PHP安全的一些事

最新推荐文章于 2024-03-30 23:56:03 发布
最新推荐文章于 2024-03-30 23:56:03 发布
阅读量433 收藏
点赞数
分类专栏： 7.PHP
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/whyistao/article/details/26991745
版权

1.如何防止别人根据服务器的接口来伪造请求?

在生成一个表单之前先生成一个随机值，然后服务器用session保存这个随机值

用户提交表单请求时必须提交这个随机值，(服务器用isset($_session[''])  )来核对这个随机值是不是  所以如果是伪造请求的话，是很难知道随机值是什么的，

即使暴力猜测命中率也不会太高

(或者服务器生成验证码图片)

参考:

PHP安全编程：跨站请求伪造CSRF的防御

PHP安全编程：HTTP请求欺骗

PHP安全编程：关于表单欺骗提交




2.


live4what
关注
专栏目录
网络安全-自学笔记
关注网络安全、云原生安全
12-01 17万+
目录 WEB（应用）安全 前端安全 xss攻击 后端安全 文件上传漏洞 WebShell 解析安全 数据安全 sql注入 通信安全 WEB（应用）安全 前端安全 xss攻击 后端安全 文件上传漏洞 WebShell 解析安全 数据安全 sql注入 网络安全-sqlmap学习笔记 通信安全 网络-http协议学习笔记（消息结构、请求方法、状态码等） ...
PHP网站常见一些安全漏洞及防御方法
网络安全
05-11 1万+
一、常见PHP网站安全漏洞 对于PHP的漏洞，目前常见的漏洞有五种。分别是Session文件漏洞、SQL注入漏洞、脚本命令执行漏洞、全局变量漏洞和文件漏洞。这里分别对这些漏洞进行简要的介绍。 1、session文件漏洞 Session攻击是黑客最常用到的攻击手段之一。当一个用户访问某一个网站时，为了免客户每进人一个页面都要输人账号和密码，PHP设置了Session和Cookie用于方便用户的使用和访向。 2、SQL注入漏洞 在进行网站开发的时候，程序员由于对用户输人数据缺乏全面判断或者过滤不严导致服务器执行
PHP安全 [安全编码]
weixin_45253622的博客
05-26 7833
总则： 绝对安全的系统是不存在的。最好的安全机制应该能在不防碍用户，并且不过多地增加开发难度的情况下做到能满足需求。 木桶原理，一个系统的的强度是由它最薄弱的环节决定的。 安全编码细则： 所有输入的数据都是有害的（直接或者间接由用户输入的) 不依赖运行环境的安全配置 安全控制措施落实在最后执行阶段 最小化 失败终止 文件系统安全 源码： <?php //从用户目录中删除指定的文件 $username = $_POST['user_submitted_name']; $us.
php为什么不安全
zepcjsj0801的博客
02-19 4138
最近遇到两位客户，说了一个让我有点怀疑人生的问题：php不安全 我做php十年，这个问题从我开始接触php就听说了，但是一直没当回事。 我的大学专业是.net，毕业后从事的工作就是开发，但是.net的开发以及调试、修改bug的过程很让人捉急，也很可能是当时水平不够造成的。 偶尔一次项目接触了php，确切的说是接触了thinkphp，其他语言的项目在php面前显得过于臃肿和繁琐，然后对php就一发不可收拾。 直到最近两个体量比较大的客户问了这个问题，在我拼命解释原因之后不得不回忆我解释的是否显得更加欲盖弥彰。
常见的PHP安全防范
阳水平的博客
05-23 3683
