仓酷云

标题: PHP网页设计PHP注入的平安标准 [打印本页]

作者: 飘飘悠悠 时间: 2015-2-3 23:52
标题: PHP网页设计PHP注入的平安标准
HTML中的任何元素都要亲自实践，只有明白了什么元素会起到什么效果之后，你才会记忆深刻，而一味的啃书，绝对是不行的，我想大部分新手之所以觉得概念难学，大部分是一个字“懒”，懒是阻止进步的最大敌人，所以克服掉懒的习惯，才能更快的学好一样东西。 Php注入的平安提防经由过程下面的进程，咱们可以懂得到php注入的道理和手段，固然咱们也一样可以制订出响应该的提防办法：
起首是对办事器的平安设置，后面的windows办事器的平安设置咱们已讲了，不再反复，这里次要是php+mysql的平安设置和linux主机的平安设置。对php+mysql打针的提防,起首将magic_quotes_gpc设置为On，display_errors设置为Off，假如id型，咱们使用intval()函数将其转换成整数类型，如代码：
$id=intval($id);
mysql_query=”select *from example where articieid=’$id’”;或如许写：mysql_query("SELECT * FROM article WHERE articleid=".intval($id)."")
假如是字符型就用addslashes()过滤一下，然后再过滤”%”和”_”如：
$search=addslashes($search);
$search=str_replace(“_”,”\_”,$search);
$search=str_replace(“%”,”\%”,$search);
固然也能够加php通用防注入代码：
/*************************
PHP通用防注入平安代码
申明：
判别传递的变量中是不是含有不法字符
如$_POST、$_GET
功效：
防注入
**************************/
//要过滤的不法字符
$ArrFiltrate=array("'",";","union");
//失足后要跳转的url,不填则默许前一页
$StrGoUrl="";
//是不是存在数组中的值
function FunStringExist($StrFiltrate,$ArrFiltrate){
foreach ($ArrFiltrate as $key=>$value){
if (eregi($value,$StrFiltrate)){
return true;
}
}
return false;
}
//兼并$_POST 和 $_GET
if(function_exists(array_merge)){
$ArrPostAndGet=array_merge($HTTP_POST_VARS,$HTTP_GET_VARS);
}else{
foreach($HTTP_POST_VARS as $key=>$value){
$ArrPostAndGet[]=$value;
}
foreach($HTTP_GET_VARS as $key=>$value){
$ArrPostAndGet[]=$value;
}
}
//验证入手下手
foreach($ArrPostAndGet as $key=>$value){
if (FunStringExist($value,$ArrFiltrate)){
echo "alert(/"Neeao提醒，不法字符/");";
if (empty($StrGoUrl)){
echo "history.go(-1);";
}else{
echo "window.location=/"".$StrGoUrl."/";";
}
exit;
}
}
?>
/*************************
保留为checkpostandget.php
然后在每一个php文件前加include(“checkpostandget.php“);便可
**************************/
别的将办理员用户名和暗码都接纳md5加密，如许就可以无效地避免了php的注入。
还有办事器和mysql也要增强一些平安提防。
关于linux办事器的平安设置：
加密口令，利用“/usr/sbin/authconfig”东西翻开暗码的shadow功效，对password停止加密。
制止会见主要文件，进入linux号令界面，在提醒符下输出：
#chmod 600 /etc/inetd.conf //改动文件属性为600
#chattr +I  /etc/inetd.conf    //包管文件属主为root
#chattr CI  /etc/inetd.conf    // 对该文件的改动做限制
制止任何用户经由过程su号令改动为root用户
在su设置装备摆设文件即/etc/pam.d/目次下的开首添加上面两行:
Auth  sufficient  /lib/security/pam_rootok.so debug
Auth  required  /lib/security/pam_whell.so group=wheel
删除一切的特别帐户
#userdel  lp等等删除用户
#groupdel lp等等删除组
制止不利用的suid/sgid法式
#find / -type f $-perm -04000  - o Cperm -02000 $ \-execls Clg {} \;
学会了生成静态网页，现在你应该接触一下XML了，恩，XML也了解了，那么AJAX你也得接触接触吧?AJAX完了....然后...

