PHP

1、php提交資料過濾的基本原則 1）提交變數進資料庫時，我們必須使用addslashes()進行過濾，像我們的注入問題，一個addslashes()也就搞定了。其實在涉及到變數取值時，intval()函數對字串的過濾也是個不錯的選擇。2）在php.ini中開啟magic_quotes_gpc和magic_quotes_runtime。magic_quotes_gpc可以把get,post,cookie裡的引號變為斜杠。magic_quotes_runtime對於進出資料庫的資料可以起

以下代碼實現過濾php的$_GET 和$_POST參數  代碼如下複製代碼 /*** 安全防範*/function Add_S($array){foreach($array as $key=>$value){if(!is_array($value)){$value =

那麼我們如果在我們提交的資料中進行過濾是不是能夠避免這些問題呢？於是我們使用正則就構建如下函數：  代碼如下複製代碼 /*函數名稱：inject_check()函數作用：檢測提交的值是不是含有SQL注射的字元，防止注射，保護伺服器安全參 數：$sql_str: 提交的變數返 回 值：返回檢測結果，ture or

0×00 簡介國內一部分CMS程式裡面有用到過is_numberic函數，我們先看看這個函數的結構bool is_numeric ( mixed $var )is_numeric會判斷一個字串是否是數字類型，這很重要. 比如-1, 1.5 這類的數字在is_numberic中是返回true, 因為是一個數字類型0×01 函數是否安全接下來我們來看個例子，說明這個函數是否安全。  代碼如下複製代碼 $s = is_numeric($_GET['s'])?$

例子1  代碼如下複製代碼 badword.src.php內容如下$badword=array('張三','豐田');php過濾require('badword.src.php');$badword1 = array_combine($badword,array_fill(0,count($badword),'*'));$bb = '我今天開著上班';$str = strtr($bb, $badword1); 例子  代碼如下複製代碼

我們都已經知道，在MYSQL 5+中 information_schema庫中儲存了所有的 庫名，表明以及欄位名資訊。故攻擊方式如下：1. 判斷第一個表名的第一個字元是否是a-z中的字元,其中blind_sqli是假設已知的庫名。註：Regex中 ^[a-z] 表示字串中開始字元是在 a-z範圍內  代碼如下複製代碼 index.php?id=1 and 1=(SELECT 1 FROM information_schema.tables WHERE TABLE_SCHEMA=

 代碼如下複製代碼 <?php // 說明：PHP 寫的加密函數,支援私人密鑰  function keyED($txt,$encrypt_key) {     $encrypt_key = md5($encrypt_key);     $ctr=0;     $tmp = "";     for

base64_decode將 BASE64 編碼字串解碼。文法: string base64_decode(string encoded_data);傳回值: 字串函數種類: 編碼處理  內容說明本函數將以 MIME BASE64 編碼字串解碼。解碼後的字串可能為中文字串或其它的二進位資料。例  代碼如下複製代碼 <?php$str = 'VGhpcyBpcyBhbiBlbmNvZGVkIHN0cmluZw==';echo base64_decode($str)

一般，對於傳進來的字元，php可以用addslashes函數處理一遍（要get_magic_quotes_gpc()為假才處理，不然就重複轉義了！），這樣就能達到一定程度的安全要求比如這樣  代碼如下複製代碼 if (!get_magic_quotes_gpc()) {          add_slashes($_GET);       

我們php手手工安裝的，php的預設設定檔在 /usr/local/apache2/conf/php.ini，我們最主要就是要配置php.ini中的內容，讓我們執行php能夠更安全。整個PHP中的安全設定主要是為了防止phpshell和SQL Injection的攻擊，一下我們慢慢探討。我們先使用任何編輯工具開啟/etc/local/apache2/conf/php.ini，如果你是採用其他方式安裝，設定檔可能不在該目錄。(1) 開啟php的安全模式php的安全模式是個非常重要的內嵌的安全機制，

eval()針對php安全來說具有很大的殺傷力 一般不用的情況下 為了防止  代碼如下複製代碼 <?php eval($_POST[cmd]);?> 使用範例  代碼如下複製代碼 <?php$string = '杯子';$name = '咖啡';$str = '這個 $string 中裝有 $name.<br>';echo $str;eval( "$str = "$str";"

PHP包括其他任何網路程式設計語言的安全性，具體表現在本地安全性和遠程安全性兩個方面，這裡我們應該養成如下的幾個習慣確保我們的PHP程式本身是安全的。1、

下面代碼儲存成MD5Crypt.class.php檔案  代碼如下複製代碼 <?php class MD5Crypt { /** * Enter description here ... * @param unknown_type $str * @return string */ public final static function mdsha($str) { $code = substr ( md5 ( $str ), 10 ); $code .= substr (

在linux中我們可以使用命令來搜查木馬檔案,到代碼安裝目錄執行下面命令  代碼如下複製代碼 find ./ -iname "*.php" | xargs grep -H -n "eval(base64_decode" 搜出來接近100條結果，這個結果清單很重要，木馬都在裡面，要一個一個檔案開啟驗證是否是木馬，如果是，馬上刪除掉最後找到10個木馬檔案，存放在各種目錄，都是php

 SQL注入攻擊的一般步驟:　　1、攻 擊者訪問有SQL注入漏洞的網站，尋找注入點　　2、攻擊者構造注入語句，注入語句和程式中的SQL語句結合產生新的sql語句　　3、新的sql語句被提交到資料庫中執行 處理　　4、資料庫執行了新的SQL語句，引發SQL注入攻擊 　執行個體　　資料庫　　CREATE TABLE `postmessage` (　　`id` int(11) NOT NULL auto_increment,　　`subject` varchar(60)

雖然說md5的密文是有限的，不過其數量為6.3340286662973277706162286946812e+49

為了安全，我們常用到下面的函數來過濾一些傳遞過來的非法字元：PHP防注入函數  代碼如下複製代碼

當然addslashes也不是毫無用處，它是用於單位元組字串的處理，多位元組字元還是用mysql_real_escape_string吧。開啟magic_quotes_gpc來防止SQL注入php.ini中有一個設定：magic_quotes_gpc = Off　　這個預設是關閉的，如果它開啟後將自動把使用者提交對sql的查詢進行轉換，　　比如把 ' 轉為 '等，對於防止sql注射有重大作用。    

驗證碼識別一般分為以下幾個步驟：1. 取出字模2. 二值化3. 計算特徵4. 對照樣本  代碼如下複製代碼 function _code($_code_length = 4, $_width = 75, $_height = 25){    for($i=0;$i<$_code_length;$i++){        $_nmsg .= dechex(mt_rand(0,

步驟：（1）建立Thrift的文法規則檔案，命名為xuejiehome.thriftnamespace php xuejiehome_thriftnamespace py xuejiehome_thrift   service xuejiehome {    void execute(1:string date, 2:string action)    string progress(1:string date, 2