PHP本身再老版本有一些问题，比如在 `php4.3.10`和`php5.0.3`以前有一些比较严重的bug，所以推荐使用新版。另外，目前闹的轰轰烈烈的`SQL Injection`也是在PHP上有很多利用方式，所以要保证安全，PHP代码编写是一方面，PHP的配置更是非常关键。 　　我们php手手工安装的，php的默认配置文件在 /usr/local/apache2/conf/php.ini，我们最
web安全php基础_搭建php环境
JiuMeilove的博客
07-03 2万+
首先打开phpstudy的网站栏点击创建网站，新建一个网站（域名随便输反正是局域网）然后点击确认。然后网站好了，就可以新建项目，打开phpstorm,然后点击new project新建项目，然后再在刚刚打开的站点添加/phpinfo.php，看到如下页面，即我们的php环境搭建完成。然后在location栏里选择项目路径，就是刚刚我们创建的那个站点的路径。这个是问你文件夹不是空的是否在这个非空文件夹创建项目，点击创建就好。打开浏览器输入刚刚创建网站时输入的域名，即可看见我们的网站。如下，网站便创建好了。
网络安全-php安全知识点
关注网络安全、云原生安全
10-09 1万+
目录 语法与注释 变量 输出 超级全局常量 函数 常用 数据库相关 mysqli pdo 写给和我一样没学过php的安全小白，只是为了让你看懂php代码，专门学后端的请出门左转。学安全需要学的东西太多，你不可能把js学的和做前端的同学一样好、把php学的和做后端的一样好，把数据库学的和做数据库优化的同学一样好，把Apache学的和做服务器端的同学一样好，我们只能关注他们涉及的领域中不安全的因素，找到漏洞，提出修改意见。 php是后端常用的语言，在靶机或CTF比赛中也需要进行php代码审
网络安全之PHP篇
编程初学者
01-26 3768
好几天没有发表视频感言了，最近在看PHP。 我选择的PHP是老男孩和PHP中文网的视频。我个人觉得都比较烂，尤其是老男孩的，但是考虑到最只是了解基础语句和语法的事，就走马观花的看了一遍。 老男孩的这个网络安全别的不知道，PHP的讲了3个小时吧，云里雾里，而且课程居然还有延迟，这尼玛咋看啊，听的和做的完全不一样。而且说话的口音有些重，英语说的也是一言难尽啊。 老男孩还说这个老师是周超亮，原来黑基网的讲师，应该就是老Hackbase的，那确实牛，但是也不是PHP讲的烂的原因啊。想想还是怀念之前的时候，
Web安全-一句话木马
热门推荐
道阻且长，行则将至。
05-08 32万+
在很多的渗透过程中，渗透人员会上传一句话木马到目标web服务目录继而提权获取系统权限，不论asp、php、jsp、aspx都是如此，那么一句话木马到底是什么呢?
大部分PHP程序员，都搞不懂如何安全代码部署
廖圣平
02-11 1万+
如果你的网站还是以777 作为权限，那么你的服务器将开放给任何人，任何人可以在目录中执行脚本。 看过一些别人的外包项目，竟然整个项目的权限设置为777 ，其实是非常可怕的，黑客可以上传文件到任意目录，并执行该文件。 这样做是可怕的，一些程序员可以利用一些工具扫描漏洞，像很多php程序员在简历中说，破解过php，植入后门等，都是因为前期的php程序员的门槛低，对于安全意识薄弱，造成很多网站都可以 get Shell。 如何正确的设置php 运行目录？我这边总结一些方法，分享给大家。 设置目录的所有者 p..
【愚公系列】2024年03月 《CTF实战：从入门到提升》 010-Web安全入门（PHP代码执行漏洞）
时光隧道
03-28 5万+
PHP代码执行漏洞是一种常见的安全漏洞，也被称为远程代码执行（Remote Code Execution，RCE）漏洞。这种漏洞的发生通常是由于程序员在编写代码时未正确过滤用户输入，导致用户能够将恶意代码插入到应用程序中，然后被解释器执行。攻击者可以利用这种漏洞执行任意代码，从而获取系统权限、窃取数据或者对系统进行进一步的攻击。未过滤用户输入：开发者在使用用户输入时必须进行严格的输入验证和过滤，避免直接将用户输入作为代码执行。eval() 和 exec() 函数。
