变态重口极致另类在线-波多久久夜色精品国产-波多野结衣在线观看一区-波多野结衣在线观看一区二区-污污的网站免费阅读-污污视频网址

當前位置: 首頁編程開發PHP → 總結了關于PHP xss 和 SQL 注入的問題

總結了關于PHP xss 和 SQL 注入的問題

更多

漏洞無非這么幾類,XSS、sql注入、命令執行、上傳漏洞、本地包含、遠程包含、權限繞過、信息泄露、cookie偽造、CSRF(跨站請求)等。這些漏洞不僅僅是針對PHP語言的,本文只是簡單介紹PHP如何有效防止這些漏洞。

  1.xss + sql注入(關于xss攻擊詳細介紹)

  其中占大頭的自然是XSS與SQL注入,對于框架類型或者有公共文件的,建議在公共文件中統一做一次XSS和SQL注入的過濾。用PHP寫個過濾函數,可由如下所示:

  $_REQUEST = filter_xss($_REQUEST);

  $_GET = filter_xss($_GET);

  $_POST = filter_xss($_POST);

  $_COOKIE = filter_xss($_COOKIE);

  $_POST = filter_sql($_POST);

  $_GET = filter_sql($_GET);

  $_COOKIE = filter_sql($_COOKIE);

  $_REQUEST = filter_sql($_REQUEST);

  最簡單的filter_xss函數是htmlspecialchars()

  最簡單的filter_sql函數是mysql_real_escape_string()

  當然,誰都知道這種過濾filter_sql(詳細防止sql注入)只能過濾字符型和搜索型的注入,對于數字型是沒有辦法的,但也說明做了這層過濾后,只需在后面注意數字型的SQL語句就可以了,遇到了加intval過濾就可以了,這就變得容易多了。

  2. 命令執行

  對于命令執行,可以從關鍵字入手,總共可分為3類

  (1) php代碼執行 :eval等

  (2)shell命令執行:exec、passthru、system、shell_exec等

  (3) 文件處理:fwrite、fopen、mkdir等

  對于這幾類需要注意其參數是否用戶可控。

  3.上傳漏洞

  對于上傳漏洞,也是重點關注的地方,要仔細分析它的處理流程,針對上傳的繞過方式是很多的,最保險的方式:在保存文件是采用文件名隨機命名和后綴白名單方式。其次要注意的一點是上傳文件的地方可能不止一處,不要有遺漏,可能會碰到這樣的情況,突然在某個目錄里面包含了一個第三方的編輯器在里面。

  文件包含漏洞涉及的函數如include() 、include_once()、require()、require_once()、file_get_contents()等

  最常見的還是出在下載文件功能函數,例如download.php?file=../../../etc/passwd 這種類型中。

  4. 權限繞過

  權限繞過可分為兩類吧

  (1)后臺文件的未授權訪問。后臺的文件沒有包含對session的驗證,就容易出現這樣的問題

  (2)未作用戶隔離,例如mail.php?id=23顯示了你的信件,那么換個ID, mail.php?id=24就查看到了別人的信件,編寫代碼是方便,把信件都存在一個數據表里,id統一編號,前端展現時只需按id取出即可,但未作用戶隔離,判定歸屬,容易造成越權訪問。

  這樣的例子是很常見的,給某銀行做評估是就經常發現這種漏洞。

  5. 信息泄露

  信息泄露算是比較低危的漏洞了,比如列目錄這種就屬于部署問題,而與代碼審計無關了,而像暴路徑、暴源碼這種是需要防止的。曾經遇到這樣的代碼

  

  表面上似乎沒問題,可是當請求變為 xx.php?a[]=1時,即參數變為數組的時候,就會發生錯誤以致路徑泄露,而用isset判斷則不會,當然一個個防太麻煩,建議在配置文件中關閉錯誤提示,或者在公共文件中加入代碼以關閉錯誤顯示功能。

 

熱門評論
最新評論
昵稱:
表情: 高興 可 汗 我不要 害羞 好 下下下 送花 屎 親親
字數: 0/500 (您的評論需要經過審核才能顯示)
主站蜘蛛池模板: 福利网在线 | 韩国理伦片a级在线观看 | 性色影视| 老司机午夜视频在线观看 | 国产日韩欧美高清 | 黄 片影 院| 久久免费视频观看 | 日韩美女中文字幕 | 五月天天 | 国产日韩欧美视频在线观看 | 国产农村精品一级毛片视频 | v视界影院视频一区二区三区 | 性色在线观看 | 男女猛烈无遮挡性视频 | 欧美一区二区三区不卡 | 一级片中国 | 免费韩国伦理片在线观看 | 日本xxxxx黄区免费看动漫 | h视频在线免费看 | 国产三级国产精品国产普男人 | 成年免费大片黄在看 | 天天操夜夜做 | 清清草视频在线 | 99re在线精品视频免费 | 又黄又爽又猛大片录像 | 国内精品在线视频 | 特黄特色一级aa毛片免费观看 | sss在线观看 | 日本欧美一区二区三区不卡视频 | 久久九九精品一区二区 | 深夜免费在线观看 | 天天夜夜啦啦啦 | 女攻男受高h重口调教 | 国内精品久久久久久网站 | 国产精品综合色区在线观看 | 外国毛片网站 | 性色成人网 | jizz极品呦女 | 欧美人成人亚洲专区中文字幕 | 毛片线看免费观看 | 99视频在线精品免费观看18 |