- 1、本文档共6页,可阅读全部内容。
- 2、有哪些信誉好的足球投注网站(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
- 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
查看更多
6个常见的的 PHP 安全性攻击
6个常见的 PHP 安全性攻击
了解常见的PHP应用程序安全威胁,可以确保你的PHP应用程序不受攻击。因此,本文将列出 6个常见的 PHP 安全性攻击,欢迎大家来阅读和学习。
?
1、SQL注入
SQL注入是一种恶意攻击,用户利用在表单字段输入SQL语句的方式来影响正常的SQL执行。还有一种是通过system()或exec()命令注入的,它具有相同的SQL注入机制,但只针对shell命令。
?
$username = $_POST[username];
$query = select * from auth where username = .$username.;
echo $query;
$db = new mysqli(localhost, demo, ‘demo, ‘demodemo);
$result = $db-query($query);
if ($result $result-num_rows) {
nbsp;nbsp;nbsp; echo br /Logged in successfully;
} else {
nbsp;nbsp;nbsp; echo br /Login failed;
}
?
上面的代码,在第一行没有过滤或转义用户输入的值($_POST[username])。因此查询可能会失败,甚至会损坏数据库,这要看$username是否包含变换你的SQL语句到别的东西上。
?
防止SQL注入
?
选项:
?
使用mysql_real_escape_string()过滤数据
?
手动检查每一数据是否为正确的数据类型
?
使用预处理语句并绑定变量
?
使用准备好的预处理语句
?
分离数据和SQL逻辑
?
预处理语句将自动过滤(如:转义)
?
把它作为一个编码规范,可以帮助团队里的新人避免遇到以上问题
?
$query = select name, district from city where countrycode=?;
if ($stmt = $db-prepare($query) )
{
nbsp;nbsp;nbsp; $countrycode = hk;
nbsp;nbsp;nbsp; $stmt-bind_param(s, $countrycode);
nbsp;nbsp;nbsp; $stmt-execute();
nbsp;nbsp;nbsp; $stmt-bind_result($name, $district);
nbsp;nbsp;nbsp; while ( $stmt ($stmt-fetch() ){
nbsp;nbsp;nbsp; nbsp;nbsp;nbsp; echo $name., .$district;
nbsp;nbsp;nbsp; nbsp;nbsp;nbsp; echo br /;
nbsp;nbsp;nbsp; }
nbsp;nbsp;nbsp; $stmt-close();
}
?
?
2、XSS攻击
XSS(跨站点脚本攻击)是一种攻击,由用户输入一些数据到你的网站,其中包括客户端脚本(通常JavaScript)。如果你没有过滤就输出数据到另一个web页面,这个脚本将被执行。
?
接收用户提交的文本内容
?
?php
if (file_exists(comments)) {
nbsp;nbsp;nbsp; $comments = get_saved_contents_from_file(comments);
} else {
nbsp;nbsp;nbsp; $comments = ;
}
?
if (isset($_POST[comment])) {
nbsp;nbsp;nbsp; $comments .= br / . $_POST[comment];
nbsp;nbsp;nbsp; save_contents_to_file(comments, $comments);
}
?
?
?
输出内容给(另一个)用户
?
form action=xss.php method=POST
Enter your comments here: br /
textarea name=comment/textarea br /
input type=submit value=Post comment /
/formhr /br /
?
?php echo $comments; ?
?
?
将会发生什么事?
?
烦人的弹窗
?
刷新或重定向
?
损坏网页或表单
?
窃取cookie
?
AJAX(XMLHttpRequest)
?
防止XSS攻击
?
为了防止XSS攻击,使用PHP的htmlentities()函数过滤再输出到浏览器。htmlentities()的基本用法
您可能关注的文档
- 5-第三章 的查找与排序技术.ppt
- 5.2.1的单行结构条件语句.ppt
- 5.3中断方式及的接口.ppt
- 5 食品工厂设计常用图的样-设备布置图.ppt
- 5.2血与火的的征服与掠夺.ppt
- 5.健康教育的与健康促进.ppt
- 5.存储系统的三的种架构.ppt
- 5.安的全操作与捕获异常以及请求和连接.ppt
- 5.病的句之表意不明(歧义).ppt
- 5.财务信息的获取与逻的辑检验.ppt
- 第5课 控制系统的三个环节(教学设计)2023-2024学年五年级下册信息科技浙教版.docx
- 2024-2025学年高中历史必修三北师大版教学设计合集.docx
- 2024-2025学年初中音乐九年级下册苏少版(2024)教学设计合集.docx
- 2024-2025学年初中信息技术(信息科技)七年级上册川教版(2019)教学设计合集.docx
- 2024-2025学年高中地理必修二鲁教版教学设计合集.docx
- 【新课标】Unit 2 What time is it整体单元教学设计.docx
- 2024-2025学年初中信息技术(信息科技)八年级上册滇人版(2016)教学设计合集.docx
- 2024-2025学年小学信息技术(信息科技)四年级上册西师大版教学设计合集.docx
- 2024-2025学年高中地理选择性必修2中图中华地图版教学设计合集.docx
- 2024-2025学年初中信息技术(信息科技)八年级上册湘电子版(2019)教学设计合集.docx
最近下载
- 《数据科学统计计算》课后习题答案汇总chap1--chap6.pdf VIP
- 2025届新高考历史精品热点复习--资产阶级革命与资本主义制度的确立.pptx VIP
- 1城市文化与公共文化服务.pptx
- 2023年浙江大学强基计划物理试题(含答案与解析).pdf VIP
- 记者笔试面试参考题目及答案.pdf VIP
- 我的家乡江西省介绍PPT-城市旅游宣传电子相册幻灯片.pptx VIP
- 通用技术代表作品高一设计方案.pdf VIP
- 人教版(2019) 必修第一册 Unit5 Languages around the world Period 2 Reading and Thinking 教学设计.docx
- 《托儿所、幼儿园卫生保健管理办法及工作规范》考核试题及答案.docx
- 地理信息相关知识考试题库与答案.docx VIP
文档评论(0)