【愚公系列】2024年03月 《CTF实战：从入门到提升》 009-Web安全入门（PHP文件包含漏洞）
时光隧道
03-01 6万+
PHP文件包含漏洞是指在PHP代码中存在安全漏洞，允许攻击者包含并执行恶意文件或代码。PHP文件包含漏洞通常发生在以下两种情况下：动态文件包含：当PHP代码使用动态输入来包含文件时，攻击者可能通过构造恶意输入来包含并执行任意文件。这可能会导致攻击者执行远程代码、读取服务器上的敏感文件，或者执行其他恶意操作。本地文件包含：当PHP代码使用本地文件路径来包含文件时，攻击者可能通过修改文件路径参数来包含并执行任意文件。这可能会导致攻击者读取服务器上的敏感文件，或者执行其他恶意操作。
【愚公系列】2024年03月 《CTF实战：从入门到提升》 008-Web安全入门（PHP变量覆盖漏洞）
时光隧道
02-29 6万+
PHP变量覆盖漏洞是一种安全漏洞，发生在PHP代码中。它可以允许攻击者通过覆盖一个或多个变量的值来绕过身份验证或控制程序的执行流程。具体来说，当PHP代码中的某个变量没有经过正确的输入验证或过滤时，攻击者可以通过提交恶意数据来覆盖该变量的值。这可能导致程序执行不受控制的行为，例如绕过身份验证、窃取敏感数据或执行恶意代码。PHP变量覆盖漏洞通常与其他漏洞一起利用，例如未经验证的用户输入、弱密码或不安全的文件上传功能。避免这类漏洞的最佳做法是始终对用户输入进行验证和过滤，并确保所有使用的变量都是安全的。
【网络安全 | CTF】攻防世界 Web_php_include【php伪协议|data伪协议|file伪协议】
等风来
05-22 1万+
是 PHP 语言中一个重要的文件包含机制，可以将一个 PHP 文件包含到另一个 PHP 脚本文件中。该机制通常用于代码复用和模块化开发，在不同的 PHP 文件之间实现函数和类等代码的共享。file 伪协议用于访问本地文件系统中的文件，可以在 web 页面中链接到本地文件，或者读取本地文件中的数据。PHP 伪协议是一种特殊的 URI 协议，可以绕过通常的协议限制，直接访问本地文件和执行 PHP 代码。函数，该函数返回当前工作目录的绝对路径。函数，该函数返回当前执行的 PHP 脚本所在位置的绝对路径。
【愚公系列】2024年03月 《CTF实战：从入门到提升》 011-Web安全入门（PHP反序列化漏洞）
最新发布
时光隧道
03-30 5万+
PHP是一种广泛使用的开源服务器端脚本语言，它支持面向对象的编程范式。在PHP中，类和对象是用于封装数据与功能的核心组件，它们使得代码更加模块化、易于管理和扩展。在处理对象持久化——即在不同会话或不同请求之间保存对象状态的过程中，序列化和反序列化是两个非常重要的概念。反序列化漏洞通常发生在不安全地反序列化用户提供的数据时。代码执行：攻击者可能会注入恶意对象，当这个对象被反序列化时，它可能会触发任意代码执行。对象注入：通过构造特殊的序列化数据，攻击者可能会在应用程序上下文中创建不正当的对象实例。
Chrome插件开发
必运滔
05-18 681
360极速浏览器的文档
关于json的一些事
必运滔
05-19 630
因为平时老是接触它，但是又不是很了解，所以整理一下 关于json的格式
HTML5相关
必运滔
06-25 626
换了一个新想法，javaFx体验起来还是略显复杂，看好HTML5的发展和人气，
ExtJs笔记
必运滔
11-11 582
MessageBox Ext.form.FormPanel http://docs.sencha.com/extjs/3.4.0/#!/api/Ext.form.FormPanel
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值