php火的原因,重燃你的PHP安全之火

对于脚本安全这个话题好像永远没完没了，如果你经常到国外的各种各样的bugtraq上，你会发现有一半以上都和脚本相关，诸如SQL

injection，XSS，Path Disclosure，Remote commands execution这样的字眼比比皆是，我们看了之后的用途难道仅仅是抓肉鸡?对于我们想做web安全的人来说，最好就是拿来学习

，可是万物抓根源，我们要的不是鱼而是渔。在国内，各种各样的php

程序1.0版，2.0版像雨后春笋一样的冒出来，可是，大家关注的都是一些著名的cms，论坛，blog程序，很少的人在对那些不出名的程序做安全检测，对于越来越多的php程序员和站长来说，除了依靠服务器

的堡垒设置外，php程序本身的安全多少你总得懂点吧。

有人说你们做php安全无非就是搞搞注入和跨站什么什么的，大错特错，如果这样的话，一个magic_quotes_gpc或者服务器里的一些安全设置

就让我们全没活路了：(。我今天要说的不是注入，不是跨站，而是存在于php程序中的一些安全细节问题。OK!切入正题。

注意一些函数

的

过滤有些函数在程序中是经常使用的，像

include()，require()，fopen()，fwrite()，readfile()，unlink()，eval()以及它们的变体函数

等等。这些函数都很实用，实用并不代表让你多省心，你还得为它们多费点心。：)

1.include()，require()和

fopen()，include_once()，require_once()这些都可以远程调用文件，对于它们的危害，google搜一下你就会很明

了，对于所包含调用的变量没过滤好，就可以任意包含文件从而去执行。举个例子，看print.php……

if (empty ($bn) ) { //检查是变量$bn是否为空include ("$cfg_dir/site_${site}.php"); //把$cfg_dir这个路径里的site_${site}.php包含进来……

不管存不存在$cfg_dir目录，$site这个变量你可以很自然的去使用，因为他根本没检查$site变量啊。可以把变量$site指定远程文件去

调用，也可以是本地的一个文件，你所指定的文件里写上php的语句，然后它就去包含执行这个含有php语句的文件了。就像这样列出文件目录甚至可以扩展到

包含一些管理员文件，提升权限，典型的像以前phpwind，bo-blog的漏洞一样。除了依靠php.ini里的allow_url_fopen设为

off禁止远程使用文件和open_base_dir禁止使用目录以外的文件外，你还得事先声明好只能包含哪些文件，这里就不多说废话了。

2.fopen()，file()，readfile()，openfile()，等也是该特别留意的地方

php火的原因,重燃你的PHP安全之火相关推荐

重燃你的PHP安全之火.pdf,读《重燃你的php之火》总结笔记
1.文件包含变量导致远程文件包含 include ("$cfgdir/site${site}.php"); //把$cfgdir 这个路径里的site${site}.php 包含进 ...
城市地摊重燃人间烟火，农村赶集却快熄灭烟火
(图片来源于网络) 文 | 易不二来源 | 螳螂财经(ID:TanglangFin) 地摊经济一火,总有人想尝尝人间烟火. 比如较早释放地摊经济信号的成都,设置了3.6万个流动商贩的摊位,一夜之间实 ...
20万+奖金池,“智在飞翔”2021 • 无人飞行器智能感知大赛，战火重燃 • 等你来战！！...
关注公众号,发现CV技术之美 "智在飞翔"2021 • 无人飞行器智能感知技术竞赛战火重燃 · 等你来战!! 创新.合作.开放.开源国内顶尖无人飞行器智能感知技术创客团队 ...
好嗨游戏：战火重燃！2019LPL夏季赛精彩看点全盘点！ || 附夏季赛赛程表
文章首发于:好嗨游戏还没从MSI比赛中IG翻车TL中回过神来,2019LPL夏季赛又悄然开始了,虽然IG重演了2018年MSI时RNG的剧情,但是电竞就是电竞,有输有赢有惊喜有意外太正常不过,还是让 ...
cat 几行_沈阳CAT?789矿卡大修 I 服役十年，一百天带你重燃矿山_行业资讯
CAT®789矿卡作为矿山重要的开采运输设备,以超强的载重能力.安全高效的性能成为矿山施工当之无愧的"王者",但这些走路带风的大家伙在服役十年后如何焕发青春,今天就让我们走进本钢集 ...
火绒弹窗拦截_弹窗广告的克星：火绒安全软件图文使用教程
现在很少有人说电脑中病毒但是经常有人发唠叨说弹窗广告太过烦人,特别是 FF 新鲜事.FF 新推荐.今日热点(搜狐微门户)等的弹窗广告更是烦不胜烦,哪怕是删除相关进程或文件也不行. 那么是不是我们对这些 ...
英特尔i9或重燃核心大战 VR淡出电脑展
腾讯数码讯(苏扬.周硕)2017年的台北电脑展接近尾声,通览今年的台北电脑展PC相关行业的热潮重新回归,VR/AI/无人机不再喧宾夺主,说到底这是一年以来PC市场全面回暖的结果.以英特尔.NVIDIA ...
python编程能有什么用_近年来，python这么火的原因是什么？python语言能做什么？...
近年来,python的发展如火如荼,首先是山东省小学开设python课程,江苏省和浙江省将python纳入高考,大学将python列入计算机二级的考试范围,大数据.人工智能领域也在广泛使用python ...
入职3个月的Java程序员面临转正，挑战大厂重燃激情！
美团一面: 收到了HR的信息,通知我去面试,说实话真的挺紧张的.自己准备了近一个月的时间,很担心面试不过,到时候又后悔不该"裸辞". 自我介绍 spring的IOC,AOP原理 s ...

php火的原因,重燃你的PHP安全之火

php火的原因,重燃你的PHP安全之火相关推荐

最新文章

热门文章