php漏洞对策_PHP教程
其实从编程的角度来讲PHP是没什么问题的,主要是使用PHP这种语言编出来的东西是否涉及安全了.
PHP的运行,是靠它的语言解释器来完成的,在NT或WIN9X下也就是PHP.EXE,PHP.EXE是一个解释器,它的作用是解释后缀为.PHP或.PHP3或.PHTML或其它的文件,根据里边定义的程序来访问数据库,读写文件或执行外部命令.并将执行的结果组织成STRING返回给WEB SERVER然后当作HTML格式的文件发送给浏览器.
知道了它工作的过程我们就可以探讨其SECURITY问题了,上述文件中我们提到过 PHP.EXE,提到过读取文件,和执行外部命令,其实这些都是安全隐患只所在,在MS-DOS下可以使用PHP.EXE读任何文件的内容,因为它本身的工作机制也就是读文件内容,把该解释的解释,该过滤的过滤.所以我们就可以利用它的这一特性通过WEB读任何我们想读文件的内容,当然这不是这么简单,这需要WEB SERVER的配合,这是后话,我们以后在讲.
PHP的第二个特性是读取文件的内容,有很多CGI漏洞就是由此特性造成的,很简单的一段程序:它的任务就是读变量$file的内容,程序员在程序调用中可能会天真的想,我就读A文件http://shabi.com/index.php3?file=a.txt 它没有对FILE这个变量做严格的限制,就导致安全问题的产生,我想稍微有点安全知识的人也知道把A.TXT修改为:/etc/passwd或NT下的../../../../../winnt/repair/sam._了
PHP的第三个特性是执行外部命令,在UNIX下比较多见:ls,echo等等,其实这是最容易出问题的,大家都知道SHELL可以连续的执行命令,用管道符|:或者~都可以,在这里我就顺便说个想法让大家和我一起探讨,这是关于WEB MAIL的,当然也和WEB编程有关,一般来说我们申请一个MAIL需要注册,而注册的时候,大都对姓名有限制,如长度等等,不过对密码的限制不严格,长度也大些,而MAIL程序可能需要调用SHELL命令来执行用户的添加,比如叫:ADD USER吧,参数是用户名和密码.add user lovehacker 1234567那如果我的密码为:a|reboot会怎么样呢?嘿嘿如果它没有把密码加密,而且添加用户使用的权限够大的话,哈哈就会让它从新启动COMPUTER,当然如果它要加密的话也行,比如用MD5或DES我们都可以写段程序让加密后的STRING为:rf -rm /*当然这只是个想法啦,我还没实践过:_)工作太忙了!当然通过我以上的想法你也可以看出执行SHELL命令而不做严格的判断有多么的严重!
Alat AI Hot
Undresser.AI Undress
Apl berkuasa AI untuk mencipta foto bogel yang realistik
AI Clothes Remover
Alat AI dalam talian untuk mengeluarkan pakaian daripada foto.
Undress AI Tool
Gambar buka pakaian secara percuma
Clothoff.io
Penyingkiran pakaian AI
AI Hentai Generator
Menjana ai hentai secara percuma.
Artikel Panas
Alat panas
Notepad++7.3.1
Editor kod yang mudah digunakan dan percuma
SublimeText3 versi Cina
Versi Cina, sangat mudah digunakan
Hantar Studio 13.0.1
Persekitaran pembangunan bersepadu PHP yang berkuasa
Dreamweaver CS6
Alat pembangunan web visual
SublimeText3 versi Mac
Perisian penyuntingan kod peringkat Tuhan (SublimeText3)
Topik panas
Panduan Pemasangan dan Naik Taraf PHP 8.4 untuk Ubuntu dan Debian
Dec 24, 2024 pm 04:42 PM
PHP 8.4 membawa beberapa ciri baharu, peningkatan keselamatan dan peningkatan prestasi dengan jumlah penamatan dan penyingkiran ciri yang sihat. Panduan ini menerangkan cara memasang PHP 8.4 atau naik taraf kepada PHP 8.4 pada Ubuntu, Debian, atau terbitan mereka
Cara Menyediakan Kod Visual Studio (Kod VS) untuk Pembangunan PHP
Dec 20, 2024 am 11:31 AM
Kod Visual Studio, juga dikenali sebagai Kod VS, ialah editor kod sumber percuma — atau persekitaran pembangunan bersepadu (IDE) — tersedia untuk semua sistem pengendalian utama. Dengan koleksi sambungan yang besar untuk banyak bahasa pengaturcaraan, Kod VS boleh menjadi c
Bagaimana anda menghuraikan dan memproses HTML/XML dalam PHP?