作者: 第二个灵魂 时间: 2015-2-4 06:41
因为blog这样的可以让你接触更多要学的知识，可以接触用到类，模板，js ，ajax

作者: 谁可相欹 时间: 2015-2-5 14:13
写的比较杂，因为我也是个新手，不当至于大家多多指正。

作者: 山那边是海 时间: 2015-2-11 04:27
使用zendstdio 写代码的的时候，把tab 的缩进设置成4个空格是很有必要的

作者: 因胸联盟 时间: 2015-2-17 14:36
写js我最烦的就是 ie 和 firefox下同样的代码结果显示的结果千差万别，还是就是最好不要用遨游去调试，因为有时候遨游是禁用js的，有可能代码是争取结果被遨游折腾的认为是代码写错。

作者: 再现理想 时间: 2015-2-21 19:49
遇到出错的时候，我经常把错误信息直接复制到 google的搜索栏，一般情况都是能搜到结果的，不过有时候会搜出来一大片英文的出来，这时候就得过滤一下，吧中文的弄出来，挨着式方法。

作者: 精灵巫婆 时间: 2015-2-26 22:55
有位前辈曾经跟我说过，phper 至少要掌握200个函数编起程序来才能顺畅点，那些不熟悉的函数记不住也要一拿手册就能找到。所以建议新手们没事就看看php的手册（至少array函数和string函数是要记牢的）。

作者: 飘飘悠悠 时间: 2015-2-28 02:05
在我安装pear包的时候老是提示，缺少某某文件，才发现那群extension 的排列是应该有一点的顺序，而我安装的版本的排序不是正常的排序。没办法我只好把那群冒号加了上去，只留下我需要使用的扩展。

作者: 蒙在股里 时间: 2015-3-9 17:55
首先我是坚决反对新手上来就用框架的，因为对底层的东西一点都不了解，造成知识上的真空，会对以后的发展不利。我的观点上手了解下框架就好，代码还是手写。当然啦如果是位别的编程语言的高手的话，这个就另当别论啦。

作者: 老尸 时间: 2015-3-17 00:10
你很难利用原理去编写自己的代码。对于php来说，系统的学习我认为还是很重要的，当你有一定理解后，你可你针对某种效果研究，我想那时你不会只是复制代码的水平了。

作者: 活着的死人 时间: 2015-3-18 01:45
对于初学者来说不推荐去拿钱买的。当然如果一个网站你经常去用，而且里面的资料也比较有用，最好还是买个会员比较好，毕竟那些也是别人的工作成果。

作者: 透明 时间: 2015-3-25 08:55
个人呢觉得，配wamp 最容易漏的一步就是忘了把$PHP$目录下的libmysql.dll拷贝到windows系统目录的system32目录下，还有重启apache。

作者: 若天明 时间: 2015-3-28 20:54
有位前辈曾经跟我说过，phper 至少要掌握200个函数编起程序来才能顺畅点，那些不熟悉的函数记不住也要一拿手册就能找到。所以建议新手们没事就看看php的手册（至少array函数和string函数是要记牢的）。

作者: 小妖女 时间: 2015-4-4 13:21
没接触过框架的人，也不用害怕，其实框架就是一种命名规范及插件，学会一个框架其余的框架都很好上手的。

作者: 再见西城 时间: 2015-4-11 10:20
找到的的资料很多都是在论坛里的，需要注册，所以我一般没到一个论坛都注册一个id，所有的id都注册成一样的，这样下次再进来的时候就不用重复注册啦。当然有些论坛的某些资料是需要的付费的。

作者: 只想知道 时间: 2015-4-13 15:38
有时候汉字的空格也能导致页面出错，所以在写代码的时候，要输入空格最好用引文模式。

作者: 金色的骷髅 时间: 2015-4-15 04:11
做为1门年轻的语言，php一直很努力。

作者: 仓酷云 时间: 2015-4-22 03:54
因为blog这样的可以让你接触更多要学的知识，可以接触用到类，模板，js ，ajax

作者: 灵魂腐蚀 时间: 2015-4-23 04:14
做为1门年轻的语言，php一直很努力。

作者: 不帅 时间: 2015-4-26 14:09
最后介绍一个代码出错，但是老找不到错误方法，就是 go to wc （囧），出去换换气没准回来就找到错误啦。

作者: 乐观 时间: 2015-5-6 06:11
这些中手常用的知识，当你把我说的这些关键字都可以熟练运用的时候，你可以选择自己

欢迎光临仓酷云 (http://ckuyun.com/)