网安之php开发第十二天
本节课学习了一些简单的php开发以及用phpstrom连接数据库，并做一些操作。
首先学习该php阶段需要用到的四个工具自行下载。我这边建议飞哥用“伙伴神”这个公众号下。资源比较新，并且破解过程简单稳定，只有这个navicat的没有，可以去网上下。我的网盘有压缩包。
我们用phpstrom连接数据库，然后再浏览器呈现。有一个点飞哥注意一下，应该是版本的原因，当使用mysql的函数命令时需要把mysql换成mysqli，并且函数里面的参数也要反过来，就是写前面的，放在后面。里面如果飞哥你的版本没有这个情况，那么请略过。并且数据库里面是大写，你也要大写，不然这个查询语句是啥也查不到的。还有一个点，用navicat连接数据库的时候账号密码都是root，默认的。
里面的函数看不懂的就百度把，然后performance_schema这个时数据库的名字，accounts是这个数据库里面的一个表格。执行之后就可以看到结果。
但由于每次需要对数据库进行操作时都要写前两行比较麻烦，所以就有了include，这个在c语言中有，你可以理解为引入的意思。，相当于是一个配置文件，每次使用直接调用。这里有了一个渗透知识，当网站源码泄露的时候，这些配置文件肯定也在里面，你可以看到那个mysql_connect这个函数里面后两个是账号密码，所以这些账号密码就直接泄露了，便可以直接登录后台数据库，进行操作。
当我们在语句中加入$_GET这个变量时，并且把sql语句改一下。事情就会变得有趣起来。（这里我把数据库换了，前面的那个数据库里面东道西太少，不好演示）
当我们在原本的url后面加入“?键=值”，注意这里的?是英文状态下的。
（后面的123是我胡乱写的，不用管）
你会发现它只会查询SPACE=2的那一栏数据。而当我们把$_GET换成$_POST后就会报错，首先在我们的认知中， GET 把参数包含在 URL 中，POST 通过 request body 传递参数。所以也会有如此情况。当我们使用火狐渗透版用post发包时，就不会报错了。至于为什么get请求的还会得到结果不报错是因为只要get参数在url中就没问题。（补充一点，用$_REQUEST这个变量就是都可以输出。）
此时也有一个渗透问题，那就是sql注入。当我们传入参数不再是简简单单的值的时候，事情就变得不对劲起来。
当我们执行下面那一条sql语句时，源码中echo便会输出相应的内容，这也就是sql注入的源来。这就是通过代码反映了漏洞的由来。
前台显示文章，后台，那就是上传文章。这就涉及到我们前面学过的数据库的增删改查，既然查询会有漏洞，那相应的其他三个也会有漏洞，这一点需要注意一下。
还有一个就是这节课学的数据库操作类的代码，也向我们反应了一个找漏洞的相关思维，不要说去一个网站找漏洞，开始像个无头苍蝇乱撞，那样是不行的。比如这个网站，上面全都是一些文章，那他会这几到这个文件下载或文件上传漏洞吗，显然不会，你就可以考虑一下sql注入。但如果这个网站换头像需要上传个图片，那你就可以考虑一下文件上传漏洞(我不知道可不可以，主要的是思路)。这也就体现一个思路问题，要懂得反查，通过功能去推它可能有的漏洞。
搭建一个个人博客需要的东西很多，对应的功能也会有很多，而每个功能都有它的脆弱点进而产生相应的漏洞。
补充一点php，双引号可以把变量的值表示出来，单引号就是代表是个字符串输出，反正用的时候，有变量用双引号，没有就两个都可以。
官方的话就是双引号会解析变量，单引号不会解析变量。
网安之php开发第十二天相关推荐
- 网安之PHP开发第十六天
#知识点: 1.JS前端验证-文件上传 2.JS-Ajax传递-登录-状态 3.JS-Ajax传递-购物-参数 1.文件上传 - 类型 - 过滤 设计:通过JavaScript进行文件后缀筛选验证 首 ...
- 网安之php开发第十四天
#知识点: 1.PHP-全局变量$_SERVER 2.MYSQL-插入语法INSERT 3.输入输出-XSS_x0005_&反射&存储 4.安全问题-XSS跨站&CSRF等 演 ...
- 网安之php开发第十七天
#知识点: 1.基于TP框架入门安装搭建使用 2.基于TP框架内置安全写法评估 3.基于TP框架实例源码安全性评估 #入门-简单了解-安装&调试&入口&配置 理解:TP框架架构 ...
- 网安之php开发第十五天
#知识点: 1.后台验证-登录用户逻辑安全 2.后台验证-COOKIE_x0005_&SESSION_x0005_ 3.后台验证-验证码_x0005_&_x0005_万能密码等 演示案 ...
- 网安之php开发第十三天
#知识点: 1.文件操作类代码编写 2.文件上传&下载&删除 3.文件内容&读取&写入 4.第三方编辑器引用实例 小迪博客-文件操作&上传&下载& ...
- 开源网安实现高效、高精度的静态应用安全检测 -CodeSec
来自安全牛的推荐SAST工具 随着科技的飞速发展,网络空间的主权完整和安全也成为影响国际关系的重要因素,国家之间的竞争也在由物理空间逐渐转向网络空间,国内的网络安全也面临着越来越多的风险和挑战. 根据 ...
- 培育人才，筑梦网安｜开源网安软件安全开发与DevSecOps实训课圆满结束
党的二十大报告指出,教育.科技.人才是全面建设社会主义现代化国家的基础性.战略性支撑.为深入贯彻党的二十大精神,为国家网络安全行业输送具有实践能力的专业优秀人才,开源网安职教中心派出资深专家团队为桂林 ...
- 仅以此纪念我一波三十折的2022保研路--上岸华科网安直博
从开始准备报名夏令营到最后拿到最理想的offer,历时三个半月,饱受焦灼,但好在苦尽甘来. 一.个人情况 本科是某常被人遗忘的985,2019级信息安全专业,相对于计算机类的其他专业来说,属于妥妥的舒 ...
- 范渊免职——网安界其人曾异军突起又将“落幕”？
范渊免职--网安界其人曾异军突起又将"落幕"? <南方都市报>曾发布过这样的新闻: [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-V2K ...
最新文章
- 金融风控实战——生肖属性单变量分析
- 第一次作业源于计科一班的王相博
- 使用 Spring 简化 MyBatis
- Golang heap源码简单走读
- matlab gul介绍及串口通信实现,Matlab - GUl介绍及串口通信实现（转）
- TeamViewer可以实现国际连接吗？
- Java基础知识强化之集合框架笔记15：List集合的特点
- oracle regexp提取数字,Oracle中的正则替换【REGEXP
- 监控系统整合告警平台实现邮件、短信、微信、电话语音和app等多方式报警
- C# winform中使窗体最小化（NotifyIcon）
- 公司的IT总监在公司里是什么样的角色？
- Excel教程视频《Excel大神上分攻略》50个工作场景，从案例到实践
- 阿里云盘帮我扩容了10个T，拿来吧你！
- ExtJS控件主要功能用法
- java excel 边框颜色_poi生成excel整理(设置边框/字体/颜色/加粗/居中/)[转]
- 简单解释一下一个项目中的pojo模块
- tf.to_bfloat16
- Selenium自动化测试框架—简单了解
- 概率编程——未来也可以这样预测
- 给你讲个笑话，我是创业公司CEO