Feb 07, 2025 am 11:57 AM
Tutorial ini menunjukkan cara memproses dokumen XML dengan cekap menggunakan PHP. XML (bahasa markup extensible) adalah bahasa markup berasaskan teks yang serba boleh yang direka untuk pembacaan manusia dan parsing mesin. Ia biasanya digunakan untuk penyimpanan data
Program PHP untuk mengira vokal dalam rentetan
Feb 07, 2025 pm 12:12 PM
Rentetan adalah urutan aksara, termasuk huruf, nombor, dan simbol. Tutorial ini akan mempelajari cara mengira bilangan vokal dalam rentetan yang diberikan dalam PHP menggunakan kaedah yang berbeza. Vokal dalam bahasa Inggeris adalah a, e, i, o, u, dan mereka boleh menjadi huruf besar atau huruf kecil. Apa itu vokal? Vokal adalah watak abjad yang mewakili sebutan tertentu. Terdapat lima vokal dalam bahasa Inggeris, termasuk huruf besar dan huruf kecil: a, e, i, o, u Contoh 1 Input: String = "TutorialSpoint" Output: 6 menjelaskan Vokal dalam rentetan "TutorialSpoint" adalah u, o, i, a, o, i. Terdapat 6 yuan sebanyak 6
Kunci Pengekodan: Membuka Kunci Kuasa Python untuk Pemula
Oct 11, 2024 pm 12:17 PM
Python ialah bahasa pengenalan pengaturcaraan yang ideal untuk pemula melalui kemudahan pembelajaran dan ciri yang berkuasa. Asasnya termasuk: Pembolehubah: digunakan untuk menyimpan data (nombor, rentetan, senarai, dll.). Jenis data: Mentakrifkan jenis data dalam pembolehubah (integer, titik terapung, dll.). Operator: digunakan untuk operasi matematik dan perbandingan. Aliran kawalan: Kawal aliran pelaksanaan kod (penyataan bersyarat, gelung).
Java Made Simple: Panduan Pemula untuk Kuasa Pengaturcaraan
Oct 11, 2024 pm 06:30 PM
Java Made Simple: Panduan Permulaan untuk Kuasa Pengaturcaraan Pengenalan Java ialah bahasa pengaturcaraan berkuasa yang digunakan dalam segala-galanya daripada aplikasi mudah alih hingga sistem peringkat perusahaan. Untuk pemula, sintaks Java adalah ringkas dan mudah difahami, menjadikannya pilihan ideal untuk pembelajaran pengaturcaraan. Sintaks Asas Java menggunakan paradigma pengaturcaraan berorientasikan objek berasaskan kelas. Kelas ialah templat yang menyusun data dan tingkah laku yang berkaitan bersama-sama. Berikut ialah contoh kelas Java yang mudah: publicclassPerson{privateStringname;privateintage;
Penyelesaian Masalah dengan Python: Buka Kunci Penyelesaian Berkuasa sebagai Pengekod Pemula
Oct 11, 2024 pm 08:58 PM
Pythonmemperkasakan pemula dalam menyelesaikan masalah.Sintaksnya yang mesra pengguna, perpustakaan luas, dan ciri-ciri seperti pembolehubah, pernyataan bersyarat, dan pembangunan kod yang cekap boleh dilonggarkan. Daripada mengurus data untuk mengawal aliran program dan melaksanakan tugasan berulang, Pythonprovid
Cipta Masa Depan: Pengaturcaraan Java untuk Pemula Mutlak
Oct 13, 2024 pm 01:32 PM
Java ialah bahasa pengaturcaraan popular yang boleh dipelajari oleh pembangun pemula dan berpengalaman. Tutorial ini bermula dengan konsep asas dan diteruskan melalui topik lanjutan. Selepas memasang Kit Pembangunan Java, anda boleh berlatih pengaturcaraan dengan mencipta program "Hello, World!" Selepas anda memahami kod, gunakan gesaan arahan untuk menyusun dan menjalankan program, dan "Hello, World!" Pembelajaran Java memulakan perjalanan pengaturcaraan anda, dan apabila penguasaan anda semakin mendalam, anda boleh mencipta aplikasi yang lebih kompleks.
