国产一级AAAA毛卡片,人妻无码中文字幕,亚洲日韩看片无码超清下载

您當(dāng)前所在位置：首頁(yè) → 網(wǎng)絡(luò)編程 → PHP編程 → php應(yīng)用程序安全防范技術(shù)研究

php應(yīng)用程序安全防范技術(shù)研究 時(shí)間：2015/6/28來(lái)源：IT貓撲網(wǎng)作者：網(wǎng)管聯(lián)盟我要評(píng)論(0)

　　前言

　　比特網(wǎng)專家特稿：關(guān)于php應(yīng)用程序的安全，我們往往容易疏忽，或者采取的措施并不得當(dāng)。這里給大家提供個(gè)通用防注射防跨站的小程序，僅供大家參考。

　　PHP安全防范程序模型

　　/* PHP防注入跨站V1.0

　　##################聯(lián)系方式##################

　　Author: menzhi007 [S.S.F.]

　　Email: [email protected]

　　Blog: https://hi.baidu.com/menzhi007

　　##################使用說(shuō)明##################

　　在您的頁(yè)面頂部添加: require("menzhi_injection.php");

　　即可實(shí)現(xiàn)通用防止SQL注入，以及XSS跨站漏洞。

　　##################缺陷以及改進(jìn)##################

　　程序還有很多缺陷，希望大家能幫助改進(jìn)

　　##################參考以及鳴謝##################

　　Neeao'ASP SQL通用防注入程序 V3.0

　　部分代碼參考自Discuz!

　　error_reporting(0);

　　define('MAGIC_QUOTES_GPC', get_magic_quotes_gpc());

　　$menzhi_injection="'|;|and|(|)|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|or|char|declare";

　　$menzhi_injection = explode("|",$menzhi_injection);

　　foreach(array('_GET', '_POST', '_COOKIE','_REQUEST') as $_request) {

　　foreach($$_request as $_key => $_value) {

　　//$_value = strtolower($_value);

　　$_key{0} != '_' && $$_key = daddslashes($_value);

　　foreach($menzhi_injection as $kill_key => $kill_value) {

　　if(substr_count($_value,$kill_value)>0) {

　　echo "";

　　unset($_value);

　　exit();

　　}

　　//echo "

　　".$_value;

　　}

　　function daddslashes($string) {

　　if(!MAGIC_QUOTES_GPC) {

　　if(is_array($string)) {

　　foreach($string as $key => $val) {

　　$string[$key] = daddslashes($val);

　　}

　　} else {

　　$string = addslashes($string);

　　}

　　$string = preg_replace('/&((#(\d{3,5}|x[a-fA-F0-9]{4}));)/', '&\\1',str_replace(array('&', '"', '<', '>'), array('&', '"', '<', '>'), $string));

　　return $string;

　　}

　　使用說(shuō)明

　　在您的頁(yè)面頂部添加："require("menzhi_injection.php");" ，即可實(shí)現(xiàn)通用防止SQL注入，以及XSS跨站漏洞。調(diào)用本程序，我們使用require() 而不使用include() ，因?yàn)閞equire()調(diào)用文件如果出錯(cuò)，將終止程序運(yùn)行，include()并不理會(huì)。并且require()調(diào)用文件時(shí)，程序一運(yùn)行，會(huì)先調(diào)用外本文件。而inculde()則是運(yùn)行到該行時(shí)才開(kāi)始執(zhí)行。基于函數(shù)特性，我們選擇require()。您還可以根據(jù)實(shí)際需要自行增加或者刪除$menzhi_injection變量中的過(guò)濾字符，來(lái)達(dá)到更好的防御效果。再者您可以自行修改代碼，或許會(huì)有有意外收獲。普通注射都可以防御，以下測(cè)試僅供調(diào)侃，下面是對(duì)一句話木馬的測(cè)試效果：

　　嘿嘿，動(dòng)心了就在您的頁(yè)面頂部調(diào)用吧。記住是"require("menzhi_injection.php");"哦。這只是提起大家興趣的噱頭，請(qǐng)自行測(cè)試吧。

　　缺陷以及待改進(jìn)

　　由于此程序只是外部調(diào)用，只是處理了外部提交的變量，并沒(méi)有對(duì)您的應(yīng)用程序作系統(tǒng)分析，所以存在很多局限性，請(qǐng)謹(jǐn)慎使用。對(duì)于使用GBK編碼的程序，還存在雙字節(jié)編碼漏洞風(fēng)險(xiǎn)，本程序雖然可以處理該漏洞。但遏制這些漏洞，還是需要從根源做起。需要處理數(shù)據(jù)庫(kù)連接文件，我們可以添加 character_set_client=binary 。Discuz!7.0的數(shù)據(jù)庫(kù)連接類db_mysql.class.php寫的就非常不錯(cuò)，大家可以參考借鑒。當(dāng)然這些并不是這個(gè)小程序所能涉及到的范疇。

　　而且此程序并沒(méi)有過(guò)濾 $_SERVER $_ENV $_FILES系統(tǒng)變量。比如對(duì)于$_SERVER['HTTP_X_FORWARDED_FOR']系統(tǒng)獲取IP時(shí)，黑客可以通過(guò)劫持修改HTTP原始請(qǐng)求包來(lái)更改其值，本程序是可以處理這些漏洞。但是作為程序員我們需要的是從根源就對(duì)外部變量處理，防患于未然，未雨綢繆吧。

　　程序很潦草，歡迎大家測(cè)試使用，有什么意見(jiàn)建議直接聯(lián)系我吧。

　　結(jié)束語(yǔ)

　　最后祝大家學(xué)習(xí)有成，工作順利，向所有辛勤工作的PHPers致敬。

關(guān)鍵詞標(biāo)簽：php應(yīng)用程序安全防范

相關(guān)閱讀

文章評(píng)論

查看所有0條評(píng)論>>