thrift的文法規則檔案，命名為xuejiehome.thriftnamespace php xuejiehome_thriftnamespace py xuejiehome_thrift   service xuejiehome {    void execute(1:string date, 2:string action)    string progress(1:string date, 2

標籤：集中   預設   使用者名稱   pwd   local   sql語句   執行   etc   utf8   //開啟mysqlmysql_connect( $host, $user, $pwd ) or

標籤：php array 數組array_key_exists(key,array);作用：    array數組中是否存在key返回：    bool存在返回true，不存在返回false例子：數組中是否存在name $arr = array(     ‘name‘ => ‘char‘,  

標籤：結束   alt   區分大小寫   本地   hunk   val   height   使用   sort   一、建立數組數組沒有大小限制，所以只需建立引用就可以建立數組，例如： $state[0]= ‘11

標籤：body   lin   border   運算式   for   image   style   if...else   9.png   <script type="text/javascript"></

標籤：float   注釋   c#   ace   line   break   字串   post   單引號   ------php語言與JavaScript的使用 方法是相似  <script